En bestyrelse kan godkende et politikdokument og samtidig ikke vide, om denne politik også bliver anvendt. Det er ingen undtagelse, det er den normale tilstand i en organisation, hvor politik skrives centralt og udføres decentralt. Det spørgsmål en revisor stiller, er ikke "har De en politik", men "kan De vise at denne politik virker". Det er et andet slags spørgsmål, og det kræver et andet slags svar.
Politik er en hensigt. Den beskriver, hvad en organisation ønsker at gøre: hvordan den forholder sig til leverandører, til data, til risici. Praksis er, hvad der rent faktisk sker på arbejdsgulvet, i et system, i en beslutning der blev truffet sidste måned. Mellem disse to kan der være en forskel, som ingen har bemærket, simpelthen fordi ingen systematisk har undersøgt, om politikken også blev udført som tiltænkt.
Påviselighed bygger bro over denne forskel. Det er ikke politikken selv, men det spor der påviser, at politikken er blevet anvendt: en beslutning, en godkendelse, en afvigelse der er registreret og fulgt op på. Uden dette spor er politik en erklæring om hensigt, ikke om udførelse.
Ikke ethvert dokument, der handler om et emne, er bevis for, at forpligtelsen er blevet efterlevet. En procesbeskrivelse viser, hvordan noget skulle fungere, ikke at det har fungeret på den måde. Bevis der holder, er som regel mere konkret: en godkendelse med dato og navn, en systemlog, en afvigelsesrapport med den efterfølgende handling der blev truffet. Hvad der tæller som bevis ved en forpligtelse, uddybet for en gruppe med flere enheder viser, hvilket detaljeniveau der er nødvendigt for at gøre en forpligtelse påviselig, og hvilket niveau der ikke er tilstrækkeligt.
Denne sondring er vigtigere, end den lyder. En organisation, der nøjes med politikdokumenter og træningsoversigter, har som regel mere papir end bevis. Spørgsmålet er ikke, hvor meget dokumentation der findes, men om denne dokumentation viser, at en bestemt handling på et bestemt tidspunkt er blevet udført af en bestemt person.
I en enkelt enhed med en overskuelig organisation kan bevis som regel findes på et begrænset antal steder. I en gruppe med flere enheder, lande eller afdelinger opstår et andet billede. Politik fastlægges centralt, men udførelsen finder sted i datterselskaber, der har egne systemer, egne ansvarlige og egne måder at registrere på. Beviset for, at politikken virker, opstår derfor på dusinvis af steder på samme tid, uden at der findes et centralt overblik over, hvor dette bevis præcist befinder sig.
Hvor bevis bliver spredt i en gruppe med flere enheder beskriver, hvordan denne fragmentering opstår, og hvorfor den ofte først viser sig i det øjeblik, hvor nogen faktisk har brug for beviset. Dette øjeblik er som regel en revision, en due diligence, eller et spørgsmål fra en tilsynsmyndighed, og det er netop det øjeblik, hvor hastværk og usikkerhed er mest skadelige.
Bevis der findes, men ikke kan findes, fungerer i praksis ikke som bevis. En revisor, der skal vente tre uger på et svar, der allerede lå et andet sted, drager en konklusion om kvaliteten af den interne kontrol ud fra dette, uafhængigt af spørgsmålet om, hvorvidt den underliggende politik indholdsmæssigt var i orden. Påviselighed kræver derfor ikke kun bevis, men en struktur, hvor dette bevis kommer frem inden for en rimelig tid.
Hvordan De opbevarer bevis, så en revisor finder det, uddybet for en gruppe med flere enheder går ind på denne findbarhed: hvor bevis registreres, hvem der har adgang til det, og hvordan det forhindres, at svaret på et simpelt spørgsmål bliver en søgeaktion, der tager uger. Til dette hører også en klar tildeling af ejerskab: hvem der er ejer af en forpligtelse i en gruppe med flere enheder bestemmer nemlig ikke kun, hvem der er ansvarlig for udførelsen, men også hvem der kan holdes ansvarlig i det øjeblik, hvor beviset bliver efterspurgt.
For at bringe politik og praksis sammen skal det for hver forpligtelse være klart, hvem der er ejer, hvad der gælder som bevis, og hvilken kontrol der påviser, at beviset periodisk kontrolleres. Disse tre elementer udgør sammen en control matrix: et overblik der forbinder forpligtelse, ejer og bevis, så en bestyrelse ikke for hvert spørgsmål skal rekonstruere, hvem der var ansvarlig for hvad. Den samme struktur, specifikt udformet til kompleksiteten i en koncernstruktur, er beskrevet i hvordan De påviser at politik også er praksis i en gruppe med flere enheder.
Compliance Check fra csrdcompliance.net er under opbygning. Målet er et overblik, hvor ejeren, beviset og den tilhørende kontrol for hver forpligtelse er registreret, så en bestyrelse kan påvise, at den har kontrol i stedet for at skulle hævde det. Den der ønsker at benytte dette, så snart det er tilgængeligt, kan tilmelde sig ventelisten.
At kortlægge ejerskab og bevis er den ene side af sagen, at udføre alle disse kontroller og registreringer er den anden. Den der spekulerer på, hvor meget af dette udførende arbejde der faktisk skal blive ved med at være menneskeligt arbejde, kan besøge werkscan fra FTE TO AI: den beregner for hver opgave, hvilken del af arbejdet der kan overtages af AI, og hvilken del der kræver en vurdering, som forbliver hos et menneske.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.