Kennisbank

Důkazy, které auditor dokáže najít

Povinnost je prokázána teprve tehdy, když existuje něco, co může jiná osoba ověřit, aniž by se musela ptát vás. To je jádro prokazatelnosti: nikoli to, co vy víte, že se stalo, ale to, co auditor, dozorový orgán nebo nový compliance officer dokáže dohledat, aniž byste to musel vysvětlovat. Mnoho firem zjistí až během auditu, že důkaz sice existuje, ale nelze ho najít.

Co se počítá jako důkaz

Důkaz není totéž co politika. Dokument politiky říká, co je záměrem; důkaz ukazuje, že tento záměr byl také uskutečněn. Myslete na schválené rozhodnutí s datem a jménem osoby, která je schválila, e-mailovou korespondenci, z níž vyplývá zvážení, deník kontroly, která byla skutečně provedena, nebo zprávu, která odpovídá podkladovým datům. Co přesně se počítá jako dostatečný důkaz, se liší podle povinnosti, a co se počítá jako důkaz u povinnosti u skupiny s více entitami ukazuje, jak se tato otázka zpřesňuje, jakmile přijde více poboček nebo dceřiných společností. Společným tématem je pořád to, že rozdíl mezi politikou a praxí bývá podceňován: dokument, který vypadá dobře, není důkazem, že se podle něj někdo skutečně řídil. Jak tento rozdíl zviditelnit, je rozvedeno na jak prokázat, že politika je i praxí.

Odkud důkaz pochází

Důkaz obvykle nevzniká na místě, kde je nakonec potřeba. Odhad rizika vytvoří provozní tým, schválení proběhne v e-mailu, kontrola se zaznamená do tabulky, která existuje pouze na lokálním disku. V okamžiku, kdy auditor požádá o prokázání, že povinnost byla splněna, musí někdo tento důkaz znovu vypátrat. U jedné entity je to už obtížné; u skupiny s více pobočkami, zeměmi nebo dceřinými společnostmi se z toho stává pátrání samo o sobě. Každá entita má případně svůj vlastní archiv, svůj vlastní systém, svůj vlastní způsob zaznamenávání. Kde přesně to vázne a proč to není jen otázka disciplíny, je popsáno na kde se důkaz rozptýlí u skupiny s více entitami. Pro skupinové struktury konkrétně existuje rozpracování téže otázky jako na této stránce, zaměřené na tuto situaci: jak uchovávat důkazy, aby je auditor našel u skupiny.

Kdo to musí umět najít

Dohledatelnost začíná u vlastnictví. Důkaz, který nikde nemá vlastníka, se nikde nevede a tedy se ani neuchovává na místě, kde by ho někdo mohl najít. Pro každou povinnost existuje někdo, kdo v konečném důsledku dokáže vysvětlit, co bylo uděláno a proč; kdo to je, není v organizaci s více odděleními nebo entitami vždy samozřejmé. Jak se toto vlastnictví určuje a proč automaticky nepatří oddělení compliance, je uvedeno na kdo je vlastníkem povinnosti. Jakmile je toto vlastnictví jasné, další otázkou není další dokument, nýbrž struktura, která spojuje povinnost, vlastníka a důkaz. Tato struktura se obvykle nazývá control matrix a co tato matice řeší a co ne, je vysvětleno na co je control matrix.

Uchovávání není otázkou většího ukládání

Reflexní reakcí ohledně prokazatelnosti bývá: víc zaznamenávat, víc archivovat, víc vytvářet složek. To problém neřeší. Auditor, který musí prohledat tři systémy, aby ověřil jednu povinnost, to nevnímá jako mít věci pod kontrolou, i když důkaz skutečně existuje. Otázkou není, kolik důkazů existuje, ale zda je lze dohledat: od povinnosti k vlastníkovi, k důkazu, ke kontrole, která prokazuje, že se to stalo. Bez této dohledatelnosti zůstává důkaz rozptýlený, i když je na papíře úplný.

Toto platí silněji, čím je organizace větší a komplexnější. Národní varianty téhož evropského pravidla vycházejí v každé zemi jinak, s jinými termíny, jinými institucemi a jinými očekáváními ohledně toho, co se počítá jako důkaz. Co je v jedné zemi dostačující, nemusí být automaticky dostačující v jiné. To dělá z centrální, dohledatelné struktury pro důkazy nikoli otázku pořádku, ale podmínku pro udržení přehledu o tom, co bylo skutečně zaznamenáno v jednotlivých zemích, entitách a povinnostech.

Kam to směřuje

Zaznamenávání, uchovávání a zajištění dohledatelnosti důkazů je samo o sobě formou práce: uspořádání dokumentů, vytváření odkazů, kontrola, zda je dokumentace úplná ještě předtím, než o ni auditor požádá. Část této práce je opakující se a řídí se pevným vzorem podle povinnosti. Kdo chce zjistit, kterou část této práce může převzít AI a která část zůstává závislá na lidském úsudku, může to nechat spočítat prostřednictvím werkscan od FTE TO AI, která u každé úlohy udává, kolik prostoru je pro automatizaci.