Задължение, което съществува на хартия, но няма собственик, за одитора практически не съществува. Това е в основата на проблема, в който много организации се затъват. Идентифицирано е задължение за отчитане, написана е политика, но въпросът кой ежедневно се грижи за изпълнението на политиката и кой може да докаже, че това се случва, остава без отговор. Без име, свързано с задължението, няма контрол, а без контрол няма доказуема съобразеност.
Собствеността върху задължение е нещо повече от име в организационна схема. Тя означава, че едно лице или една функция носи отговорност за три неща: че задължението се изпълнява, че доказателството за това се документира, и че това доказателство може да бъде намерено в момента, когато някой го поиска. Собственик, който само знае, че задачата е негова, но не може да покаже какво е документирано от нея, на практика не е собственик, а просто име в списък.
Това разграничение е точно там, където много вътрешни системи за контрол не достигат. Политиката се определя на ниво управление, изпълнението се извършва на ниво отдел, а връзката между двете рядко се прави изрично. Как тази връзка може да бъде направена и защо политиката и практиката се разминават без нея, е описано в как доказвате, че политиката е и практика.
При организация с една единствена структура собственикът на задължение обикновено все още може да бъде намерен: има едно юридическо лице, едно управление, един комплект счетоводни книги. При група с множество структури това се променя. Задължение, което важи на ниво група, трябва да бъде изпълнено някъде в организацията, и това може да бъде на ниво група, на ниво оперативно дружество, или разпределено между няколко структури, всяка от които предоставя част от информацията.
Въпросът кой е собственик тогава се превръща във въпрос за структурата: коя структура консолидира данните, коя структура предоставя базовите данни, и кой носи отговорност, ако едно от тези звена липсва. Този въпрос се проявява толкова често и толкова специфично при групови структури, че за него има отделно разглеждане: кой е собственик на задължение при група с множество структури разглежда как се разпределя тази отговорност и къде разпределението се провалва.
Собствеността и доказателството са свързани, но на практика те се разделят. Собственик се определя на база организационна схема, докато доказателството за изпълнение се документира някъде другаде: в имейл, в таблица на локален диск, в система, която се използва само в едно оперативно дружество. Който трябва да отчита на ниво група, тогава първо трябва да установи къде се намира доказателството, преди да може да покаже, че задължението е изпълнено.
Този проблем не е случаен, той е структурен за всяка организация, състояща се от няколко звена. Точно тук къде доказателството се разпилява при група с множество структури навлиза по-надълбоко: кои места в организацията пораждат доказателство, без някой да го събира централно, и защо това се забелязва едва в момента, когато одитор го поиска.
Не всеки документ, който се предоставя, се смята за доказателство от одитор. Документ за политика показва, че съществува намерение, но не че това намерение е изпълнено. Протокол от заседание на управлението показва, че тема е била обсъдена, но не че решение е било изпълнено. Доказателството трябва да има пряка връзка със задължението, което трябва да подкрепи: кой какво е направил, кога, и как е документирано това.
При група с множество структури този въпрос става по-сложен, защото доказателство може да се появи на различни нива, и не всяко ниво има еднаква доказателствена сила. Какво конкретно се смята за доказателство в тази ситуация и защо доказателство от една структура не автоматично е доказателство за задължението на групата, е разработено в какво се смята за доказателство при задължение при група с множество структури.
Списък от собственици е начална точка, не система. За да сте доказуемо в контрол, всяко задължение трябва да бъде свързано със собственик, с доказателството, което този собственик предоставя, и с контрол, който установява дали това доказателство е пълно и актуално. Тази връзка често се документира в матрица на контрола, преглед, който за всяко задължение показва кой носи отговорност и как това се проверява. Какво точно представлява матрица на контрола и защо списък от собственици без такава матрица не издържа при одит, е разгледано в какво е матрица на контрола.
Поне толкова важен е въпросът къде се пази това доказателство и дали одитор може да го намери без помощ от организацията. Система, която зависи от знанията на един служител, не е система, а риск. Как доказателството се пази така, че да остане намираемо, дори когато група се състои от множество структури, е описано в как пазите доказателство така, че одитор да го намери при група с множество структури.
Определянето на собственост и организирането на доказателствената база е работа: изготвяне на прегледи, събиране на документация, следене на кой какво е предоставил. Част от тази работа е повтаряема и следва фиксиран модел, което я прави подходяща за подпомагане чрез изкуствен интелект (AI). Работният скенер на FTE TO AI изчислява за всяка задача каква част от тази работа може да бъде поета, така че да стане видимо къде хората остават необходими за преценка и къде системите могат да поемат събирането и организирането на доказателство.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.