Kennisbank

Dôkaz, ktorý audítor môže nájsť

Povinnosť je preukázaná až vtedy, keď existuje niečo, čo môže iný overiť bez toho, aby sa vás musel pýtať. To je jadro preukázateľnosti: nie to, čo vy viete, že sa stalo, ale to, čo audítor, orgán dohľadu alebo nový compliance officer môže dohľadať bez toho, aby ste to musel vysvetľovať. Mnohé spoločnosti zistia až počas auditu, že dôkaz síce existuje, ale nie je dohľadateľný.

Čo sa počíta ako dôkaz

Dôkaz nie je to isté ako politika. Dokument s politikou hovorí, aký je zámer; dôkaz ukazuje, že tento zámer bol aj vykonaný. Myslite na schválené rozhodnutie s dátumom a menom schvaľovateľa, e-mailovú komunikáciu, z ktorej vyplýva zváženie, denník kontroly, ktorá bola skutočne vykonaná, alebo správu, ktorá sa zhoduje s podkladovými údajmi. Čo presne sa počíta ako dostatočný dôkaz, sa líši podľa povinnosti, a čo sa počíta ako dôkaz pri povinnosti v skupine s viacerými entitami ukazuje, ako sa táto otázka zúži, keď pribudne viac pobočiek alebo dcérskych spoločností. Spoločným menovateľom je, že rozdiel medzi politikou a praxou sa často podceňuje: dokument, ktorý vyzerá dobre, nie je dôkazom, že sa podľa neho aj postupovalo. Ako tento rozdiel zviditeľniť, je rozpracované na stránke ako preukázať, že politika je aj praxou.

Odkiaľ dôkaz pochádza

Dôkaz zvyčajne nevzniká na mieste, kde je nakoniec potrebný. Odhad rizika vypracuje operatívny tím, schválenie sa udeje v e-maile, kontrola sa zaznamená v tabuľke, ktorá je uložená len na lokálnom disku. Keď sa audítor spýta, aby sa preukázalo, že povinnosť bola splnená, musí niekto tento dôkaz znovu vyhľadať. Pri jednej entite je to už náročné; pri skupine s viacerými pobočkami, krajinami alebo dcérskymi spoločnosťami sa z toho stáva samostatné pátranie. Každá entita má možno svoj vlastný archív, vlastný systém, vlastný spôsob zaznamenávania. Kde presne to zlyháva a prečo to nie je len otázka disciplíny, je popísané na stránke kde sa dôkaz rozptýli v skupine s viacerými entitami. Pre skupinové štruktúry konkrétne existuje rozpracovanie tej istej otázky ako táto stránka, zamerané na túto situáciu: ako uchovávať dôkazy tak, aby ich audítor našiel v skupine.

Kto to musí byť schopný nájsť

Dohľadateľnosť začína vlastníctvom. Dôkaz, ktorý nemá nikde vlastníka, sa nikde neudržiava, a teda ani neuchováva na mieste, kde ho niekto môže nájsť. Pre každú povinnosť existuje niekto, kto v konečnom dôsledku vie vysvetliť, čo sa urobilo a prečo; kto to je, nie je vždy samozrejmé v organizácii s viacerými oddeleniami alebo entitami. Ako sa toto vlastníctvo určuje a prečo nepatrí automaticky oddeleniu compliance, je na stránke kto je vlastníkom povinnosti. Keď je toto vlastníctvo jasné, ďalšou otázkou nie je ďalší dokument, ale štruktúra, ktorá spája povinnosť, vlastníka a dôkaz. Táto štruktúra sa zvyčajne volá control matrix, a čo táto matica riesi a čo nie, je vysvetlené na stránke čo je control matrix.

Uchovávanie nie je otázkou väčšieho ukladania

Reflex pri preukázateľnosti je často: zaznamenávať viac, archivovať viac, vytvárať viac priečinkov. To problém nevyrieši. Audítor, ktorý musí prehľadať tri systémy, aby skontroloval jednu povinnosť, to nezažíva ako situáciu pod kontrolou, aj keď dôkaz skutočne existuje. Otázkou nie je, koľko dôkazu existuje, ale či je dohľadateľný: od povinnosti k vlastníkovi, k dôkazu, k kontrole, ktorá preukazuje, že sa to stalo. Bez tejto dohľadateľnosti zostáva dôkaz rozptýlený, aj keď je na papieri kompletný.

Toto platí silnejšie, čím je organizácia väčšia a zložitejšia. Národné transpozície toho istého európskeho pravidla vyzerajú v každej krajine inak, s inými termínmi, inými orgánmi a inými očakávaniami o tom, čo sa počíta ako dôkaz. Čo je dostatočné v jednej krajine, nie je automaticky dostatočné v inej. To robí z centrálnej, dohľadateľnej štruktúry pre dôkazy nie otázku poriadku, ale podmienku na udržanie prehľadu o tom, čo je skutočne zaznamenané v každej krajine, každej entite a každej povinnosti.

Kam to smeruje

Zaznamenávanie, udržiavanie a zabezpečenie dohľadateľnosti dôkazov je samo osebe forma práce: usporiadanie dokumentov, vytváranie odkazov, kontrola, či je dokumentácia kompletná ešte predtým, ako sa na to audítor spýta. Časť tejto práce je repetitívna a riadi sa pevným vzorom pri každej povinnosti. Kto chce vedieť, ktorú časť tejto práce môže prevziať AI a ktorá časť zostáva závislá od ľudského úsudku, si to môže dať vypočítať pomocou pracovného skenu FTE TO AI, ktorý pri každej úlohe ukáže, koľko priestoru je na automatizáciu.