Velvoite, joka on olemassa paperilla mutta ei omistajaa, ei ole auditoijan silmissä olemassa. Siinä on ydin siitä, mihin monet organisaatiot juuttuvat. Raportointivelvoite on tunnistettu, käytäntö on kirjoitettu, mutta kysymys siitä, kuka päivittäin huolehtii käytännön toteuttamisesta ja kuka voi osoittaa, että se tapahtuu, jää vastaamatta. Ellei velvoitteella ole nimeä, ei ole valvontaa, ja ellei ole valvontaa, ei ole osoitettavaa vaatimustenmukaisuutta.
Velvoitteen omistajuus on enemmän kuin nimi organisaatiokaaviossa. Se tarkoittaa, että yksi henkilö tai yksi toiminto on vastuussa kolmesta asiasta: siitä, että velvoite toteutetaan, siitä, että todisteet tästä tallennetaan, ja siitä, että tämä todiste on löydettävissä sillä hetkellä, kun joku sitä kysyy. Omistaja, joka tietää vain, että tehtävä kuuluu hänelle, mutta ei voi näyttää, mitä siitä on tallennettu, on käytännössä ei omistaja vaan nimi listalla.
Juuri tämä ero on kohta, jossa monet sisäiset valvontajärjestelmät jäävät vaillinaisiksi. Käytäntö vahvistetaan hallitustasolla, toteutus tapahtuu osastotasolla, ja näiden välinen kytkös tehdään harvoin näkyväksi. Kuinka tämä kytkös voidaan tehdä, ja miksi käytäntö ja toteutus eriytyvät toisistaan sitä puuttuessa, on kuvattu artikkelissa miten osoitat, että käytäntö on myös käytäntöä.
Yksittäisessä organisaatiossa velvoitteen omistaja on yleensä vielä löydettävissä: on yksi oikeushenkilö, yksi hallitus, yksi kirjanpito. Useista yksiköistä koostuvassa ryhmässä tilanne muuttuu. Ryhmätasolla pätevä velvoite on toteutettava jossakin organisaatiossa, ja tämä voi tapahtua ryhmätasolla, tytäryhtiön tasolla tai hajautettuna useille yksiköille, joista kukin toimittaa osan tiedoista.
Kysymyksestä siitä, kuka on omistaja, tulee silloin kysymys rakenteesta: mikä yksikkö konsolidoi tiedot, mikä yksikkö toimittaa taustalla olevan datan ja kuka on vastuussa, jos yksi näistä lenkeistä puuttuu. Tämä kysymys nousee esiin niin usein ja niin nimenomaisesti ryhmärakenteissa, että siitä on erillinen käsittely: kuka omistaa velvoitteen useista yksiköistä koostuvassa ryhmässä käsittelee sitä, miten tämä vastuu jakautuu ja missä jako menee pieleen.
Omistajuus ja todisteet kuuluvat yhteen, mutta käytännössä ne erkanevat toisistaan. Omistaja nimetään organisaatiokaavion perusteella, kun taas toteutuksen todiste tallentuu johonkin muualle: sähköpostiin, paikallisella asemalla olevaan taulukkolaskentaan, järjestelmään, jota käytetään vain yhdessä tytäryhtiössä. Se, jonka on tehtävä tiliä ryhmätasolla, joutuu ensin selvittämään, missä todiste sijaitsee, ennen kuin hän voi osoittaa, että velvoite on täytetty.
Tämä ongelma ei ole satunnainen, se on rakenteellinen kaikissa organisaatioissa, jotka koostuvat useista osista. Juuri tästä jatkaa mihin todisteet hajautuvat useista yksiköistä koostuvassa ryhmässä: mitkä kohdat organisaatiossa synnyttävät todisteita ilman, että kukaan kerää niitä keskitetysti, ja miksi tämä huomataan vasta sillä hetkellä, kun auditoija kysyy niitä.
Ei jokainen toimitettu asiakirja lasketa auditoijan silmissä todisteeksi. Käytäntödokumentti osoittaa, että aikomus on olemassa, ei että se aikomus on toteutettu. Hallituksen kokouksen pöytäkirja osoittaa, että aihetta on käsitelty, ei että päätöstä on noudatettu. Todisteella tulee olla suora yhteys velvoitteeseen, jota sen on tarkoitus tukea: kuka teki mitä, milloin, ja miten se on tallennettu.
Useista yksiköistä koostuvassa ryhmässä tämä kysymys mutkistuu, koska todisteita voi syntyä eri tasoilla, ja jokaisella tasolla ei ole yhtä paljon painoarvoa. Mikä tässä tilanteessa nimenomaan lasketaan todisteeksi, ja miksi yhden yksikön todiste ei sellaisenaan ole todiste ryhmän velvoitteesta, on käsitelty artikkelissa mikä lasketaan todisteeksi velvoitteesta useista yksiköistä koostuvassa ryhmässä.
Omistajaluettelo on lähtökohta, ei järjestelmä. Osoitettavan hallinnan saavuttamiseksi jokainen velvoite on kytkettävä omistajaan, tuon omistajan tuottamaan todisteeseen ja kontrolliin, joka toteaa, onko tämä todiste täydellinen ja ajan tasalla. Tämä kytkös tallennetaan usein kontrollimatriisiin, yhteenvetoon, joka näyttää velvoitekohtaisesti, kuka on vastuussa ja miten sitä valvotaan. Mitä kontrollimatriisi tarkalleen tarkoittaa ja miksi omistajaluettelo ilman tätä matriisia ei kestä auditointia, käsitellään artikkelissa mikä kontrollimatriisi on.
Yhtä tärkeä on kysymys siitä, missä todiste säilytetään ja voiko auditoija löytää sen ilman organisaation apua. Järjestelmä, joka riippuu yhden työntekijän tietämyksestä, ei ole järjestelmä vaan riski. Kuinka todiste säilytetään niin, että se pysyy löydettävissä myös silloin, kun ryhmä koostuu useista yksiköistä, on kuvattu artikkelissa miten säilytät todisteet niin, että auditoija löytää ne useista yksiköistä koostuvassa ryhmässä.
Omistajuuden osoittaminen ja todistuskäytännön järjestäminen on työtä: yhteenvetojen laatimista, dokumentaation keräämistä, sen seuraamista, kuka on toimittanut mitä. Osa tästä työstä on toistettavaa ja noudattaa vakiokaavaa, minkä ansiosta se soveltuu tekoälyn tuen piiriin. FTE TO AI:n työscan laskee tehtäväkohtaisesti, mikä osa tästä työstä voidaan siirtää eteenpäin, jolloin näkyväksi tulee, missä ihmisiä tarvitaan edelleen arvioinnissa ja missä järjestelmät voivat ottaa hoidettavakseen todisteiden keräämisen ja järjestämisen.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.