En forpligtelse der findes på papiret men ikke har en ejer, findes ikke for en revisor. Det er kernen i det, mange organisationer strander på. Der er identificeret en rapporteringsforpligtelse, der er skrevet en politik, men spørgsmålet om hvem der dagligt sørger for at politikken bliver udført, og hvem der kan dokumentere at dette sker, forbliver ubesvaret. Uden et navn på en forpligtelse er der ingen kontrol, og uden kontrol er der ingen dokumenterbar compliance.
Ejerskab af en forpligtelse er mere end et navn i et organisationsdiagram. Det betyder at én person eller én funktion er ansvarlig for tre ting: at forpligtelsen udføres, at beviset herfor bliver registreret, og at dette bevis kan findes i det øjeblik nogen spørger efter det. En ejer der kun ved at en opgave hører til ham, men ikke kan vise hvad der er registreret om det, er i praksis ikke en ejer men et navn på en liste.
Denne sondring er præcis der hvor mange interne kontrolsystemer kommer til kort. Politik fastlægges på bestyrelsesniveau, udførelse finder sted på afdelingsniveau, og forbindelsen mellem dem gøres sjældent explicit. Hvordan denne forbindelse kan etableres, og hvorfor politik og praksis uden denne forbindelse glider fra hinanden, er beskrevet i hvordan De dokumenterer at politik også er praksis.
I en enkeltstående organisation kan ejeren af en forpligtelse som regel stadig findes: der er én juridisk enhed, én bestyrelse, ét sæt bøger. I en gruppe med flere enheder ændrer det sig. En forpligtelse der gælder på gruppeniveau, skal udføres et sted i organisationen, og det kan være på gruppeniveau, på niveau af et driftsselskab, eller spredt over flere enheder der hver leverer en del af informationen.
Spørgsmålet om hvem der er ejer, bliver da et spørgsmål om struktur: hvilken enhed konsoliderer dataene, hvilken enhed leverer de underliggende data, og hvem er ansvarlig hvis et af disse led mangler. Dette spørgsmål er så ofte og så specifikt relevant ved gruppestrukturer, at der findes en separat behandling af det: hvem er ejer af en forpligtelse i en gruppe med flere enheder går i dybden med hvordan dette ansvar fordeles, og hvor fordelingen går skævt.
Ejerskab og bevis hører sammen, men i praksis glider de fra hinanden. En ejer udpeges på baggrund af et organisationsskema, mens beviset for udførelse registreres et andet sted: i en e-mail, et regneark på en lokal disk, et system der kun bruges i ét driftsselskab. Den der skal aflægge regnskab på gruppeniveau, skal da først finde ud af hvor beviset befinder sig, før han kan vise at forpligtelsen er opfyldt.
Dette problem er ikke tilfældigt, det er strukturelt i enhver organisation der består af flere dele. Netop her går hvor bevis bliver spredt i en gruppe med flere enheder videre: hvilke steder i en organisation lader bevis opstå uden at nogen samler det centralt, og hvorfor det først bliver bemærket i det øjeblik en revisor spørger efter det.
Ikke ethvert dokument der leveres, tæller som bevis for en revisor. Et politikdokument viser at der er en hensigt, ikke at denne hensigt er udført. Et referat fra et bestyrelsesmøde viser at et emne er blevet diskuteret, ikke at en beslutning er blevet fulgt op. Bevis skal have en direkte forbindelse til den forpligtelse det skal underbygge: hvem har gjort hvad, hvornår, og hvordan er det registreret.
I en gruppe med flere enheder bliver dette spørgsmål mere komplekst, fordi bevis kan opstå på forskellige niveauer, og ikke hvert niveau har samme bevisværdi. Hvad der i den situation specifikt tæller som bevis, og hvorfor bevis fra én enhed ikke uden videre er bevis for gruppens forpligtelse, er beskrevet i hvad der tæller som bevis for en forpligtelse i en gruppe med flere enheder.
En liste af ejere er et udgangspunkt, ikke et system. For at være dokumenterbart i kontrol skal hver forpligtelse være forbundet med en ejer, med det bevis den ejer leverer, og med en kontrol der fastslår om dette bevis er fuldstændigt og aktuelt. Denne forbindelse registreres ofte i en control matrix, et overblik der per forpligtelse viser hvem der er ansvarlig og hvordan det kontrolleres. Hvad en control matrix præcis indebærer, og hvorfor en liste med ejere uden denne matrix ikke holder ved en audit, behandles i hvad en control matrix er.
Lige så vigtigt er spørgsmålet om hvor beviset opbevares, og om en revisor kan finde det igen uden organisationens hjælp. Et system der afhænger af én medarbejders viden, er ikke et system men en risiko. Hvordan bevis opbevares så det forbliver findeligt, også når en gruppe består af flere enheder, er beskrevet i hvordan De opbevarer bevis så en revisor finder det i en gruppe med flere enheder.
At tildele ejerskab og indrette bevisførelse er arbejde: at opstille overblik, at samle dokumentation, at holde styr på hvem der har leveret hvad. En del af dette arbejde er gentagbart og følger et fast mønster, hvilket gør det egnet til understøttelse af AI. Werkscan fra FTE TO AI beregner per opgave hvilken del af dette arbejde der kan overtages, så det bliver synligt hvor mennesker stadig er nødvendige til vurdering, og hvor systemer kan overtage indsamling og ordning af bevis.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.