Een verplichting die op papier staat, is nog geen verplichting die is nagekomen. Tussen ‘we hebben beleid’ en ‘we tonen aan dat we in control zijn’ zit een laag die vaak wordt overgeslagen: bewijs. En niet elk document dat ergens ligt, telt als bewijs.
Een beleidsdocument beschrijft een intentie. Het zegt wat een organisatie wil doen, niet wat er is gebeurd. Een auditor of toezichthouder vraagt niet naar het beleid, maar naar de uitkomst ervan: is de risico-inschatting daadwerkelijk gemaakt, is de goedkeuring vastgelegd, is de afwijking gemeld op het moment dat die zich voordeed. Hoe die stap van beleid naar praktijk aantoonbaar wordt gemaakt, hangt af van het type verplichting en de manier waarop een proces is ingericht; hoe u aantoont dat beleid ook praktijk is gaat in op dat onderscheid.
Bewijs is een spoor dat een handeling, een besluit of een controle vastlegt op het moment dat die plaatsvond, met een datum, een naam en een uitkomst. Een e-mail waarin een risico is gemeld. Een notulen-regel waarin een bestuur een afweging heeft gemaakt. Een logbestand dat toont dat een controle daadwerkelijk is uitgevoerd, niet alleen dat die gepland stond. Een ondertekende verklaring van een leverancier. Het gemeenschappelijke kenmerk: het is achteraf te reconstrueren wie wat wanneer heeft gedaan, zonder dat iemand het opnieuw moet navertellen.
Of iets als bewijs telt, hangt sterk af van de verplichting waarop het betrekking heeft. Een rapportageverplichting vraagt om een ander soort spoor dan een zorgplicht, en een zorgplicht weer om iets anders dan een meldplicht. Er bestaat geen vaste lijst die voor elke verplichting hetzelfde antwoord geeft; wat telt, volgt uit de aard van de verplichting zelf en uit wat een toezichthouder daarover heeft vastgelegd.
In de praktijk ontstaat bewijs zelden op één plek. Een risico-inschatting staat in een spreadsheet bij de eerste lijn. De goedkeuring staat in een e-mailwisseling met een leidinggevende. De uiteindelijke controle staat in een systeem van een derde partij. Wanneer een verplichting moet worden aangetoond, moet iemand deze drie sporen weer bij elkaar zoeken — en dat lukt niet altijd. Naarmate een organisatie groter wordt, meer afdelingen kent of met meer externe partijen werkt, neemt de kans toe dat bewijs op een plek ligt die niemand meer kent. waar bewijs verspreid raakt beschrijft de patronen die daarbij het meest voorkomen: overdrachten tussen afdelingen, wisselingen van systeem, en processen die bij een externe partij zijn belegd.
Bewijs dat niet vindbaar is voor iemand anders dan de maker, functioneert niet als bewijs. Een auditor, een nieuwe compliance officer of een toezichthouder moet een spoor kunnen volgen zonder dat de oorspronkelijke opsteller ernaast zit om het uit te leggen. Dat stelt eisen aan waar bewijs wordt bewaard en hoe het is gelabeld: gekoppeld aan de verplichting waarop het betrekking heeft, met een datum en een verantwoordelijke, op een plek die niet afhankelijk is van één persoon die toevallig nog in dienst is. hoe u bewijs bewaart zodat een auditor het vindt gaat in op die inrichting.
Elk stuk bewijs hoort bij een verplichting, en elke verplichting hoort bij iemand die kan uitleggen waarom het bewijs volstaat. Zonder die koppeling ontstaat een archief van documenten waarvan niemand meer weet welke verplichting ze moesten aantonen, of wie verantwoordelijk was voor de kwaliteit ervan. wie eigenaar is van een verplichting beschrijft waarom die toewijzing niet een formaliteit is, maar de schakel die bewijs bruikbaar maakt op het moment dat ernaar wordt gevraagd.
De vier elementen — verplichting, eigenaar, bewijs, control — horen samen in één overzicht te staan, niet verspreid over afdelingen en systemen. Dat overzicht heeft een naam: een control matrix. Wat die matrix precies bevat en hoe die wordt opgebouwd, staat beschreven op wat een control matrix is. Bij een groep met meerdere entiteiten of vestigingen in verschillende landen wordt deze vraag complexer, omdat bewijs op het ene niveau niet automatisch geldig is op het andere; wat telt als bewijs bij een verplichting binnen een groep met meerdere entiteiten gaat specifiek op die situatie in.
Deze pagina beschrijft wat bewijs is en waar het misgaat, niet welk bewijs voor uw organisatie specifiek volstaat. Dat hangt af van de verplichting, de sector en het land waarin een entiteit is gevestigd — en van de manier waarop nationale wetgevers een Europese regel hebben ingevuld. csrdcompliance.net wijst dat verschil aan, maar vervangt geen juridisch advies en geeft geen garantie over een uitkomst bij een toezichthouder.
Het in kaart brengen en op orde krijgen van bewijs kost werk: sporen verzamelen, koppelen aan een verplichting, labelen zodat een ander ze terugvindt. Een deel van dat werk is herhaalbaar en volgt een vast patroon, wat het geschikt maakt om (deels) te automatiseren. De werkscan van FTE TO AI rekent per taak uit welk deel van dat werk door AI is over te nemen, zodat duidelijk wordt waar mensen nodig blijven voor beoordeling en waar het verzamelen en ordenen van bewijs kan worden ondersteund. De Compliance Check van csrdcompliance.net is in aanbouw; wie hierover bericht wil ontvangen, kan zich aanmelden voor de wachtlijst.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.