O obligație care există pe hârtie dar nu are un proprietar, nu există pentru un auditor. Aceasta este esența problemei la care se blochează multe organizații. A fost identificată o obligație de raportare, a fost scrisă o politică, dar întrebarea cine se ocupă zilnic de implementarea politicii și cine poate demonstra că acest lucru se întâmplă, rămâne fără răspuns. Fără un nume asociat unei obligații, nu există control, și fără control, nu există conformitate demonstrabilă.
Proprietatea asupra unei obligații este mai mult decât un nume într-o organigramă. Înseamnă că o singură persoană sau o singură funcție este responsabilă pentru trei lucruri: că obligația este îndeplinită, că dovada acesteia este consemnată, și că această dovadă poate fi găsită în momentul în care cineva o solicită. Un proprietar care doar știe că o sarcină îi revine, dar nu poate arăta ce a fost consemnat în legătură cu aceasta, nu este în practică un proprietar, ci doar un nume pe o listă.
Această distincție este exact locul în care multe sisteme de control intern nu reușesc. Politica este stabilită la nivel de conducere, implementarea are loc la nivel de departament, iar legătura dintre acestea este rareori făcută explicit. Cum se poate realiza această legătură, și de ce politica și practica se îndepărtează una de cealaltă fără această legătură, este descris în cum demonstrați că politica este și practică.
În cazul unei organizații unice, proprietarul unei obligații este de obicei încă identificabil: există o singură entitate juridică, un singur consiliu, un singur set de registre contabile. La un grup cu mai multe entități, acest lucru se schimbă. O obligație care se aplică la nivel de grup trebuie îndeplinită undeva în cadrul organizației, iar aceasta poate fi la nivel de grup, la nivelul unei societăți operaționale, sau distribuită pe mai multe entități care furnizează fiecare o parte din informații.
Întrebarea cine este proprietarul devine astfel o întrebare despre structură: care entitate consolidează datele, care entitate furnizează datele de bază, și cine este responsabil atunci când una dintre aceste verigi lipsește. Această întrebare apare atât de frecvent și de specific în structurile de grup, încât există un tratament separat pentru ea: cine este proprietarul unei obligații la un grup cu mai multe entități analizează modul în care se distribuie această responsabilitate și unde apar problemele în această distribuire.
Proprietatea și dovezile ar trebui să fie legate, dar în practică se separă. Un proprietar este numit pe baza unei scheme organizatorice, în timp ce dovada implementării este consemnată în altă parte: într-un e-mail, un fișier de calcul pe un disc local, un sistem care este utilizat doar la o singură societate operațională. Cel care trebuie să dea socoteală la nivel de grup trebuie să afle mai întâi unde se află dovada, înainte de a putea demonstra că obligația a fost respectată.
Această problemă nu este incidentală, ci structurală în cazul oricărei organizații formate din mai multe componente. Exact aici continuă unde se dispersează dovezile la un grup cu mai multe entități: ce locuri dintr-o organizație generează dovezi fără ca cineva să le colecteze central, și de ce acest lucru se observă abia în momentul în care un auditor le solicită.
Nu orice document furnizat se consideră dovadă pentru un auditor. Un document de politică demonstrează că există o intenție, nu că această intenție a fost implementată. Un proces-verbal al unei ședințe a consiliului demonstrează că un subiect a fost discutat, nu că o decizie a fost urmată. Dovada trebuie să aibă o legătură directă cu obligația pe care trebuie să o susțină: cine a făcut ce, când, și cum a fost consemnat acest lucru.
La un grup cu mai multe entități, această întrebare devine mai complexă, deoarece dovezile pot apărea la diferite niveluri, și nu fiecare nivel are aceeași forță probatorie. Ce se consideră specific dovadă în această situație, și de ce dovada unei entități nu este automat dovadă pentru obligația grupului, este detaliat în ce se consideră dovadă pentru o obligație la un grup cu mai multe entități.
O listă de proprietari este un punct de start, nu un sistem. Pentru a fi demonstrabil în control, fiecare obligație trebuie legată de un proprietar, de dovada pe care acel proprietar o furnizează, și de un control care stabilește dacă acea dovadă este completă și actuală. Această legătură este de obicei consemnată într-o matrice de control, un tablou care arată, pentru fiecare obligație, cine este responsabil și cum este acest lucru controlat. Ce înseamnă exact o matrice de control și de ce o listă de proprietari fără această matrice nu rezistă la un audit, este tratat în ce este o matrice de control.
La fel de importantă este întrebarea unde este păstrată dovada, și dacă un auditor o poate găsi fără ajutorul organizației. Un sistem care depinde de cunoștințele unui singur angajat nu este un sistem, ci un risc. Cum este păstrată dovada astfel încât să rămână găsibilă, inclusiv atunci când un grup este format din mai multe entități, este descris în cum păstrați dovezile astfel încât un auditor să le găsească la un grup cu mai multe entități.
Atribuirea proprietății și organizarea dovezilor reprezintă muncă: întocmirea de tablouri, colectarea de documentație, urmărirea celor care au furnizat ce. O parte din această muncă este repetabilă și urmează un tipar fix, ceea ce o face potrivită pentru a fi susținută de AI. Scanul de lucru al FTE TO AI calculează, per sarcină, care parte din această muncă poate fi transferată, astfel încât să devină vizibil unde oamenii rămân necesari pentru evaluare și unde sistemele pot prelua colectarea și ordonarea dovezilor.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.