En ledelse, der siger at være in control, fremsætter en påstand. En tilsynsmyndighed, revisor eller auditor spørger efter beviset bag den påstand. Det bevis består ikke af en hensigt eller et politikdokument alene. Det består af en kæde: hvilken forpligtelse gælder, hvem er ansvarlig for den, hvilket bevis viser, at forpligtelsen bliver efterlevet, og hvilken kontrol tjekker, at det bevis fortsat holder. Mangler et led, falder påstanden.
Spørgsmålet "er vi in control" er derfor egentlig fire spørgsmål. Ved vi, hvilke forpligtelser der gælder for os. Ved nogen, at de er ejer af det. Er der bevis, der viser, at forpligtelsen bliver efterlevet. Og er der en kontrol, der løbende afprøver det bevis. En ledelse, der har et svar på hvert af disse fire spørgsmål, kan fremvise en dokumentation. En ledelse, der kun har et svar på det første spørgsmål, har en liste — og en liste er ikke det samme som påviselighed.
Mange organisationer har et overblik over regulering. Hvad der ofte mangler er koblingen per forpligtelse: hvem er ejer, hvad er beviset, hvilken kontrol findes. Uden den kobling forbliver en liste en samling løsrevne punkter. Hvem bør være ejer af en forpligtelse er i den forbindelse ikke en formalitet; uden en udpeget ejer forsvinder en forpligtelse mellem afdelinger, og ingen bemærker det, før der bliver spurgt efter bevis.
En anden grund til at lister ikke er nok: politik og praksis afviger fra hinanden. En organisation kan have fastlagt en procedure, uden at den procedure bliver fulgt. Hvad er forskellen mellem politik og praksis berører kernen af, hvad en kontrol egentlig afprøver: ikke om der findes et dokument, men om praksis stemmer overens med det, dokumentet beskriver. Et assurance-forløb spørger efter det sidste, ikke det første.
Compliance Check kortlægger, hvilke forpligtelser der gælder, og kobler for hver forpligtelse en ejer, en form for bevis og en kontrol. Resultatet er ikke rådgivning og ikke en vurdering af, hvor godt en organisation gør det. Det er en struktur: et register, hvor man for hver forpligtelse kan se, hvem der er ansvarlig for hvad, og hvormed det kan påvises. Den struktur er, hvad en ledelse har brug for til at kunne vise noget konkret, når der bliver spurgt, i stedet for at give en forsikring.
Hvad Compliance Check ikke gør: den fortæller ikke, om en forpligtelse faktisk bliver efterlevet. Det forbliver organisationens ansvar og, hvor relevant, revisorens eller assurance-udbyderens. Checken ordner og synliggør, hvor bevis og kontrol mangler; den leverer ikke selv det bevis. Den, der søger en udtalelse om kvaliteten af efterlevelsen, finder ingen vurdering her. Den, der søger en struktur til selv at gøre den efterlevelse påviselig, gør.
Denne fremgangsmåde erstatter ikke juridisk rådgivning om, hvilken tærskel, frist eller artikel der præcist gælder. Disse detaljer forskyder sig, varierer fra situation til situation og afhænger af den præcise tekst i reguleringen, som den gælder på et givent tidspunkt. For den aktuelle tekst og de præcise betingelser henviser denne side til selve kilden, ikke til et resumé, der kan blive forældet.
En anden grænse: regulering er ikke statisk. Et forpligtelsesregister, der er korrekt i dag, kan være ufuldstændigt næste år. Hvor ofte ændrer et forpligtelsesregister sig er derfor ikke en bisag men en del af selve påviseligheden: et register uden en vedligeholdelsesrytme er et øjebliksbillede, ikke et bevis på løbende kontrol.
En tredje grænse berører specifikt den europæiske kontekst. Den samme europæiske regel udmønter sig forskelligt fra medlemsstat til medlemsstat: andre tærskler, andre frister, andre tilsynsmyndigheder. En organisation, der kun kender den europæiske tekst og ikke den nationale gennemførelse, mangler en del af forpligtelsen. Hvordan holder man styr på nationale gennemførelser uden en jungle af abonnementer beskriver, hvorfor dette punkt oftere bliver undervurderet end forventet, og hvorfor det netop er dette nationale lag, der overrasker ledelser.
Når en revisor eller assurance-udbyder afgiver en erklæring om efterlevelsen af rapporteringsforpligtelser, spørger den ikke om en hensigt men om en dokumentation: kildedokumenter, en fastlagt ejer per emne, og en kontrolmekanisme, der viser, at processen kan gentages, ikke kun udføres én gang. Hvad kræver en assurance-erklæring af din dokumentation beskriver disse krav mere konkret. En ledelse, der forbereder sig på dette, gør bedst i at opbygge dokumentationen, før spørgsmålet stilles, ikke bagefter.
Denne arbejdsmetode fastlægger, hvad der skal ske og hvem der gør det. Den siger ikke noget om, hvor meget tid det tager, eller om hvilken del af det arbejde der forbliver manuelt og hvilken del der kan automatiseres. Den, der spørger sig selv, hvor meget kapacitet et forpligtelsesregister, indsamling af bevis og vedligeholdelse af kontroller strukturelt kræver, og hvilken del af det AI kan overtage, finder svaret i arbejdsscanningen fra FTE TO AI: den beregner per opgave, hvilken del af arbejdet der kommer i betragtning til det, uafhængigt af spørgsmålet om, hvilke forpligtelser der præcist gælder.
Compliance Check er under opbygning. Den, der ønsker at bruge resultatet, så snart det er tilgængeligt, kan tilmelde sig ventelisten.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.