Een groep met meerdere entiteiten heeft zelden één plek waar het bewijs van naleving samenkomt. De ene dochter houdt beleid bij in een lokaal kwaliteitssysteem, de andere in een gedeelde schijf, een derde in het hoofd van één medewerker die al jaren dezelfde rapportage opstelt. Zolang niemand ernaar vraagt, werkt dat. Op het moment dat een auditor, toezichthouder of het eigen bestuur wil zien waaruit een verplichting bestaat en hoe die wordt nageleefd, blijkt dat bewijs versnipperd, gedateerd of alleen mondeling overdraagbaar is.
Een beleidsdocument is geen bewijs van naleving. Het is een intentie. Bewijs is wat aantoont dat die intentie ook is uitgevoerd: een ondertekende procedure, een logboek van uitgevoerde controles, een e-mail waarin een afwijking is gemeld en opgevolgd, een rapportage die aansluit op de onderliggende data. Bij een groep met meerdere entiteiten is de vraag niet alleen wat bewijs is, maar ook waar het hoort te liggen en wie er verantwoordelijk voor is. Zonder dat antwoord bepaalt toeval wie het bewijs kan vinden, en dat is geen basis om als bestuur te verklaren dat de organisatie in control is.
Bewijs raakt verspreid langs de lijnen waarlangs een groep zelf verdeeld is: per entiteit, per land, per functie. Een moedermaatschappij kan een groepsbreed beleid vaststellen, terwijl elke dochter het op haar eigen manier uitvoert en documenteert, of helemaal niet documenteert omdat niemand lokaal weet dat het verplicht is. Daar komt de nationale laag bovenop. Dezelfde Europese verplichting kan per land verschillend zijn ingevuld, met eigen termijnen, eigen bevoegde instanties of eigen aanvullende eisen. Wat in het ene land als voldoende bewijs geldt, geldt dat in het andere niet. Wie alleen naar de groepsbrede regel kijkt, mist dat welke nationale koppen gelden in Duitsland een andere vraag is dan welke nationale koppen gelden in Frankrijk, en dat het bewijs dus ook per land anders moet worden opgebouwd en bewaard.
Ook functioneel raakt bewijs verspreid. Juridische zaken bewaart contracten, finance bewaart rapportages, HR bewaart trainingsregistraties, en niemand van de drie heeft het volledige overzicht. Bij een fusie, overname of reorganisatie wordt dat probleem groter: bewijs dat bij de ene entiteit lag, verhuist niet automatisch mee wanneer de verantwoordelijkheid verschuift.
De vraag wie bewijs moet kunnen vinden, hangt samen met de vraag wie eigenaar is van een verplichting. Bij een groep met meerdere entiteiten is die eigenaar niet automatisch de persoon die het dichtst bij het onderwerp staat; het kan de moedermaatschappij zijn, een lokale directeur, of een functie die groepsbreed is aangewezen. Zonder een vastgelegd antwoord op wie eigenaar is van een verplichting bij een groep met meerdere entiteiten ontstaat een situatie waarin iedereen ervan uitgaat dat een ander het bewijs beheert, tot het moment dat er om gevraagd wordt en niemand het kan produceren.
Een auditor die bewijs opvraagt, houdt geen rekening met de interne organisatiestructuur van de groep. Die vraagt om het bewijs bij de verplichting, niet bij de afdeling waar het toevallig is opgeslagen. Dat betekent dat de manier waarop bewijs wordt bewaard, los moet staan van waar het toevallig is ontstaan. Hoe dat in de praktijk werkt, en welke keuzes daarbij horen, staat beschreven in hoe u bewijs bewaart zodat een auditor het vindt bij een groep met meerdere entiteiten.
Een tweede vorm van versnippering ontstaat wanneer beleid en praktijk uit elkaar lopen zonder dat iemand het merkt. Een groepsbreed beleidsdocument kan in de ene entiteit volledig worden toegepast en in de andere alleen op papier bestaan. Dat verschil is pas zichtbaar als er een systematische manier is om vast te stellen dat wat is afgesproken ook is uitgevoerd. Dat aantonen is een aparte stap, los van het vaststellen van beleid zelf, en staat toegelicht in hoe u aantoont dat beleid ook praktijk is bij een groep met meerdere entiteiten.
Om te voorkomen dat elke entiteit haar eigen versie van bewijs en verantwoordelijkheid ontwikkelt, wordt vaak gewerkt met een overzicht waarin verplichtingen, eigenaren en bewijs bij elkaar staan. Dat overzicht heet in de praktijk een control matrix, en de opbouw daarvan bepaalt of een groep later kan aantonen wat er is gedaan of alleen kan navertellen wat er bedoeld was. De uitgangspunten van zo'n matrix, en waarom die bij een groep met meerdere entiteiten een andere vorm aanneemt dan bij een enkele onderneming, staan beschreven op wat een control matrix is bij een groep met meerdere entiteiten.
De Compliance Check brengt deze onderdelen samen: welke verplichtingen gelden, wie eigenaar is, wat als bewijs telt en welke control daarbij hoort. Niet als vervanging van de regelgeving zelf, maar als de laag die zichtbaar maakt of een bestuur kan aantonen dat het in control is, ook wanneer bewijs over meerdere entiteiten en landen verspreid ligt.
Het bijeenbrengen van verspreid bewijs is grotendeels herkenbaar, herhaalbaar werk: nagaan waar een document staat, controleren of het actueel is, het koppelen aan de juiste verplichting en eigenaar. Dat is precies het type taak waarvan de werkscan van FTE TO AI berekent welk deel door AI is over te nemen, zodat duidelijk wordt hoeveel van het verzamelen en ordenen van bewijs handmatig werk blijft en hoeveel daarvan geautomatiseerd kan worden aangeleverd.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.