Een auditor die aantoonbaarheid controleert, stelt een simpele vraag: waar staat het bewijs dat deze verplichting is nagekomen, en wie kan dat laten zien. Bij één entiteit is dat vaak nog te overzien. Bij een groep met meerdere vestigingen, dochters of landenorganisaties raakt bewijs verspreid over systemen, mappen en mensen die elkaar niet kennen. Dat is niet per se een teken van slecht beleid. Het is vaak alleen een teken dat niemand heeft vastgelegd waar bewijs moet staan, en wie er verantwoordelijk voor is dat het daar ook blijft staan.
Bewijs is niet het beleidsdocument zelf. Een auditor vraagt naar wat aantoont dat het beleid ook is toegepast: een besluit, een goedkeuring, een rapportage, een afwijkingslog, een e-mail waarin een verantwoordelijke iets heeft vastgesteld. Wat precies telt, verschilt per verplichting en per moment in het proces. Op wat telt als bewijs bij een verplichting staat uitgewerkt welke vormen van bewijs bij welk type verplichting horen, en waarom een intentieverklaring zonder toepassing meestal niet voldoet.
Bij een groep met meerdere entiteiten ontstaat verspreiding op een aantal voorspelbare plekken. Elke entiteit kan een eigen administratie voeren, in een eigen systeem, met een eigen naamgeving voor documenten. Een lokale directeur kan een besluit hebben genomen dat nergens centraal is vastgelegd. Een moederbedrijf kan aannemen dat een dochter iets heeft geregeld, zonder dat ooit te hebben nagevraagd. En een nationale vestiging kan onder aanvullende regels vallen die de groep als geheel niet kent, waardoor bewijs daarvoor helemaal niet wordt verzameld. Wat in het ene land verplicht is, hoeft dat elders niet te zijn, en omgekeerd: voorbeelden daarvan staan op welke nationale koppen gelden in Duitsland en welke nationale koppen gelden in Frankrijk. Wie alleen naar de Europese regel kijkt, mist het deel dat lokaal is toegevoegd, en dus ook het bewijs dat daarbij hoort.
Bewijs dat niemand toegewezen krijgt, wordt meestal niet bijgehouden, of raakt kwijt zodra iemand van functie verandert. Vindbaarheid begint daarom niet bij een archiefsysteem, maar bij de vraag wie voor elke verplichting de eigenaar is: wie zorgt dat het bewijs ontstaat, wie bewaart het, en wie kan het tonen als daar om wordt gevraagd. Bij een groep met meerdere entiteiten is dat zelden één functie voor de hele organisatie. Hoe die verdeling eruit kan zien, en waarom een enkele coördinator op groepsniveau meestal niet volstaat, staat op wie eigenaar is van een verplichting bij een groep met meerdere entiteiten.
Een auditor die bewijs zoekt, kijkt niet alleen of een verplichting is opgeschreven in beleid, maar of dat beleid ook is gevolgd. Een groep kan een uitstekend beleidsdocument hebben over leveranciersbeoordeling, terwijl in de praktijk maar een deel van de entiteiten dat beleid ooit heeft toegepast. Het verschil tussen die twee lagen, en hoe u dat verschil zichtbaar maakt in plaats van verborgen laat, staat uitgewerkt op hoe u aantoont dat beleid ook praktijk is bij een groep met meerdere entiteiten. Bewijs dat alleen uit beleidsteksten bestaat, is voor een auditor onvoldoende, ongeacht hoe zorgvuldig het beleid is geschreven.
Om bewijs vindbaar te maken over meerdere entiteiten heen, helpt het om per verplichting vast te leggen: wie de eigenaar is, welk bewijs wordt verwacht, en welke control aantoont dat het proces herhaalbaar is en niet afhankelijk van één persoon. Die drie elementen samen vormen een overzicht dat een bestuur kan raadplegen zonder eerst bij elke entiteit navraag te moeten doen. Wat een dergelijke matrix inhoudt, en hoe die per entiteit kan verschillen zonder de samenhang te verliezen, staat op wat een control matrix is bij een groep met meerdere entiteiten.
De Compliance Check brengt in kaart welke verplichtingen voor de groep gelden, wie daarvan eigenaar is, welk bewijs daarbij past en welke control aantoont dat het proces staat. Dat is geen vervanging van een audit, en geen garantie dat een auditor tevreden is met wat er ligt. Het is een structuur die maakt dat een bestuur weet waar het bewijs zou moeten zijn, voordat iemand ernaar vraagt.
De tool is in aanbouw. Wie hier gebruik van wil maken zodra het beschikbaar is, kan zich aanmelden voor de wachtlijst.
Het vastleggen en bijhouden van bewijs is zelf ook werk: documenten verzamelen, versies controleren, overzichten actueel houden over meerdere entiteiten. Een deel van dat werk is herhaalbaar genoeg om te ondersteunen met AI. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk daarvoor in aanmerking komt, zodat duidelijk wordt waar tijd wordt besteed aan het zoeken naar bewijs, en waar aan het daadwerkelijk beoordelen ervan.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.