Een verplichting die op papier bestaat maar geen eigenaar heeft, bestaat voor een auditor niet. Dat is de kern van waar veel organisaties op vastlopen. Er is een rapportageverplichting geïdentificeerd, er is beleid geschreven, maar de vraag wie er dagelijks voor zorgt dat het beleid wordt uitgevoerd en wie kan aantonen dat dit gebeurt, blijft onbeantwoord. Zonder een naam bij een verplichting is er geen controle, en zonder controle is er geen aantoonbare compliance.
Eigenaarschap van een verplichting is meer dan een naam in een organigram. Het betekent dat één persoon of één functie verantwoordelijk is voor drie dingen: dat de verplichting wordt uitgevoerd, dat het bewijs daarvan wordt vastgelegd, en dat dit bewijs vindbaar is op het moment dat iemand erom vraagt. Een eigenaar die alleen weet dat een taak bij hem hoort, maar niet kan laten zien wat daarvan is vastgelegd, is in de praktijk geen eigenaar maar een naam op een lijst.
Dit onderscheid is precies waar veel interne controlesystemen tekortschieten. Beleid wordt vastgesteld op bestuursniveau, uitvoering vindt plaats op afdelingsniveau, en de koppeling daartussen wordt zelden expliciet gemaakt. Hoe die koppeling wel gemaakt kan worden, en waarom beleid en praktijk zonder die koppeling uit elkaar lopen, staat beschreven in hoe u aantoont dat beleid ook praktijk is.
Bij een enkelvoudige organisatie is de eigenaar van een verplichting meestal nog wel te vinden: er is één juridische entiteit, één bestuur, één set boeken. Bij een groep met meerdere entiteiten verandert dat. Een verplichting die op groepsniveau geldt, moet ergens in de organisatie worden uitgevoerd, en dat kan op groepsniveau zijn, op het niveau van een werkmaatschappij, of verspreid over meerdere entiteiten die elk een deel van de informatie leveren.
De vraag wie eigenaar is, wordt dan een vraag over structuur: welke entiteit consolideert de gegevens, welke entiteit levert de onderliggende data, en wie is verantwoordelijk als een van die schakels ontbreekt. Deze vraag speelt zo vaak en zo specifiek bij groepsstructuren dat er een aparte behandeling voor is: wie eigenaar is van een verplichting bij een groep met meerdere entiteiten gaat in op hoe die verantwoordelijkheid zich verdeelt en waar de verdeling misgaat.
Eigenaarschap en bewijs horen bij elkaar, maar in de praktijk raken ze uit elkaar. Een eigenaar wordt aangewezen op basis van een organisatieschema, terwijl het bewijs van uitvoering ergens anders wordt vastgelegd: in een e-mail, een spreadsheet op een lokale schijf, een systeem dat alleen bij één werkmaatschappij in gebruik is. Wie op groepsniveau verantwoording moet afleggen, moet dan eerst uitzoeken waar het bewijs zich bevindt voordat hij kan laten zien dat de verplichting is nagekomen.
Dit probleem is niet incidenteel, het is structureel bij elke organisatie die uit meerdere onderdelen bestaat. Precies hier gaat waar bewijs verspreid raakt bij een groep met meerdere entiteiten verder: welke plekken in een organisatie bewijs laten ontstaan zonder dat iemand dat bewijs centraal verzamelt, en waarom dat pas opvalt op het moment dat een auditor erom vraagt.
Niet elk document dat wordt aangeleverd, telt als bewijs voor een auditor. Een beleidsdocument toont aan dat er een intentie is, niet dat die intentie is uitgevoerd. Een notulen van een bestuursvergadering toont aan dat een onderwerp is besproken, niet dat er een besluit is opgevolgd. Bewijs moet een directe lijn hebben naar de verplichting die het moet onderbouwen: wie heeft wat gedaan, wanneer, en hoe is dat vastgelegd.
Bij een groep met meerdere entiteiten wordt deze vraag complexer, omdat bewijs op verschillende niveaus kan ontstaan en niet elk niveau evenveel zeggingskracht heeft. Wat in die situatie specifiek telt als bewijs, en waarom bewijs van de ene entiteit niet zonder meer bewijs is voor de verplichting van de groep, staat uitgewerkt in wat telt als bewijs bij een verplichting bij een groep met meerdere entiteiten.
Een lijst van eigenaren is een startpunt, geen systeem. Om aantoonbaar in control te zijn, moet elke verplichting gekoppeld zijn aan een eigenaar, aan het bewijs dat die eigenaar oplevert, en aan een control die vaststelt of dat bewijs volledig en actueel is. Die koppeling wordt vaak vastgelegd in een control matrix, een overzicht dat per verplichting laat zien wie verantwoordelijk is en hoe dat wordt gecontroleerd. Wat een control matrix precies inhoudt en waarom een lijst met eigenaren zonder die matrix niet standhoudt bij een audit, wordt behandeld in wat een control matrix is.
Even belangrijk is de vraag waar dat bewijs bewaard wordt, en of een auditor het zonder hulp van de organisatie kan terugvinden. Een systeem dat afhankelijk is van de kennis van één medewerker, is geen systeem maar een risico. Hoe bewijs zo wordt bewaard dat het vindbaar blijft, ook wanneer een groep uit meerdere entiteiten bestaat, staat beschreven in hoe u bewijs bewaart zodat een auditor het vindt bij een groep met meerdere entiteiten.
Het toewijzen van eigenaarschap en het inrichten van bewijsvoering is werk: het opstellen van overzichten, het verzamelen van documentatie, het bijhouden van wie wat heeft aangeleverd. Een deel van dat werk is herhaalbaar en volgt een vast patroon, wat het geschikt maakt voor ondersteuning door AI. De werkscan van FTE TO AI rekent per taak uit welk deel van dat werk over te nemen is, zodat zichtbaar wordt waar mensen nodig blijven voor beoordeling en waar systemen het verzamelen en ordenen van bewijs kunnen overnemen.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.