Een bestuur kan een beleidsdocument goedkeuren en tegelijk niet weten of dat beleid ook wordt toegepast. Dat is geen uitzondering, het is de normale staat van zaken in een organisatie waar beleid centraal wordt geschreven en decentraal wordt uitgevoerd. De vraag die een auditor stelt is niet "heeft u beleid", maar "kunt u laten zien dat dit beleid werkt". Dat is een ander soort vraag, en die vraagt om een ander soort antwoord.
Beleid is een intentie. Het beschrijft wat een organisatie wil doen: hoe zij omgaat met leveranciers, met data, met risico's. Werking is wat er daadwerkelijk gebeurt op de werkvloer, in een systeem, in een besluit dat vorige maand is genomen. Tussen die twee kan een verschil zitten dat niemand heeft opgemerkt, simpelweg omdat niemand systematisch heeft gekeken of het beleid ook is uitgevoerd zoals bedoeld.
Aantoonbaarheid overbrugt dat verschil. Het is niet het beleid zelf, maar het spoor dat aantoont dat het beleid is toegepast: een besluit, een goedkeuring, een afwijking die is gesignaleerd en opgevolgd. Zonder dat spoor is beleid een verklaring van intentie, niet van uitvoering.
Niet elk document dat over een onderwerp gaat, is bewijs dat de verplichting is nageleefd. Een procesbeschrijving toont aan hoe iets zou moeten werken, niet dat het zo heeft gewerkt. Bewijs dat standhoudt, is doorgaans concreter: een goedkeuring met datum en naam, een systeemlog, een afwijkingsrapport met de genomen vervolgstap. Wat telt als bewijs bij een verplichting, uitgewerkt voor een groep met meerdere entiteiten laat zien welk niveau van detail nodig is om een verplichting aantoonbaar te maken, en welk niveau tekortschiet.
Dat onderscheid is belangrijker dan het lijkt. Een organisatie die volstaat met beleidsdocumenten en trainingsoverzichten heeft doorgaans meer papier dan bewijs. De vraag is niet hoeveel documentatie er is, maar of die documentatie aantoont dat een specifieke handeling op een specifiek moment is verricht door een specifieke persoon.
In een enkele entiteit met een overzichtelijke organisatie is bewijs meestal te vinden op een beperkt aantal plekken. In een groep met meerdere entiteiten, landen of afdelingen ontstaat een ander beeld. Beleid wordt centraal vastgesteld, maar de uitvoering vindt plaats in dochterbedrijven die eigen systemen, eigen verantwoordelijken en eigen manieren van vastleggen hebben. Het bewijs dat het beleid werkt, ontstaat dus op tientallen plekken tegelijk, zonder dat er een centraal overzicht is van waar dat bewijs precies staat.
Waar bewijs verspreid raakt bij een groep met meerdere entiteiten beschrijft hoe die versnippering ontstaat en waarom zij zich vaak pas openbaart op het moment dat iemand het bewijs daadwerkelijk nodig heeft. Dat moment is meestal een audit, een due diligence, of een vraag van een toezichthouder, en dat is precies het moment waarop haast en onzekerheid het meest schadelijk zijn.
Bewijs dat bestaat maar niet vindbaar is, functioneert in de praktijk niet als bewijs. Een auditor die drie weken moet wachten op een antwoord dat elders al lag, trekt daaruit een conclusie over de kwaliteit van de interne controle, los van de vraag of het onderliggende beleid inhoudelijk in orde was. Aantoonbaarheid vraagt dus niet alleen om bewijs, maar om een structuur waarin dat bewijs binnen redelijke tijd naar boven komt.
Hoe u bewijs bewaart zodat een auditor het vindt, uitgewerkt voor een groep met meerdere entiteiten gaat in op die vindbaarheid: waar bewijs wordt vastgelegd, wie er toegang toe heeft, en hoe voorkomen wordt dat het antwoord op een simpele vraag een zoekactie van weken wordt. Daarbij hoort ook een heldere toewijzing van eigenaarschap: wie eigenaar is van een verplichting bij een groep met meerdere entiteiten bepaalt namelijk niet alleen wie verantwoordelijk is voor de uitvoering, maar ook wie kan worden aangesproken op het moment dat het bewijs wordt opgevraagd.
Om beleid en praktijk bij elkaar te brengen, moet per verplichting duidelijk zijn wie de eigenaar is, wat als bewijs geldt, en welke control aantoont dat het bewijs periodiek wordt gecontroleerd. Die drie elementen samen vormen een control matrix: een overzicht dat verplichting, eigenaar en bewijs koppelt, zodat een bestuur niet per vraag hoeft te reconstrueren wie waarvoor verantwoordelijk was. Dezelfde structuur, specifiek uitgewerkt voor de complexiteit van een groepsstructuur, staat beschreven in hoe u aantoont dat beleid ook praktijk is bij een groep met meerdere entiteiten.
De Compliance Check van csrdcompliance.net is in aanbouw. Het doel is een overzicht waarin per verplichting de eigenaar, het bewijs en de bijbehorende control zijn vastgelegd, zodat een bestuur kan aantonen dat het in control is in plaats van dat te moeten beweren. Wie hier gebruik van wil maken zodra het beschikbaar is, kan zich aanmelden voor de wachtlijst.
Het in kaart brengen van eigenaarschap en bewijs is één kant van de zaak, het uitvoeren van al die controles en vastleggingen is de andere. Wie zich afvraagt hoeveel van dat uitvoerende werk daadwerkelijk mensenwerk moet blijven, kan bij de werkscan van FTE TO AI terecht: die rekent per taak uit welk deel van het werk door AI over te nemen is, en welk deel dat vraagt om beoordeling die bij een mens blijft liggen.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.