Bij een enkelvoudige onderneming is de vraag wie waarvoor verantwoordelijk is meestal snel beantwoord. Bij een groep met meerdere entiteiten — moederbedrijf, dochters, misschien een joint venture of een entiteit in een ander land — verdwijnt die vanzelfsprekendheid. Een verplichting kan op groepsniveau zijn vastgesteld, maar de uitvoering ligt bij een dochteronderneming die er nooit expliciet mee is belast. Of omgekeerd: iedere entiteit denkt dat een andere entiteit het regelt.
Een organogram laat zien wie aan wie rapporteert. Het laat niet zien wie verantwoordelijk is voor het aanleveren van data, wie het beleid moet vertalen naar een lokale praktijk, en wie kan aantonen dat dat is gebeurd. Die drie kunnen bij drie verschillende personen of afdelingen liggen, zelfs binnen één entiteit. Bij meerdere entiteiten vermenigvuldigt dat probleem zich: dezelfde verplichting kan in land A bij de CFO liggen en in land B bij een operationeel manager, zonder dat iemand op groepsniveau dat verschil heeft vastgelegd.
Daar komt bij dat sommige verplichtingen niet uniform gelden. Wat een groep moet aantonen op basis van een Europese regel, valt per land anders uit zodra nationale wetgeving die regel aanscherpt of anders invult. Wie wil weten welke nationale koppen gelden in Duitsland of welke nationale koppen gelden in Frankrijk, ziet dat eigenaarschap dus niet alleen een organisatorische vraag is, maar ook een juridische: de verplichting zelf kan per entiteit verschillen.
Eigenaarschap is pas aantoonbaar als het is vastgelegd, niet als het wordt aangenomen. Dat betekent: een naam of functie die aan een specifieke verplichting is gekoppeld, een omschrijving van wat die persoon of afdeling moet opleveren, en een spoor dat laat zien dat dit ook is gebeurd. Zonder dat spoor is de vraag "wie is hiervan eigenaar" bij een controle niet met een document te beantwoorden, maar alleen met een aanname die niemand kan verifiëren.
De vraag wat daadwerkelijk telt als bewijs — een beleidsdocument, een goedkeuring, een dataset, een verslag — is uitgewerkt op de pagina die beschrijft wat telt als bewijs bij een verplichting. Voor een groep met meerdere entiteiten geldt daarbovenop een extra eis: het bewijs moet herleidbaar zijn tot de entiteit waar de verplichting daadwerkelijk speelt, niet alleen tot de groep als geheel.
Bij een enkele onderneming ligt bewijs meestal op een beperkt aantal plekken. Bij een groep raakt het verspreid over aparte administraties, aparte IT-systemen, lokale adviseurs en teams die niet met elkaar communiceren. Een dochteronderneming in een ander land bewaart bewijs mogelijk in een taal en systeem die het moederbedrijf niet raadpleegt. Wie op groepsniveau moet aantonen dat een verplichting is nagekomen, moet dus niet alleen weten dát het bewijs bestaat, maar ook waar het precies staat en wie er toegang tot heeft.
Deze versnippering is een van de meest onderschatte risico's bij groepen met meerdere entiteiten, en is verder uitgewerkt op de pagina over waar bewijs verspreid raakt. Zonder een centraal overzicht van waar welk bewijs zich bevindt, is de kans reëel dat een verplichting op papier is toegewezen, maar in de praktijk niet te onderbouwen is op het moment dat dat nodig is.
Een groep kan op centraal niveau een duidelijk beleid vaststellen en dat nog steeds niet terugzien in de praktijk van iedere entiteit. Een dochteronderneming kan het beleid niet kennen, verkeerd interpreteren, of om lokale redenen een andere werkwijze volgen. Het verschil tussen een vastgesteld beleid en een toegepast beleid is precies waar eigenaarschap zichtbaar wordt: wie is verantwoordelijk voor het signaleren van die kloof, en wie moet kunnen aantonen dat die kloof niet bestaat of is gedicht.
Hoe die aantoonbaarheid werkt binnen een groepsstructuur is te vinden op de pagina die uitlegt hoe u aantoont dat beleid ook praktijk is bij een groep met meerdere entiteiten. Het antwoord hangt sterk af van hoe de groep is ingericht en welke verplichtingen op welk niveau spelen.
Een manier om eigenaarschap, bewijs en controle bij elkaar te brengen is een matrix waarin per verplichting wordt vastgelegd wie eigenaar is, welk bewijs wordt verwacht en welke control daarop rust. Dat is geen jurdisch instrument en geen garantie dat alles is gedekt — het is een structuur die zichtbaar maakt waar de verantwoordelijkheid ligt en waar nog een gat zit. Wat een dergelijke matrix inhoudt bij een groep met meerdere entiteiten staat beschreven op de pagina over wat een control matrix is bij een groep met meerdere entiteiten.
Het toewijzen van eigenaarschap en het verzamelen van bewijs is niet alleen een organisatorische vraag, het is ook werk: iemand moet data verzamelen, documenten controleren, versies bijhouden en rapportages opstellen, keer op keer, per entiteit. Wie zicht wil krijgen op welk deel van die terugkerende taken door AI is over te nemen en welk deel mensenwerk blijft, kan dat laten uitrekenen met de werkscan van FTE TO AI.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.