En forpligtelse, der står på papir, er endnu ikke en forpligtelse, der er efterlevet. Mellem ‘vi har en politik’ og ‘vi kan påvise, at vi har kontrol’ ligger et lag, der ofte springes over: bevis. Og ikke ethvert dokument, der ligger et sted, tæller som bevis.
Et politikdokument beskriver en hensigt. Det angiver, hvad en organisation vil gøre, ikke hvad der faktisk er sket. En revisor eller tilsynsmyndighed spørger ikke til politikken, men til dens resultat: er risikovurderingen faktisk udført, er godkendelsen dokumenteret, er afvigelsen indberettet på det tidspunkt, den opstod. Hvordan dette skridt fra politik til praksis gøres påviseligt, afhænger af typen af forpligtelse og den måde, en proces er indrettet på; hvordan De påviser, at politik også er praksis går nærmere ind på dette skel.
Bevis er et spor, der registrerer en handling, en beslutning eller en kontrol på det tidspunkt, den fandt sted, med en dato, et navn og et resultat. En e-mail, hvori en risiko er indberettet. En linje i et referat, hvor en bestyrelse har foretaget en afvejning. En logfil, der viser, at en kontrol faktisk er udført, ikke blot at den var planlagt. En underskrevet erklæring fra en leverandør. Det fælles kendetegn: det kan efterfølgende rekonstrueres, hvem der gjorde hvad hvornår, uden at nogen behøver at genfortælle det.
Om noget tæller som bevis, afhænger i høj grad af den forpligtelse, det vedrører. En rapporteringsforpligtelse kræver en anden type spor end en omsorgspligt, og en omsorgspligt kræver igen noget andet end en anmeldelsespligt. Der findes ingen fast liste, der giver det samme svar for hver forpligtelse; hvad der tæller, følger af forpligtelsens egen karakter og af, hvad en tilsynsmyndighed har fastlagt om dette.
I praksis opstår bevis sjældent på ét sted. En risikovurdering ligger i et regneark hos første linje. Godkendelsen ligger i en e-mailkorrespondance med en leder. Den endelige kontrol ligger i et system hos en tredjepart. Når en forpligtelse skal påvises, skal nogen finde disse tre spor igen — og det lykkes ikke altid. I takt med at en organisation bliver større, får flere afdelinger eller samarbejder med flere eksterne parter, øges risikoen for, at bevis ligger et sted, som ingen længere kender til. hvor bevis bliver spredt beskriver de mest almindelige mønstre i den forbindelse: overdragelser mellem afdelinger, systemskift og processer, der er placeret hos en ekstern part.
Bevis, der ikke kan findes af andre end den, der har skabt det, fungerer ikke som bevis. En revisor, en ny compliance officer eller en tilsynsmyndighed skal kunne følge et spor, uden at den oprindelige forfatter sidder ved siden af og forklarer det. Det stiller krav til, hvor bevis opbevares og hvordan det er mærket: koblet til den forpligtelse, det vedrører, med en dato og en ansvarlig, på et sted, der ikke afhænger af én person, som tilfældigvis stadig er ansat. hvordan De opbevarer bevis, så en revisor finder det går nærmere ind på denne indretning.
Hvert stykke bevis hører til en forpligtelse, og hver forpligtelse hører til en person, der kan forklare, hvorfor beviset er tilstrækkeligt. Uden denne kobling opstår et arkiv af dokumenter, som ingen længere ved, hvilken forpligtelse de skulle påvise, eller hvem der var ansvarlig for deres kvalitet. hvem der er ejer af en forpligtelse beskriver, hvorfor denne tildeling ikke er en formalitet, men det led, der gør bevis anvendeligt, når der efterspørges det.
De fire elementer — forpligtelse, ejer, bevis, kontrol — bør høre sammen i ét overblik, ikke være spredt ud over afdelinger og systemer. Dette overblik har et navn: en control matrix. Hvad denne matrix præcis indeholder, og hvordan den opbygges, er beskrevet på hvad en control matrix er. I en koncern med flere enheder eller lokationer i forskellige lande bliver dette spørgsmål mere komplekst, fordi bevis på ét niveau ikke automatisk er gyldigt på et andet; hvad der tæller som bevis for en forpligtelse i en koncern med flere enheder går specifikt ind på denne situation.
Denne side beskriver, hvad bevis er og hvor det går galt, ikke hvilket bevis der specifikt er tilstrækkeligt for Deres organisation. Det afhænger af forpligtelsen, sektoren og det land, hvor en enhed er etableret — samt af den måde, nationale lovgivere har implementeret en europæisk regel. csrdcompliance.net påpeger denne forskel, men træder ikke i stedet for juridisk rådgivning og giver ingen garanti for et resultat hos en tilsynsmyndighed.
At kortlægge og få bevis i ordentlig stand kræver arbejde: at samle spor, koble dem til en forpligtelse, mærke dem, så en anden kan finde dem igen. En del af dette arbejde er gentageligt og følger et fast mønster, hvilket gør det egnet til (delvis) automatisering. Arbejdsscanen fra FTE TO AI beregner for hver opgave, hvor stor en del af dette arbejde AI kan overtage, så det bliver tydeligt, hvor mennesker fortsat er nødvendige til vurdering, og hvor indsamling og ordning af bevis kan understøttes. Compliance Check fra csrdcompliance.net er under udvikling; den, der ønsker besked herom, kan tilmelde sig ventelisten.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.