Bijna elke directie die zegt overvallen te zijn door een verplichting, had de onderliggende Europese richtlijn al ergens op de radar. Wat ontbrak, was niet de kennis dat er iets aankwam, maar het zicht op wat er in de nationale uitwerking van maakte. Een richtlijn wordt in ieder land anders omgezet: andere drempels, andere termijnen, andere instanties die toezicht houden. Wie alleen de Europese tekst volgt, ziet de contouren maar niet de scherpe randen die per land verschillen.
Daar zit de rode draad. Nationale koppen worden structureel onderschat, omdat de aandacht uitgaat naar het Europese niveau en de aanname is dat de landelijke vertaling wel een formaliteit zal zijn. Dat is de vertaling vaak niet. De manier waarop u nationale koppen bijhoudt zonder in een abonnementenjungle te belanden bepaalt in de praktijk of een verplichting op tijd in beeld komt of pas zichtbaar wordt als de eerste vraag van een toezichthouder binnenkomt.
Een tweede verklaring voor de verrassing ligt dichter bij huis. Er is vaak wel een beleidsdocument, een intentie, een paragraaf in het jaarverslag. Er is niet altijd een praktijk die daaraan voldoet op het moment dat het erop aankomt. Het is de moeite waard om te lezen wat het verschil is tussen beleid en praktijk en waarom dat verschil precies is waar een controle op vastloopt. Beleid beschrijft een intentie; een control toont aan dat die intentie ook gebeurt, herhaaldelijk en met bewijs.
Dat verschil verklaart ook waarom een organisatie zich vaak veiliger voelt dan ze is. Er ligt een document, er is ooit een besluit genomen, en daarmee wordt het onderwerp als afgehandeld beschouwd. Een verplichting die eenmalig is ingevuld en daarna niet meer is bijgehouden, is in de praktijk een verplichting die niet is ingevuld op het moment dat ernaar wordt gevraagd.
Een derde reden voor verrassing is een onduidelijke eigenaar. Een verplichting die bij niemand specifiek hoort, wordt door iedereen een beetje gevolgd en door niemand volledig. Tegen de tijd dat blijkt dat een deadline gemist is of een rapportage niet compleet was, is de vraag wie dit had moeten signaleren al net zo onbeantwoord als de vraag zelf. Het is daarom relevant om te bepalen wie eigenaar hoort te zijn van een verplichting voordat die vraag acuut wordt, niet erna.
Een eigenaar zonder bewijs is overigens net zo kwetsbaar als bewijs zonder eigenaar. Beide zijn nodig, en beide moeten aansluiten bij wat een externe partij daadwerkelijk verwacht te zien.
Een laatste factor is beweging. Verplichtingenregisters zijn geen documenten die je eenmalig opstelt en daarna laat liggen. Wetgeving verandert, nationale uitwerkingen worden aangepast, drempels worden herzien. Hoe vaak dat gebeurt en wat dat betekent voor de manier waarop een register wordt onderhouden, staat beschreven op de pagina over hoe vaak een verplichtingenregister verandert. Een register dat een jaar geleden klopte, is niet automatisch een register dat vandaag nog klopt.
Het is voor een directie geloofwaardiger om te weten wat een methode niet oplost dan om te horen dat alles is afgedekt. Deze werkwijze stelt vast welke verplichtingen gelden, wie eigenaar is, welk bewijs nodig is en welke control daarbij hoort. Ze vertelt niet vooraf welk artikel, welke drempel of welke termijn precies van toepassing is; dat hangt af van de exacte situatie en van de actuele wettekst, die te vinden is bij de bron zelf, niet in een samenvatting die verouderd kan zijn. Ze garandeert ook geen goedkeuring door een toezichthouder of auditor. Wat ze wel doet, is de structuur leveren waarmee een bestuur kan laten zien dat het overzicht heeft en dat overzicht ook onderhoudt.
Dat is een ander soort resultaat dan een rapport. Een rapport beschrijft een situatie op een moment; een structuur die eigenaarschap, bewijs en control aan elkaar koppelt, blijft bruikbaar als de situatie verandert. Waarom dat verschil precies telt bij een assurance-traject, staat toegelicht op de pagina over wat een assurance-verklaring van een dossier vraagt, en waarom een compliance check iets anders is dan een rapport dat als losstaand document in een la verdwijnt.
Als duidelijk is welke verplichtingen gelden, wie eigenaar is en welk bewijs nodig is, volgt een andere vraag vanzelf: wie doet het onderhoud dat nodig is om dit actueel te houden, en hoeveel van dat werk is repeterend genoeg om anders te organiseren. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk door AI over te nemen is, en is daarmee een logisch vervolg zodra het verplichtingenregister staat: niet om de controle te vervangen, maar om te bepalen wat er structureel bij komt kijken om die controle vol te houden.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.