Povinnost, která existuje na papíře, ale nemá vlastníka, pro auditora neexistuje. To je jádro toho, na čem mnoho organizací naráží. Byla identifikována povinnost k reportování, byly napsány zásady, ale otázka, kdo denně dohlíží na to, aby se zásady dodržovaly, a kdo může prokázat, že se to skutečně děje, zůstává nezodpovězena. Bez jména u povinnosti není žádná kontrola, a bez kontroly není žádná prokazatelná shoda (compliance).
Vlastnictví povinnosti je více než jméno v organizačním schématu. Znamená to, že jedna osoba nebo jedna funkce je odpovědná za tři věci: že se povinnost vykonává, že se o tom vede důkaz, a že je tento důkaz dohledatelný ve chvíli, kdy o něj někdo požádá. Vlastník, který jen ví, že úkol spadá pod něj, ale nedokáže ukázat, co z toho bylo zdokumentováno, není v praxi vlastníkem, ale pouze jménem na seznamu.
Právě tento rozdíl je místem, kde mnoho vnitřních kontrolních systémů selhává. Zásady se schvalují na úrovni vedení, provedení probíhá na úrovni oddělení, a propojení mezi nimi se jen zřídka výslovně stanoví. Jak lze toto propojení vytvořit a proč se bez něj zásady a praxe rozcházejí, je popsáno v tom, jak prokážete, že zásady jsou i praxí.
U jednoduché organizace lze vlastníka povinnosti obvykle stále dohledat: existuje jedna právní entita, jedno vedení, jedna sada účetních knih. U skupiny s více entitami se to změní. Povinnost platná na úrovni skupiny musí být vykonána někde v organizaci, a to může být na úrovni skupiny, na úrovni provozní společnosti, nebo rozděleně mezi více entit, z nichž každá dodává část informací.
Otázka, kdo je vlastníkem, se pak stává otázkou struktury: která entita konsoliduje údaje, která entita dodává podkladová data, a kdo je odpovědný, když jeden z těchto článků chybí. Tato otázka se u skupinových struktur objevuje tak často a tak konkrétně, že je pro ni vyhrazeno samostatné zpracování: kdo je vlastníkem povinnosti u skupiny s více entitami se věnuje tomu, jak se tato odpovědnost rozděluje a kde při tomto rozdělení nastávají problémy.
Vlastnictví a důkaz patří k sobě, ale v praxi se od sebe oddělují. Vlastník je určen na základě organizačního schématu, zatímco důkaz o provedení se zaznamenává někde jinde: v e-mailu, v tabulce na lokálním disku, v systému, který se používá jen u jedné provozní společnosti. Kdo se musí zodpovídat na úrovni skupiny, musí nejprve zjistit, kde se důkaz nachází, než může ukázat, že povinnost byla splněna.
Tento problém není náhodný, je strukturální u každé organizace, která se skládá z více částí. Právě zde pokračuje to, kde se důkazy rozptylují u skupiny s více entitami: která místa v organizaci vytvářejí důkazy bez toho, aby je někdo centrálně shromažďoval, a proč si to všimne až ve chvíli, kdy o to auditor požádá.
Ne každý dokument, který se předloží, se pro auditora počítá jako důkaz. Dokument se zásadami dokazuje, že existuje záměr, nikoli že byl tento záměr uskutečněn. Zápis z jednání vedení dokazuje, že byla probrána nějaká záležitost, nikoli že bylo rozhodnutí naplněno. Důkaz musí mít přímou souvislost s povinností, kterou má podložit: kdo co udělal, kdy, a jak to bylo zaznamenáno.
U skupiny s více entitami se tato otázka komplikuje, protože důkaz může vznikat na různých úrovních a ne každá úroveň má stejnou vypovídací hodnotu. Co se v této situaci konkrétně počítá jako důkaz a proč důkaz z jedné entity není automaticky důkazem pro povinnost skupiny, je rozvedeno v tom, co se počítá jako důkaz u povinnosti u skupiny s více entitami.
Seznam vlastníků je výchozí bod, nikoli systém. Aby bylo možné prokazatelně mít vše pod kontrolou, musí být každá povinnost propojena s vlastníkem, s důkazem, který tento vlastník dodává, a s kontrolou, která stanoví, zda je tento důkaz úplný a aktuální. Toto propojení se často zaznamenává v control matrix, přehledu, který u každé povinnosti ukazuje, kdo je odpovědný a jak se to kontroluje. Co přesně control matrix obsahuje a proč seznam vlastníků bez této matrice při auditu neobstojí, je zpracováno v tom, co je control matrix.
Stejně důležitá je otázka, kde se tento důkaz uchovává a zda ho auditor dokáže dohledat bez pomoci organizace. Systém, který je závislý na znalostech jednoho zaměstnance, není systém, ale riziko. Jak se důkaz uchovává tak, aby zůstal dohledatelný, i když se skupina skládá z více entit, je popsáno v tom, jak uchovávat důkaz, aby ho auditor u skupiny s více entitami dohledal.
Přidělování vlastnictví a zavádění dokazování je práce: sestavování přehledů, shromažďování dokumentace, sledování toho, kdo co dodal. Část této práce je opakovatelná a řídí se pevným vzorem, což ji předurčuje pro podporu pomocí AI. Pracovní skenování od FTE TO AI vypočítá pro každý úkol, jakou část této práce lze převzít, takže je vidět, kde jsou lidé stále potřební pro posouzení a kde mohou systémy převzít shromažďování a uspořádání důkazů.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.