Vijf vragen aan Patrick Chu
21 oktober, 2026
Patrick Chu, MSc RE
Overdag houd ik me bezig met AI, cyberrisico's en Digital Trust. Maar ook ik heb mijn zwakke plekken: een schaal warme bitterballen blijkt keer op keer effectiever dan welke social engineering-aanval dan ook.
Wie ben je en welke expertise heb je?
Ik ben Patrick Chu en werk als Manager Vaktechniek en Innovatie bij NOREA. In deze rol houd ik me bezig met de ontwikkeling van het IT-auditvak en kijk ik hoe nieuwe technologieën, risico's en regelgeving ons werk veranderen. Ik werk inmiddels al ruim vijftien jaar in IT-audit en IT-risk. Ik ben begonnen als externe IT-auditor en IT-riskadviseur en heb in die periode veel organisaties geholpen met vraagstukken rondom governance, risico's, cybersecurity en digitale weerbaarheid.
Wat mij energie geeft, is het slaan van bruggen tussen technologie, risico’s en bestuur. Er gebeurt ontzettend veel op het gebied van AI, cybersecurity, data, regelgeving en digitale transformatie. Bestuurders en toezichthouders moeten daar strategische keuzes over maken, terwijl de ontwikkelingen elkaar steeds sneller opvolgen.
De rol van de IT-auditor is wat mij betreft om daarbij inzicht en vertrouwen te bieden. Niet alleen door risico’s zichtbaar te maken, maar juist door bestuurders te helpen begrijpen welke kansen, afhankelijkheden en consequenties digitalisering met zich meebrengt. Daarom werk ik graag samen met de kennisgroepen en taskforces van NOREA. Daar zit enorm veel kennis en praktijkervaring. Door die expertises te verbinden kunnen we complexe ontwikkelingen vertalen naar inzichten die auditors en bestuurders helpen om betere beslissingen te nemen in een steeds digitalere wereld.
Waarom heb je voor deze functie gekozen?
Omdat ik geloof dat ons vak belangrijker is dan ooit. Vrijwel iedere strategische beslissing heeft tegenwoordig een digitale component. Denk aan AI, cybersecurity, cloud, digitale ketens, data-uitwisseling of nieuwe Europese regelgeving. Tegelijkertijd wordt van bestuurders verwacht dat zij hierover verantwoorde keuzes maken en daar verantwoording over afleggen. Juist daar kunnen IT-auditors waarde toevoegen.
Deze functie geeft mij de mogelijkheid om bij te dragen aan een vakgebied dat organisaties helpt om technologie verantwoord, veilig en beheerst in te zetten. Niet vanuit techniek alleen, maar juist vanuit de vraag wat bestuurders nodig hebben om met vertrouwen beslissingen te nemen. Daarnaast vind ik het belangrijk om de kennis die binnen NOREA aanwezig is beter toegankelijk te maken. Via kennisgroepen en taskforces beschikken we over veel expertise die organisaties kan helpen bij actuele vraagstukken. Door die kennis samen te brengen kunnen we meer impact maken voor onze leden, hun organisaties en de bestuurders die richting moeten geven aan digitale transformatie.
Ik zie ook een mooie kans om de NOREA-community verder te versterken. Door meer evenementen, kennisbijeenkomsten en inspiratiesessies te organiseren kunnen leden en vakgenoten gemakkelijker met elkaar in contact komen en van elkaar leren. Daarnaast wil ik bijdragen aan een aantrekkelijk aanbod van PE-activiteiten waarbij het niet alleen draait om het behalen van PE-punten, maar vooral om het opdoen van nieuwe kennis, nieuwe perspectieven en praktische handvatten die direct toepasbaar zijn in de dagelijkse praktijk.
Ook geloof ik sterk in samenwerking. We werken al intensief samen met de NBA, ISACA en het IIA, en ik zie kansen om die verbindingen verder te versterken. Tegelijkertijd ontstaan er nieuwe initiatieven waarin verschillende disciplines samenkomen. Een mooi voorbeeld daarvan is SAAF, waar technologie, innovatie, audit en kennisdeling elkaar vinden. Juist dit soort samenwerkingen helpen om kennis sneller te ontwikkelen, breder te delen en innovatie in ons vakgebied te versnellen. Voor mij draait NOREA daarom niet alleen om vaktechniek, maar ook om verbinding, kennisdeling en het bouwen van een sterke community rondom Digital Trust. Samen kunnen we meer bereiken dan ieder afzonderlijk. Deze rol voelt dan ook voor mij als een mooie combinatie van vakontwikkeling, innovatie, community-building en maatschappelijke relevantie.
Wat hoop je te bereiken met deze functie?
Ik hoop vooral dat we als beroepsgroep zichtbaar bijdragen aan vertrouwen in de digitale samenleving. Organisaties digitaliseren in hoog tempo en bestuurders staan voor complexe keuzes rondom AI, cybersecurity, cloud, digitale ketens en nieuwe Europese wet- en regelgeving. Zij hebben behoefte aan betrouwbare inzichten over risico's, beheersing en de vraag of zij daadwerkelijk in control zijn. Daar zie ik een belangrijke rol voor IT-auditors.
Ik wil bijdragen aan een beroepsgroep die bestuurders en toezichthouders helpt om beter onderbouwde beslissingen te nemen over digitalisering. Niet alleen door risico's te signaleren, maar ook door perspectief te bieden op kansen, verantwoorde innovatie en digitale weerbaarheid. Als beroepsgroep moeten we wat mij betreft ook vaker onze stem laten horen in het publieke debat en richting beleidsmakers. Een mooi voorbeeld is de aandacht die de International Digital Reporting Standards (IDRS) inmiddels krijgt. In een aangenomen motie heeft Barbara Kathmann expliciet benoemd dat grote organisaties wel financiële en maatschappelijke verantwoording afleggen, maar dat vergelijkbaar inzicht in cyberveiligheid en IT vaak ontbreekt. Daarbij wordt specifiek verwezen naar de door NOREA, met betrokkenheid van het Ministerie van Economische Zaken, ontwikkelde methodiek voor een cyberjaarverslag. De motie onderstreept dat een dergelijke standaard bestuurders helpt om cyberveiligheid en IT beter bespreekbaar te maken aan de bestuurstafel, de digitale weerbaarheid versterkt en tegelijkertijd regeldruk kan verminderen.
Voor mij laat dit zien dat de kennis van IT-auditors veel verder reikt dan het uitvoeren van audits alleen. We kunnen bijdragen aan beter bestuur, beter toezicht en een beter geïnformeerd maatschappelijk debat over digitalisering en vertrouwen in technologie. Daarnaast zou ik graag zien dat NOREA zichtbaarder wordt binnen Europa. Nederland heeft veel expertise opgebouwd op het gebied van IT-audit, cybersecurity en Digital Trust. Wat mij betreft mogen we die kennis vaker delen in Europese netwerken, conferenties en discussies over AI, DORA en digitale weerbaarheid. Niet alleen om ontwikkelingen te volgen, maar ook om actief bij te dragen aan de toekomst van digitaal vertrouwen in Europa.
Welke veranderingen zijn nodig om relevant te blijven?
We moeten vooral nieuwsgierig blijven en onze blik naar buiten gericht houden. Ontwikkelingen zoals AI, cyberdreigingen, geopolitieke spanningen, cloudtechnologie en nieuwe Europese regelgeving volgen elkaar in hoog tempo op. Als beroepsgroep moeten we die ontwikkelingen niet alleen begrijpen, maar vooral vertalen naar de vragen die bestuurders en toezichthouders bezighouden.
Bestuurders zijn vaak niet op zoek naar nóg meer technische details. Zij willen weten welke risico’s relevant zijn, welke keuzes ze hebben en wat de gevolgen zijn voor hun organisatie. Daar ligt een belangrijke verantwoordelijkheid voor IT-auditors. Binnen NOREA hebben we kennisgroepen en taskforces die zich verdiepen in uiteenlopende onderwerpen.
Wanneer we kennis beter delen en expertises met elkaar verbinden kunnen we sneller inspelen op nieuwe ontwikkelingen en organisaties beter ondersteunen. Ook moeten we duidelijker laten zien welke waarde IT-auditors toevoegen. Niet alleen voor de auditfunctie, maar voor de kwaliteit van besluitvorming binnen organisaties. Door inzicht te geven in risico’s, kansen en beheersing helpen we bestuurders om betere keuzes te maken rondom technologie en digitalisering. Daarmee dragen we niet alleen bij aan individuele organisaties, maar ook aan het vertrouwen in onze digitale economie en de digitale weerbaarheid van Nederland als geheel.
Zijn IT-auditors generalisten of specialisten?
Eigenlijk allebei. Je hebt een brede blik nodig om te begrijpen hoe organisaties functioneren en hoe technologie, processen, risico’s en governance met elkaar samenhangen. Die samenhang is essentieel als je bestuurders wilt helpen bij complexe vraagstukken rondom digitalisering. Tegelijkertijd worden onderwerpen als AI, cybersecurity, cloud en privacy steeds specialistischer. Niemand kan alle ontwikkelingen volledig overzien. Juist daarom geloof ik sterk in samenwerken en kennis delen. Dat zie je ook terug binnen NOREA.
De kracht van een IT-auditor zit voor mij niet in het kennen van alle antwoorden, maar in het verbinden van technologie, risico’s en organisatiedoelstellingen. Door de juiste vragen te stellen en verschillende perspectieven samen te brengen kunnen we bestuurders helpen om betere beslissingen te nemen. Of anders gezegd: een goede IT-auditor kijkt niet alleen naar systemen en controls. Hij of zij helpt organisaties om verantwoord te digitaliseren, kansen te benutten en vertrouwen te behouden in een wereld die steeds afhankelijker wordt van technologie. Dat is voor mij de kern van Digital Trust. En precies daar ligt volgens mij de blijvende toegevoegde waarde van NOREA: het versterken van het IT-auditvak en het ondersteunen van bestuurders, toezichthouders en organisaties bij het creëren van vertrouwen in een digitale wereld.
