Dokazi koje revizor može pronaći

Obveza je dokazana samo ako postoji nešto što druga osoba može provjeriti bez da vas to pita. To je srž dokazivosti: ne ono što vi znate da se dogodilo, nego ono što revizor, nadzorno tijelo ili novi compliance officer može pronaći bez da im to morate objasniti. Mnoge tvrtke tek tijekom revizije otkriju da dokaz doduše postoji, ali da se ne može pronaći.

Što se smatra dokazom

Dokaz nije isto što i politika. Dokument politike kaže što je namjera; dokaz pokazuje da je ta namjera i provedena. Pomislite na odobrenu odluku s datumom i imenom osobe koja je odobrila, razmjenu e-mailova iz koje se vidi razmatranje, dnevnik kontrole koja je stvarno provedena, ili izvještaj koji se poklapa s temeljnim podacima. Što se točno smatra dovoljnim dokazom razlikuje se po obvezi, a što se smatra dokazom kod obveze u grupi s više entiteta pokazuje kako se to pitanje zaoštrava čim se pojavi više poslovnica ili podružnica. Zajednička nit je da se razlika između politike i prakse često podcjenjuje: dokument koji izgleda dobro nije dokaz da je i neko postupio prema njemu. Kako se ta razlika može učiniti vidljivom, razrađeno je na kako dokazujete da je politika i praksa.

Odakle dolazi dokaz

Dokaz najčešće ne nastaje na mjestu gdje je konačno potreban. Procjenu rizika izradi operativni tim, odobrenje se dogodi u e-mailu, kontrola se zabilježi u proračunskoj tablici koja se nalazi samo na lokalnom disku. Do trenutka kada revizor zatraži dokaz da je obveza ispunjena, netko taj dokaz mora ponovno pronaći. Kod jednog entiteta to je već teško; kod grupe s više poslovnica, zemalja ili podružnica to postaje pravo istraživanje. Svaki entitet ima možda svoj arhiv, svoj sustav, svoj način bilježenja. Gdje to točno ide po zlu i zašto to nije samo pitanje discipline, opisano je na gdje se dokaz raspršuje kod grupe s više entiteta. Za grupne strukture posebno postoji razrada istog pitanja kao na ovoj stranici, usmjerena na tu situaciju: kako čuvate dokaz tako da ga revizor pronađe kod grupe.

Ko to mora moći pronaći

Mogućnost pronalaženja počinje s vlasništvom. Dokaz koji nigdje nema vlasnika, nigdje se ne prati i time se ne čuva na mjestu gdje ga tko može pronaći. Za svaku obvezu postoji netko tko konačno može objasniti što je učinjeno i zašto; tko je to nije uvijek samo po sebi jasno u organizaciji s više odjela ili entiteta. Kako se to vlasništvo utvrđuje i zašto ono automatski ne pripada odjelu za usklađenost, stoji na tko je vlasnik obveze. Kad je to vlasništvo jasno, sljedeće pitanje nije još jedan dokument, nego struktura koja povezuje obvezu, vlasnika i dokaz. Ta se struktura obično zove control matrix, a što ta matrica rješava i što ne, objašnjeno je na što je control matrix.

Čuvanje nije pitanje više spremanja

Refleks kod dokazivosti je često: više bilježiti, više arhivirati, više mapa stvarati. To problem ne rješava. Revizor koji mora pretražiti tri sustava da provjeri jednu obveza, to ne doživljava kao stanje pod kontrolom, čak i ako dokaz stvarno postoji. Pitanje nije koliko dokaza postoji, nego može li se povratno pratiti: od obveze do vlasnika, do dokaza, do kontrole koja pokazuje da se to dogodilo. Bez te sljedivosti dokaz ostaje raspršen, i onda kad je na papiru potpun.

To vrijedi jače što je organizacija veća i složenija. Nacionalne prilagodbe iste europske regulative razlikuju se po zemljama, s drugim rokovima, drugim tijelima i drugim očekivanjima o tome što vrijedi kao dokaz. Što je u jednoj zemlji dovoljno, u drugoj to nije automatski. Zbog toga centralna, sljediva struktura za dokaze nije pitanje urednosti, nego uvjet da se održi pregled onoga što je po zemlji, po entitetu i po obvezi stvarno zabilježeno.

Kamo to vodi