Obowiązek, który istnieje na papierze, ale nie ma właściciela, dla audytora nie istnieje. To jest istota tego, na czym wiele organizacji się zatrzymuje. Zidentyfikowano obowiązek sprawozdawczy, napisano politykę, ale pytanie, kto codziennie dba o to, by polityka była wykonywana, i kto może wykazać, że to się dzieje, pozostaje bez odpowiedzi. Bez nazwiska przy obowiązku nie ma kontroli, a bez kontroli nie ma wykazywalnej zgodności.
Własność obowiązku to więcej niż nazwisko w schemacie organizacyjnym. Oznacza, że jedna osoba lub jedna funkcja jest odpowiedzialna za trzy rzeczy: że obowiązek jest wykonywany, że dowód tego jest rejestrowany oraz że ten dowód jest odnajdywalny w momencie, gdy ktoś o niego zapyta. Właściciel, który wie tylko, że zadanie do niego należy, ale nie może pokazać, co z tego zostało zarejestrowane, w praktyce nie jest właścicielem, a jedynie nazwiskiem na liście.
To rozróżnienie jest właśnie tym, w czym wiele wewnętrznych systemów kontroli zawodzi. Polityka jest ustalana na poziomie zarządu, wykonanie odbywa się na poziomie działu, a powiązanie między nimi rzadko jest wyraźnie określone. Jak takie powiązanie można ustanowić i dlaczego polityka i praktyka bez tego powiązania rozchodzą się, opisano w jak wykazać, że polityka jest również praktyką.
W jednostkowej organizacji właściciela obowiązku zwykle można jeszcze znaleźć: jest jedna osoba prawna, jeden zarząd, jeden zestaw ksiąg. W przypadku grupy z wieloma podmiotami to się zmienia. Obowiązek, który obowiązuje na poziomie grupy, musi być wykonywany gdzieś w organizacji, a to może być na poziomie grupy, na poziomie spółki operacyjnej, lub rozłożone na wiele podmiotów, z których każdy dostarcza część informacji.
Pytanie, kto jest właścicielem, staje się wtedy pytaniem o strukturę: który podmiot konsoliduje dane, który podmiot dostarcza dane źródłowe i kto jest odpowiedzialny, gdy jedno z tych ogniw jest nieobecne. To pytanie pojawia się tak często i tak specyficznie w strukturach grupowych, że poświęcono mu osobne omówienie: kto jest właścicielem obowiązku w grupie z wieloma podmiotami omawia, jak ta odpowiedzialność się rozdziela i gdzie ten podział zawodzi.
Własność i dowód należą do siebie, ale w praktyce się rozdzielają. Właściciel jest wskazywany na podstawie schematu organizacyjnego, podczas gdy dowód wykonania jest rejestrowany gdzie indziej: w e-mailu, w arkuszu kalkulacyjnym na lokalnym dysku, w systemie, który jest używany tylko w jednej spółce operacyjnej. Kto na poziomie grupy musi się rozliczyć, musi najpierw ustalić, gdzie znajduje się dowód, zanim będzie mógł pokazać, że obowiązek został wykonany.
Ten problem nie jest incydentalny, jest strukturalny w każdej organizacji, która składa się z wielu części. Właśnie tu kontynuuje temat gdzie dowód się rozprasza w grupie z wieloma podmiotami: jakie miejsca w organizacji generują dowód, bez tego, że ktoś ten dowód centralnie zbiera, i dlaczego to zauważa się dopiero w momencie, gdy audytor o niego zapyta.
Nie każdy dostarczony dokument liczy się jako dowód dla audytora. Dokument polityki wykazuje, że istnieje intencja, nie że ta intencja została zrealizowana. Protokół z posiedzenia zarządu wykazuje, że temat został omówiony, nie że decyzja została wdrożona. Dowód musi mieć bezpośredni związek z obowiązkiem, który ma potwierdzać: kto co zrobił, kiedy i jak to zostało zarejestrowane.
W grupie z wieloma podmiotami to pytanie staje się bardziej skomplikowane, ponieważ dowód może powstać na różnych poziomach i nie każdy poziom ma taką samą siłę dowodową. Co w takiej sytuacji konkretnie liczy się jako dowód i dlaczego dowód jednego podmiotu nie jest automatycznie dowodem dla obowiązku grupy, jest szczegółowo opisane w co liczy się jako dowód dla obowiązku w grupie z wieloma podmiotami.
Lista właścicieli jest punktem wyjścia, nie systemem. Aby być wykazywalnie w kontroli, każdy obowiązek musi być powiązany z właścicielem, z dowodem, który ten właściciel dostarcza, oraz z kontrolą, która ustala, czy ten dowód jest kompletny i aktualny. To powiązanie jest często rejestrowane w matrycy kontroli, przeglądzie, który dla każdego obowiązku pokazuje, kto jest odpowiedzialny i jak to jest kontrolowane. Co dokładnie oznacza matryca kontroli i dlaczego lista właścicieli bez takiej matrycy nie wytrzyma audytu, omówiono w co to jest matryca kontroli.
Równie ważne jest pytanie, gdzie ten dowód jest przechowywany i czy audytor może go odnaleźć bez pomocy organizacji. System, który zależy od wiedzy jednego pracownika, nie jest systemem, lecz ryzykiem. Jak przechowywać dowód tak, by pozostał odnajdywalny, także gdy grupa składa się z wielu podmiotów, opisano w jak przechowywać dowód, aby audytor go znalazł w grupie z wieloma podmiotami.
Przypisanie własności i organizacja dowodów to praca: tworzenie przeglądów, zbieranie dokumentacji, śledzenie, kto co dostarczył. Część tej pracy jest powtarzalna i przebiega według stałego wzorca, co czyni ją odpowiednią do wsparcia przez AI. Skan pracy FTE TO AI oblicza dla każdego zadania, jaką część tej pracy można przejąć, dzięki czemu widać, gdzie ludzie pozostają potrzebni do oceny, a gdzie systemy mogą przejąć zbieranie i porządkowanie dowodów.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.