Een verplichting is pas aangetoond als er iets is dat een ander kan controleren zonder u erbij te vragen. Dat is de kern van aantoonbaarheid: niet wat u weet dat er is gebeurd, maar wat een auditor, een toezichthouder of een nieuwe compliance officer kan terugvinden zonder dat u het hoeft uit te leggen. Veel bedrijven ontdekken pas tijdens een audit dat het bewijs wel bestaat, maar niet vindbaar is.
Bewijs is niet hetzelfde als beleid. Een beleidsdocument zegt wat de bedoeling is; bewijs laat zien dat die bedoeling ook is uitgevoerd. Denk aan een goedgekeurd besluit met datum en naam van de goedkever, een e-mailwisseling waaruit een afweging blijkt, een logboek van een controle die daadwerkelijk is uitgevoerd, of een rapportage die aansluit op de onderliggende data. Wat precies telt als voldoende bewijs verschilt per verplichting, en wat telt als bewijs bij een verplichting bij een groep met meerdere entiteiten laat zien hoe die vraag zich toespitst zodra er meerdere vestigingen of dochters bij komen. De rode draad is steevast dat het onderscheid tussen beleid en praktijk vaak wordt onderschat: een document dat er goed uitziet, is geen bewijs dat iemand er ook naar heeft gehandeld. Hoe dat verschil zichtbaar te maken is, staat uitgewerkt op hoe u aantoont dat beleid ook praktijk is.
Bewijs ontstaat meestal niet op de plek waar het uiteindelijk nodig is. Een risico-inschatting wordt gemaakt door een operationeel team, een goedkeuring gebeurt in een e-mail, een controle wordt vastgelegd in een spreadsheet die alleen op een lokale schijf staat. Tegen de tijd dat een auditor vraagt om aan te tonen dat een verplichting is nagekomen, moet iemand dat bewijs weer opsporen. Bij één entiteit is dat al lastig; bij een groep met meerdere vestigingen, landen of dochterbedrijven wordt het een zoektocht op zich. Elke entiteit heeft mogelijk een eigen archief, een eigen systeem, een eigen manier van vastleggen. Waar dat precies misgaat en waarom het niet alleen een kwestie van discipline is, staat beschreven op waar bewijs verspreid raakt bij een groep met meerdere entiteiten. Voor groepsstructuren specifiek is er een uitwerking van dezelfde vraag als deze pagina, toegespitst op die situatie: hoe u bewijs bewaart zodat een auditor het vindt bij een groep.
Vindbaarheid begint bij eigenaarschap. Bewijs dat nergens een eigenaar heeft, wordt nergens bijgehouden en dus ook niet bewaard op een plek waar iemand het kan vinden. Voor elke verplichting is er iemand die uiteindelijk kan uitleggen wat er is gedaan en waarom; wie dat is, is niet altijd vanzelfsprekend binnen een organisatie met meerdere afdelingen of entiteiten. Hoe dat eigenaarschap wordt vastgesteld en waarom het niet automatisch bij de compliance-afdeling ligt, staat op wie eigenaar is van een verplichting. Zodra dat eigenaarschap duidelijk is, is de volgende vraag niet nog een document, maar een structuur die verplichting, eigenaar en bewijs aan elkaar koppelt. Die structuur heet meestal een control matrix, en wat die matrix wel en niet oplost, staat toegelicht op wat een control matrix is.
De reflex bij aantoonbaarheid is vaak: meer vastleggen, meer archiveren, meer mappen aanmaken. Dat lost het probleem niet op. Een auditor die drie systemen moet doorzoeken om één verplichting te controleren, ervaart dat niet als in control, ook al bestaat het bewijs wel degelijk. De vraag is niet hoeveel bewijs er is, maar of het te herleiden is: van de verplichting naar de eigenaar, naar het bewijs, naar de controle die aantoont dat het is gebeurd. Zonder die herleidbaarheid blijft bewijs verspreid liggen, ook als het op papier compleet is.
Dat geldt sterker naarmate een organisatie groter en complexer is. Nationale koppen van eenzelfde Europese regel vallen per land anders uit, met andere termijnen, andere instanties en andere verwachtingen over wat als bewijs geldt. Wat in het ene land voldoende is, is dat in het andere niet automatisch. Dat maakt een centrale, herleidbare structuur voor bewijs niet een kwestie van netheid, maar een voorwaarde om overzicht te houden over wat er per land, per entiteit en per verplichting daadwerkelijk is vastgelegd.
Het vastleggen, bijhouden en terugvindbaar maken van bewijs is zelf een vorm van werk: documenten ordenen, verwijzingen leggen, controleren of een dossier compleet is voordat een auditor erom vraagt. Een deel van dat werk is repetitief en volgt een vast patroon per verplichting. Wie wil weten welk deel van dat werk door AI is over te nemen en welk deel afhankelijk blijft van menselijk oordeel, kan dat laten uitrekenen met de werkscan van FTE TO AI, die per taak aangeeft hoeveel ruimte er is voor automatisering.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.