Kennisbank

Bevis, som en revisor kan finde

En forpligtelse er først dokumenteret, når der findes noget, som en anden kan kontrollere uden at skulle spørge Dem om det. Det er kernen i dokumenterbarhed: ikke hvad De ved er sket, men hvad en revisor, en tilsynsmyndighed eller en ny compliance officer kan finde igen, uden at De behøver forklare det. Mange virksomheder opdager først under en audit, at beviset ganske vist findes, men ikke kan findes.

Hvad der tæller som bevis

Bevis er ikke det samme som politik. Et politikdokument siger, hvad hensigten er; bevis viser, at den hensigt også er blevet udført. Tænk på en godkendt beslutning med dato og navnet på godkenderen, en e-mailkorrespondance, hvoraf en afvejning fremgår, en logbog over en kontrol, der faktisk er blevet udført, eller en rapportering, der stemmer overens med de underliggende data. Hvad der præcist tæller som tilstrækkeligt bevis, varierer fra forpligtelse til forpligtelse, og hvad der tæller som bevis ved en forpligtelse i en koncern med flere enheder viser, hvordan dette spørgsmål skærpes, så snart der kommer flere afdelinger eller datterselskaber ind i billedet. Den røde tråd er hver gang, at forskellen mellem politik og praksis ofte undervurderes: et dokument, der ser godt ud, er ikke bevis for, at nogen også har handlet efter det. Hvordan denne forskel kan gøres synlig, er uddybet på hvordan De påviser, at politik også er praksis.

Hvor beviset kommer fra

Bevis opstår sjældent på det sted, hvor det i sidste ende er nødvendigt. En risikovurdering udarbejdes af et operationelt team, en godkendelse sker i en e-mail, en kontrol registreres i et regneark, der kun findes på en lokal harddisk. Når en revisor til sidst spørger, om en forpligtelse er blevet efterlevet, skal nogen finde beviset igen. For en enkelt enhed er det allerede besværligt; for en koncern med flere afdelinger, lande eller datterselskaber bliver det en søgning i sig selv. Hver enhed har muligvis sit eget arkiv, sit eget system, sin egen måde at registrere på. Hvor det præcist går skævt, og hvorfor det ikke blot er et spørgsmål om disciplin, er beskrevet på hvor bevis bliver spredt i en koncern med flere enheder. For koncernstrukturer specifikt findes der en uddybning af samme spørgsmål som på denne side, men målrettet den situation: hvordan De opbevarer bevis, så en revisor kan finde det i en koncern.

Hvem der skal kunne finde det

Mulighed for at finde bevis begynder med ejerskab. Bevis, som ingen steder har en ejer, bliver ikke holdt opdateret nogen steder og opbevares derfor heller ikke på et sted, hvor nogen kan finde det. For hver forpligtelse er der en person, der i sidste ende kan forklare, hvad der er gjort og hvorfor; hvem det er, er ikke altid selvindlysende i en organisation med flere afdelinger eller enheder. Hvordan dette ejerskab fastlægges, og hvorfor det ikke automatisk ligger hos compliance-afdelingen, står på hvem der er ejer af en forpligtelse. Når ejerskabet er klart, er det næste spørgsmål ikke endnu et dokument, men en struktur, der forbinder forpligtelse, ejer og bevis med hinanden. Denne struktur kaldes normalt en control matrix, og hvad denne matrix løser og ikke løser, er forklaret på hvad en control matrix er.

Opbevaring er ikke et spørgsmål om mere lagring

Refleksen ved dokumenterbarhed er ofte: registrere mere, arkivere mere, oprette flere mapper. Det løser ikke problemet. En revisor, der skal gennemsøge tre systemer for at kontrollere én forpligtelse, oplever det ikke som at være i kontrol, selv om beviset faktisk findes. Spørgsmålet er ikke, hvor meget bevis der findes, men om det kan spores: fra forpligtelsen til ejeren, til beviset, til den kontrol, der viser, at det er sket. Uden denne sporbarhed forbliver beviset spredt, også selv om det er fuldstændigt på papiret.

Dette gælder i højere grad, i takt med at en organisation er større og mere kompleks. Nationale udmøntninger af samme europæiske regel udfalder forskelligt fra land til land, med forskellige tidsfrister, forskellige myndigheder og forskellige forventninger til, hvad der gælder som bevis. Hvad der er tilstrækkeligt i ét land, er det ikke automatisk i et andet. Det gør en central, sporbar struktur for bevis ikke til et spørgsmål om ordentlighed, men til en forudsætning for at bevare overblikket over, hvad der faktisk er registreret pr. land, pr. enhed og pr. forpligtelse.

Hvad dette fører til

At registrere, opdatere og gøre bevis genfindeligt er selv en form for arbejde: at ordne dokumenter, oprette henvisninger, kontrollere om et dossier er komplet, før en revisor spørger om det. En del af dette arbejde er repetitivt og følger et fast mønster pr. forpligtelse. Den, der vil vide, hvilken del af dette arbejde AI kan tage over, og hvilken del forbliver afhængig af menneskelig vurdering, kan få det beregnet med arbejdsscanningen fra FTE TO AI, som pr. opgave angiver, hvor meget plads der er til automatisering.