Egy kötelezettség, amely papíron létezik, de nincs tulajdonosa, egy auditor számára nem létezik. Ez a lényege annak, ahol sok szervezet elakad. Van egy azonosított jelentési kötelezettség, van megírt szabályzat, de a kérdés, hogy ki gondoskodik naponta arról, hogy a szabályzat végrehajtásra kerüljön, és ki tudja igazolni, hogy ez megtörténik, megválaszolatlan marad. Egy név nélkül egy kötelezettséghez nincs kontroll, és kontroll nélkül nincs igazolható megfelelés.
Egy kötelezettség tulajdonosisága több, mint egy név egy szervezeti ábrán. Azt jelenti, hogy egyetlen személy vagy egyetlen funkció felelős három dologért: hogy a kötelezettség végrehajtásra kerül, hogy ennek bizonyítéka rögzítésre kerül, és hogy ez a bizonyíték megtalálható abban a pillanatban, amikor valaki rákérdez. Egy tulajdonos, aki csak tudja, hogy egy feladat hozzá tartozik, de nem tudja megmutatni, mi lett ebből rögzítve, a gyakorlatban nem tulajdonos, hanem csupán egy név egy listán.
Ez a megkülönböztetés pontosan az, ahol sok belső kontrollrendszer elégtelennek bizonyul. A szabályzatot igazgatósági szinten állapítják meg, a végrehajtás osztályszinten történik, és a kettő közötti kapcsolatot ritkán teszik explicitté. Hogy hogyan lehet mégis megteremteni ezt a kapcsolatot, és miért válik el egymástól a szabályzat és a gyakorlat e kapcsolat nélkül, azt leírja: hogyan igazolja, hogy a szabályzat egyben gyakorlat is.
Egy egyszerű szervezet esetén egy kötelezettség tulajdonosa általában még megtalálható: van egy jogi entitás, egy igazgatóság, egy könyvelés. Egy több entitásból álló csoport esetén ez megváltozik. Egy kötelezettség, amely csoportszinten érvényes, valahol a szervezeten belül végrehajtásra kell kerüljön, és ez lehet csoportszinten, egy leányvállalat szintjén, vagy megoszolva több entitás között, amelyek mindegyike az információ egy részét szolgáltatja.
A kérdés, hogy ki a tulajdonos, ekkor egy struktúráról szóló kérdéssé válik: melyik entitás konszolidálja az adatokat, melyik entitás szolgáltatja az alapul szolgáló adatokat, és ki a felelős, ha ezen láncszemek egyike hiányzik. Ez a kérdés olyan gyakran és olyan specifikusan merül fel csoportstruktúráknál, hogy erre külön tárgyalás létezik: ki a tulajdonosa egy kötelezettségnek egy több entitásból álló csoportnál tér ki arra, hogyan oszlik meg ez a felelősség, és hol siklik félre a megosztás.
A tulajdonosság és a bizonyíték összetartoznak, de a gyakorlatban elválnak egymástól. Egy tulajdonost egy szervezeti séma alapján jelölnek ki, miközben a végrehajtás bizonyítéka valahol máshol kerül rögzítésre: egy e-mailben, egy helyi meghajtón lévő táblázatban, egy rendszerben, amelyet csak egy leányvállalatnál használnak. Aki csoportszinten köteles elszámolni, annak először ki kell derítenie, hol található a bizonyíték, mielőtt megmutathatná, hogy a kötelezettséget teljesítették.
Ez a probléma nem eseti jellegű, hanem strukturális minden olyan szervezetnél, amely több részből áll. Pontosan itt folytatódik hol szóródik szét a bizonyíték egy több entitásból álló csoportnál: mely helyeken keletkezik bizonyíték egy szervezetben anélkül, hogy valaki azt központilag összegyűjtené, és miért csak akkor tűnik fel ez, amikor egy auditor rákérdez.
Nem minden benyújtott dokumentum számít bizonyítéknak egy auditor számára. Egy szabályzati dokumentum azt bizonyítja, hogy van egy szándék, nem azt, hogy ez a szándék végre lett hajtva. Egy igazgatósági ülés jegyzőkönyve azt bizonyítja, hogy egy témát megvitattak, nem azt, hogy egy döntést követtek. A bizonyítéknak közvetlen kapcsolatban kell állnia azzal a kötelezettséggel, amelyet alá kell támasztania: ki mit tett, mikor, és hogyan lett ez rögzítve.
Egy több entitásból álló csoportnál ez a kérdés összetettebbé válik, mivel a bizonyíték különböző szinteken keletkezhet, és nem minden szint bír egyforma bizonyító erővel. Hogy ebben a helyzetben pontosan mi számít bizonyítéknak, és miért nem tekinthető az egyik entitás bizonyítéka minden további nélkül a csoport kötelezettségének bizonyítékának, azt kifejtve megtalálja itt: mi számít bizonyítéknak egy kötelezettségnél egy több entitásból álló csoportnál.
Egy tulajdonoslista kiindulópont, nem rendszer. Ahhoz, hogy igazolhatóan kontroll alatt legyen, minden kötelezettségnek kapcsolódnia kell egy tulajdonoshoz, az adott tulajdonos által szolgáltatott bizonyítékhoz, és egy kontrollhoz, amely megállapítja, hogy ez a bizonyíték teljes és naprakész-e. Ezt a kapcsolatot gyakran egy control matrixban rögzítik, egy áttekintésben, amely kötelezettségenként megmutatja, ki felelős, és hogyan ellenőrzik ezt. Hogy pontosan mit jelent egy control matrix, és miért nem áll meg egy auditnál egy tulajdonoslista e mátrix nélkül, azt tárgyalja: mi az a control matrix.
Ugyanolyan fontos a kérdés, hol őrzik ezt a bizonyítékot, és hogy egy auditor a szervezet segítsége nélkül meg tudja-e találni. Egy rendszer, amely egyetlen munkatárs tudásától függ, nem rendszer, hanem kockázat. Hogy hogyan őrizzék meg úgy a bizonyítékot, hogy megtalálható maradjon, akkor is, ha egy csoport több entitásból áll, azt leírja: hogyan őrzi meg a bizonyítékot úgy, hogy egy auditor megtalálja azt egy több entitásból álló csoportnál.
A tulajdonosság kijelölése és a bizonyítékok rendszerezése munka: áttekintések készítése, dokumentáció összegyűjtése, annak nyomon követése, hogy ki mit szolgáltatott. E munka egy része ismétlődő és állandó mintát követ, ami alkalmassá teszi AI általi támogatásra. Az FTE TO AI munkaszkennere feladatonként kiszámítja, hogy a munka mely része vehető át, így láthatóvá válik, hol maradnak szükségesek az emberek az értékeléshez, és hol vehetik át a rendszerek a bizonyíték összegyűjtését és rendszerezését.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.