Een bestuur dat gevraagd wordt aan te tonen dat het in control is, kan niet volstaan met de mededeling dat beleid bestaat. Er moet een structuur liggen die per verplichting laat zien wie verantwoordelijk is, welk bewijs er is, en welke control ervoor zorgt dat dat bewijs blijft kloppen. Die structuur heet een control-matrix. Het is geen rapportagevorm en geen sjabloon dat men invult voor een auditor; het is de manier waarop een organisatie zichzelf kan uitleggen wat er gebeurt en waarom dat voldoende is.
Een control-matrix bestaat uit meer dan een lijst met verplichtingen. Per verplichting staan minimaal drie dingen vast: wie de eigenaar is, wat het bewijs is dat aan die verplichting is voldaan, en welke control bewaakt dat dat bewijs actueel en juist blijft. Zonder eigenaar wordt een verplichting niemands taak. Zonder bewijs is een verplichting een intentie. Zonder control is bewijs een momentopname die veroudert zodra de organisatie verandert. Wie eigenaar is van een verplichting bij een groep met meerdere entiteiten is daarom niet een detail dat later wordt ingevuld, maar het eerste dat moet vaststaan voordat een matrix iets betekent.
Wat als bewijs telt, verschilt per verplichting en per land waarin de verplichting geldt. Een Europese regel die in de basistekst eenduidig lijkt, wordt in de nationale omzetting vaak anders ingevuld: andere bewijsvorm, andere frequentie, ander orgaan dat het moet vaststellen. Een matrix die daar geen ruimte voor laat, oogt compleet en is het niet. Voor een precieze uitwerking van wat in een concreet geval als bewijs geldt, is wat telt als bewijs bij een verplichting bij een groep met meerdere entiteiten het uitgangspunt, niet deze pagina.
In een groep met meerdere entiteiten, meerdere landen of meerdere afdelingen ontstaat bewijs zelden op één plek. Beleid ligt bij juridische zaken, de uitvoering bij een lokale vestiging, de rapportage bij finance, en de goedkeuring bij een bestuur dat het geheel niet dagelijks ziet. Een control-matrix die dit niet in kaart brengt, verbergt dat versnippering het eigenlijke risico is. Niet het ontbreken van beleid, maar het niet kunnen terugvinden van het bewijs dat beleid ook is toegepast. Waar dat precies misgaat en waarom het bij groepsstructuren vaker voorkomt dan bij een enkele entiteit, staat uitgewerkt op waar bewijs verspreid raakt bij een groep met meerdere entiteiten.
Een matrix lost die versnippering niet op door alles op één plek te verzamelen — dat is vaak niet haalbaar en ook niet nodig. Wat de matrix wel doet, is aangeven waar elk stuk bewijs zich bevindt en wie ernaartoe kan wijzen op het moment dat het gevraagd wordt. Dat is een ander doel dan centralisatie: het gaat om vindbaarheid, niet om verzameling.
Een veelvoorkomende fout in een control-matrix is dat het bewijs bestaat uit het beleidsdocument zelf. Een beleidsdocument toont aan dat een organisatie iets heeft besloten, niet dat het gebeurt. Een auditor of toezichthouder die doorvraagt, wil weten hoe het beleid zich vertaalt naar een concrete, herhaalbare handeling: een goedkeuring die is vastgelegd, een controle die is uitgevoerd, een afwijking die is gesignaleerd en opgevolgd. Hoe dat onderscheid in de praktijk werkt, staat toegelicht op hoe u aantoont dat beleid ook praktijk is bij een groep met meerdere entiteiten. Een control-matrix die dit onderscheid niet maakt, geeft schijnzekerheid: op papier compleet, in de praktijk niet te verdedigen.
De waarde van een control-matrix hangt niet af van hoe volledig hij op het moment van opstellen is, maar van hoe goed hij standhoudt op het moment dat iemand van buiten ernaar vraagt. Dat betekent dat bewijs niet alleen moet bestaan, maar ook moet worden bewaard op een manier die een auditor zonder voorkennis van de organisatie kan volgen. Een matrix die verwijst naar bewijs dat niemand meer kan terugvinden, is in de praktijk een lege matrix. Wat daarvoor nodig is qua bewaring en structuur, staat op hoe u bewijs bewaart zodat een auditor het vindt bij een groep met meerdere entiteiten. Bij een groep met meerdere entiteiten is dit een apart aandachtspunt, omdat bewijs dat lokaal is opgeslagen zelden vanzelf zichtbaar is voor wie op groepsniveau verantwoording aflegt. Meer over de opbouw van de matrix zelf bij zo'n structuur staat op wat een control-matrix is bij een groep met meerdere entiteiten.
Een control-matrix maakt zichtbaar wie welk bewijs moet verzamelen, actueel houden en kunnen tonen. Dat is werk dat terugkomt: dezelfde controle, dezelfde verzameling, dezelfde verificatie, keer op keer, vaak over meerdere entiteiten en landen tegelijk. Zodra die herhaling zichtbaar is, ontstaat de vraag welk deel daarvan een taak is die iemand elke keer opnieuw moet doen, en welk deel systematisch genoeg is om anders te organiseren. De werkscan van FTE TO AI rekent per taak uit welk deel van dat werk door AI is over te nemen, op basis van de taken zoals ze in een control-matrix al zijn beschreven.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.