Een groepsbeleid is geen bewijs. Het is een intentie die vanuit het hoofdkantoor is vastgesteld en die, in de beste gevallen, ook is doorgezet naar elke entiteit. Of dat is gebeurd, en of het beleid ook daadwerkelijk wordt toegepast, is een andere vraag dan of het beleid bestaat. Een bestuur dat wil aantonen dat het in control is, moet dat verschil kunnen overbruggen: niet alleen laten zien wat er is besloten, maar ook wat er in de praktijk gebeurt bij elke entiteit die onder de reikwijdte valt.
Bij een groep met meerdere entiteiten is beleid meestal centraal geschreven en decentraal uitgevoerd. Dat betekent dat de afstand tussen de tekst van het beleid en de praktijk op de werkvloer groter is dan bij een enkele onderneming. Een dochter in een ander land, met een andere taal, een ander managementteam en soms een andere boekhoudkundige traditie, past het beleid toe zoals zij het beleid begrijpt. Dat is niet automatisch fout, maar het is wel iets dat apart moet worden vastgesteld. Een bestuur dat aanneemt dat het groepsbeleid overal identiek wordt toegepast, doet een aanname die zelden wordt getoetst totdat een auditor of toezichthouder erom vraagt.
Beleid is een document. Bewijs is iets anders: een activiteit, een goedkeuring, een afwijking die is gesignaleerd en opgevolgd, een controle die daadwerkelijk is uitgevoerd op een moment dat te herleiden is. Wat telt als bewijs bij een verplichting hangt af van de aard van die verplichting, maar de kern is steeds hetzelfde: het moet aantoonbaar zijn dat iets is gebeurd, niet alleen dat het had moeten gebeuren. Bij een groep met meerdere entiteiten wordt dit onderscheid scherper, omdat het beleid op één plek wordt geschreven en het bewijs op een heel andere plek moet worden opgehaald.
Het meest voorkomende probleem is niet dat er geen bewijs is, maar dat het bewijs bestaat, verspreid over verschillende entiteiten, systemen en verantwoordelijken, zonder dat iemand op groepsniveau overzicht heeft. Een lokale controller heeft een spreadsheet bijgehouden, een compliance officer van een dochter heeft e-mails bewaard, een externe accountant heeft een werkprogramma afgerond dat nergens centraal is opgeslagen. Waar bewijs verspreid raakt is precies dit patroon: niet de afwezigheid van bewijs, maar de afwezigheid van een plek waar het bewijs samenkomt. Naarmate een groep groter en internationaler is, wordt dit patroon sterker, simpelweg omdat er meer plekken zijn waar iets kan worden vastgelegd en meer mensen die denken dat iemand anders het bijhoudt.
Om aantoonbaarheid te organiseren over meerdere entiteiten, is een structuur nodig die per verplichting vastlegt wie waarvoor verantwoordelijk is, ook als dat per entiteit verschilt. Wat een control matrix is bij een groep met meerdere entiteiten legt uit hoe een dergelijke matrix eruitziet: per verplichting een eigenaar, het bewijs dat aan die verplichting hangt en de control die aantoont dat het bewijs is gecontroleerd. Bij een enkele onderneming is die matrix overzichtelijk. Bij een groep vermenigvuldigt zich elke rij met het aantal entiteiten waarop de verplichting van toepassing is, en dat aantal is zelden voor iedereen binnen de groep even duidelijk.
Aantoonbaarheid is pas aantoonbaarheid als iemand van buiten de groep het kan navolgen. Dat kan een externe auditor zijn, een toezichthouder, of een nieuw bestuurslid dat de vorige situatie moet overnemen. Hoe u bewijs bewaart zodat een auditor het vindt gaat over die vindbaarheid: niet alleen of het bewijs bestaat, maar of het is opgeslagen op een manier die begrijpelijk is voor iemand die de interne structuur van de groep niet kent. Bij meerdere entiteiten is dit een extra laag complexiteit, omdat de vindbaarheid niet alleen binnen één entiteit moet werken, maar ook tussen entiteiten, zodat het groepsniveau een samenhangend beeld kan tonen in plaats van een verzameling losse dossiers.
Een extra complicatie bij een groep is dat dezelfde Europese verplichting per land anders kan uitvallen. Een dochter in Duitsland kan onder een andere nationale uitwerking vallen dan een dochter in Frankrijk, ook al is de onderliggende Europese regel identiek. Welke nationale koppen gelden in Duitsland en welke nationale koppen gelden in Frankrijk laten zien waar dat verschil concreet wordt. Een groepsbeleid dat is geschreven op basis van de Europese tekst alleen, dekt daarom niet automatisch wat elke entiteit lokaal moet aantonen. Dat is precies waar veel groepen worden verrast: niet door de hoofdregel, maar door de nationale kop die daaronder ligt.
Het in kaart brengen van eigenaren, bewijs en controles over meerdere entiteiten is werk dat grotendeels bestaat uit het verzamelen, ordenen en herhaaldelijk bijhouden van informatie die al ergens bestaat. Dat is precies het type taak waarvan de werkscan van FTE TO AI onderzoekt welk deel over te nemen is door AI, per taak, zonder daar iets over de uitkomst voor uw organisatie te veronderstellen.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.