Op het moment dat een externe partij een oordeel moet geven over uw duurzaamheidsrapportage, verandert de vraag. Het gaat dan niet meer alleen om wat er in het rapport staat, maar om of dat wat er staat is te herleiden naar een bron, een proces en een verantwoordelijke. Een assurance-verklaring is in de kern een oordeel over de kwaliteit van die herleidbaarheid. Dat stelt eisen aan een dossier die veel bedrijven onderschatten tot het moment dat de vraag concreet wordt gesteld.
Een accountant of andere assurance-verlener kijkt niet naar de intentie achter een cijfer, maar naar het bewijs erachter. Waar komt de data vandaan, wie heeft die vastgelegd, welke controle heeft daarop plaatsgevonden en is die controle herhaalbaar. Dat betekent dat een dossier niet alleen een uitkomst moet laten zien, maar ook een pad: van bronregistratie naar verzameling, van verzameling naar verwerking, van verwerking naar de uiteindelijke rapportagetekst. Ontbreekt een schakel in dat pad, dan ontbreekt niet per se de juistheid van het cijfer, maar wel de aantoonbaarheid ervan. En aantoonbaarheid is waar assurance op oordeelt.
Een rapport beschrijft een uitkomst op een moment. Het toont een structuur op het moment van schrijven, maar niet of die structuur standhoudt wanneer er een half jaar later om onderliggend bewijs wordt gevraagd. Dat verschil wordt behandeld in waarom een compliance check iets anders is dan een rapport: een rapport is een foto, een dossier moet een lopend systeem zijn dat op ieder moment opnieuw te bevragen is. Voor assurance is dat onderscheid niet theoretisch. Een verklaring wordt niet afgegeven op basis van een goed geschreven document, maar op basis van een spoor dat op de dag van de audit nog te volgen is.
Drie elementen komen telkens terug wanneer een dossier op herleidbaarheid wordt getoetst. Wie is verantwoordelijk voor een gegeven of een verplichting, welk bewijsstuk onderbouwt dat die verplichting is nagekomen, en welke control laat zien dat dit niet eenmalig maar structureel gebeurt. Zonder eigenaar is niet duidelijk wie aanspreekbaar is als iets ontbreekt. Zonder bewijs is een claim niet meer dan een bewering. Zonder control is niet aan te tonen dat wat vandaag klopt, ook volgend kwartaal nog klopt. Dat is ook de structuur die aansluit bij de vraag hoe een bestuur aantoont dat het in control is: niet door te verklaren dat het overzicht bestaat, maar door te laten zien wie het beheert en hoe dat te controleren is, zoals nader uitgewerkt in hoe toont een bestuur aan dat het in control is.
Een dossier dat aansluit op de Europese tekst van een verplichting is daarmee niet automatisch klaar voor assurance in een specifiek land. Veel Europese regels krijgen een nationale uitwerking die afwijkt in reikwijdte, termijn of vereiste vorm van bewijs. Een bedrijf dat alleen de Europese laag heeft gedocumenteerd, loopt het risico dat de nationale eis daarachter over het hoofd wordt gezien, juist op het moment dat een verklaring per land moet worden afgegeven. Hoe een organisatie dat bijhoudt zonder voor iedere jurisdictie een nieuw abonnement of nieuwe adviseur te moeten inschakelen, staat beschreven op hoe houdt u nationale koppen bij zonder abonnementenjungle.
De Compliance Check brengt in kaart welke verplichtingen op uw organisatie van toepassing zijn, en koppelt daar per verplichting een eigenaar, een bewijsvorm en een control aan. Dat is de structuur die een assurance-traject nodig heeft om te kunnen beginnen: een overzicht waarin niets impliciet is gebleven. Wat de Compliance Check niet doet, is het bewijs zelf beoordelen op inhoudelijke juistheid, en niet garanderen dat een assurance-verlener een positief oordeel afgeeft. De structuur maakt een dossier beoordeelbaar; ze bepaalt niet de uitkomst van die beoordeling. Dat onderscheid is met opzet scherp gehouden, omdat een claim over een uitkomst niet te onderbouwen is voordat een externe partij het dossier daadwerkelijk heeft gezien.
Het moment waarop een organisatie ontdekt dat een bewijsketen ontbreekt, is meestal het moment waarop een assurance-traject al loopt. Dan is de tijd om alsnog een eigenaar aan te wijzen of een control in te richten beperkt, en wordt duidelijk wat het kost om niet eerder te hebben geweten waaronder het bedrijf viel en wat daarvoor nodig was, een vraag die verder wordt behandeld in wat kost het om niet te weten waaronder u valt. Vroeg beginnen betekent niet dat een dossier daardoor foutloos wordt, maar wel dat de gaten zichtbaar worden op een moment dat er nog tijd is om ze te dichten.
De Compliance Check is in aanbouw. Wie hier nu behoefte aan heeft, kan zich aanmelden voor de wachtlijst; er wordt niets aangeboden dat nog niet bestaat.
Een bewijsketen bouwen en onderhouden kost tijd, en die tijd wordt binnen veel organisaties handmatig ingevuld: gegevens verzamelen, dossiers actualiseren, controles herhalen. De werkscan van FTE TO AI rekent per taak uit welk deel van dat werk door AI is over te nemen, zodat duidelijk wordt waar mensen nodig blijven voor beoordeling en waar herhaalbaar werk geen mensenhanden meer vraagt.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.