Kennisbank

Što control-matrica točno utvrđuje

Uprava koja se traži da dokaže da ima nadzor nad situacijom (in control), ne može se zadovoljiti izjavom da politika postoji. Mora postojati struktura koja po obvezi pokazuje tko je odgovoran, koji dokaz postoji i koja kontrola osigurava da taj dokaz ostane točan. Ta se struktura zove control-matrica. Nije riječ o obliku izvještavanja niti o predlošku koji se popunjava za revizora; to je način na koji organizacija sama sebi može objasniti što se događa i zašto je to dovoljno.

Tri stupca koja stvarno igraju ulogu

Control-matrica sastoji se od više od popisa obveza. Po obvezi utvrđuju se najmanje tri stvari: tko je vlasnik, koji je dokaz da je ta obveza ispunjena i koja kontrola prati da taj dokaz ostane aktualan i točan. Bez vlasnika obveza ne postaje ničiji zadatak. Bez dokaza obveza je namjera. Bez kontrole dokaz je trenutni snimak koji zastarijeva čim se organizacija promijeni. Tko je vlasnik obveze u grupi s više entiteta zato nije detalj koji se ispunjava kasnije, već prva stvar koja mora biti utvrđena prije nego što matrica nešto znači.

Što vrijedi kao dokaz razlikuje se po obvezi i po zemlji u kojoj obveza vrijedi. Europsko pravilo koje u temeljnom tekstu izgleda jednoznačno, u nacionalnoj transpoziciji često se drukčije popunjava: drugi oblik dokaza, druga frekvencija, drugo tijelo koje ga mora utvrditi. Matrica koja za to ne ostavlja prostora, izgleda potpuna, a nije. Za precizniju razradu onoga što u konkretnom slučaju vrijedi kao dokaz, što vrijedi kao dokaz kod obveze u grupi s više entiteta polazna je točka, ne ova stranica.

Zašto se dokaz razdvaja

U grupi s više entiteta, više zemalja ili više odjela, dokaz rijetko nastaje na jednom mjestu. Politika je smještena u pravnim poslovima, izvršenje u lokalnoj podružnici, izvještavanje u financijama, a odobrenje kod uprave koja cjelinu ne vidi svakodnevno. Control-matrica koja to ne mapira, skriva da je fragmentacija stvarni rizik. Ne nedostatak politike, već nemogućnost pronalaska dokaza da je politika i primijenjena. Gdje to točno ide pogrešno i zašto se to kod grupnih struktura događa češće nego kod jednog entiteta, razrađeno je na gdje se dokaz raspršuje u grupi s više entiteta.

Matrica tu fragmentaciju ne rješava tako da sve prikupi na jednom mjestu — to često nije izvedivo, a ni potrebno. Što matrica jest radi, jest da naznačuje gdje se svaki dio dokaza nalazi i tko na njega može upozoriti u trenutku kada se to traži. To je drugi cilj od centralizacije: riječ je o pronalazivosti, ne o prikupljanju.

Politika nije isto što i praksa

Uobičajena pogreška u control-matrici je da dokaz čini sam dokument politike. Dokument politike pokazuje da je organizacija nešto odlučila, ne da se to i događa. Revizor ili nadzorno tijelo koje postavlja daljnja pitanja, želi znati kako se politika prevodi u konkretnu, ponovljivu radnju: odobrenje koje je zabilježeno, provjeru koja je izvršena, odstupanje koje je uočeno i praćeno. Kako ta razlika funkcionira u praksi, objašnjeno je na kako dokazati da je politika i praksa u grupi s više entiteta. Control-matrica koja tu razliku ne pravi, daje lažnu sigurnost: na papiru potpuna, u praksi neodrživa.

Pronalazivost kao zahtjev, ne kao usputna stvar

Vrijednost control-matrice ne ovisi o tome koliko je potpuna u trenutku izrade, već o tome koliko dobro odolijeva u trenutku kada netko izvana o njoj postavlja pitanja. To znači da dokaz ne samo da mora postojati, već se mora i čuvati na način koji revizor bez prethodnog poznavanja organizacije može pratiti. Matrica koja upućuje na dokaz koji nitko više ne može pronaći, u praksi je prazna matrica. Što je za to potrebno u pogledu čuvanja i strukture, opisano je na kako čuvati dokaz tako da ga revizor pronađe u grupi s više entiteta. U grupi s više entiteta to je posebna točka pažnje, jer dokaz koji je lokalno pohranjen rijetko je sam po sebi vidljiv onome koji na razini grupe polaže račune. Više o izgradnji same matrice u takvoj strukturi na što je control-matrica u grupi s više entiteta.

Od matrice do izvršenja

Control-matrica čini vidljivim tko koji dokaz mora prikupiti, održavati aktualnim i moći pokazati. To je posao koji se ponavlja: ista provjera, isto prikupljanje, ista verifikacija, iznova i iznova, često kroz više entiteta i zemalja istovremeno. Čim ta ponavljanost postane vidljiva, javlja se pitanje koji je dio toga zadatak koji netko mora iznova obavljati svaki put, a koji je dio dovoljno sustavan da se organizira drukčije. Radna skena (werkscan) FTE TO AI izračunava po zadatku koji dio tog posla AI može preuzeti, na temelju zadataka kako su već opisani u control-matrici.