Povinnosť, ktorá existuje na papieri, ale nemá vlastníka, pre audítora neexistuje. To je jadro toho, na čom mnohé organizácie stroskotávajú. Je identifikovaná povinnosť podávania správ, je napísaná politika, ale otázka, kto denne zabezpečuje, aby sa politika vykonávala, a kto môže preukázať, že sa to naozaj deje, zostáva nezodpovedaná. Bez mena pri povinnosti nie je žiadna kontrola, a bez kontroly nie je preukázateľný súlad.
Vlastníctvo povinnosti je viac než len meno v organizačnej schéme. Znamená to, že jedna osoba alebo jedna funkcia je zodpovedná za tri veci: že sa povinnosť vykonáva, že sa dôkaz o tom zaznamenáva a že tento dôkaz je vyhľadateľný v okamihu, keď o neho niekto požiada. Vlastník, ktorý vie iba to, že úloha patrí jemu, ale nedokáže ukázať, čo z toho bolo zaznamenané, je v praxi nie vlastníkom, ale iba menom na zozname.
Toto rozlíšenie je presne tam, kde mnohé systémy vnútornej kontroly zlyhávajú. Politika sa stanovuje na úrovni vedenia, vykonávanie sa uskutočňuje na úrovni oddelenia a spojenie medzi nimi sa zriedka explicitne vytvára. Ako sa toto spojenie skutočne dá vytvoriť a prečo sa politika a prax bez tohto spojenia rozchádzajú, je popísané v ako preukázať, že politika je aj praxou.
Pri jednej organizácii je vlastníka povinnosti zvyčajne ešte možné nájsť: existuje jeden právny subjekt, jedno vedenie, jeden súbor kníh. Pri skupine s viacerými subjektmi sa to mení. Povinnosť, ktorá platí na úrovni skupiny, musí byť niekde v organizácii vykonaná, a to môže byť na úrovni skupiny, na úrovni pracovnej spoločnosti, alebo rozdelené medzi viacero subjektov, ktoré každý dodáva časť informácií.
Otázka, kto je vlastníkom, sa potom stáva otázkou o štruktúre: ktorý subjekt konsoliduje údaje, ktorý subjekt dodáva podkladové dáta, a kto je zodpovedný, ak jeden z týchto článkov chýba. Táto otázka sa vyskytuje tak často a tak konkrétne pri skupinových štruktúrach, že jej je venované samostatné spracovanie: kto je vlastníkom povinnosti pri skupine s viacerými subjektmi sa zaoberá tým, ako sa táto zodpovednosť rozdeľuje a kde toto rozdelenie zlyháva.
Vlastníctvo a dôkaz patria k sebe, ale v praxi sa od seba oddeľujú. Vlastník je určený na základe organizačnej schémy, zatiaľ čo dôkaz o vykonaní sa zaznamenáva niekde inde: v e-maile, v tabuľke na lokálnom disku, v systéme, ktorý sa používa iba v jednej pracovnej spoločnosti. Kto musí na úrovni skupiny podávať vysvetlenie, musí potom najprv zistiť, kde sa dôkaz nachádza, predtým než môže ukázať, že povinnosť bola splnená.
Tento problém nie je náhodný, je štrukturálny pri každej organizácii, ktorá sa skladá z viacerých častí. Presne na to nadväzuje kde sa dôkaz rozptýli pri skupine s viacerými subjektmi: ktoré miesta v organizácii vytvárajú dôkaz bez toho, aby ho niekto centrálne zbieral, a prečo si to všimneme až v okamihu, keď o to audítor požiada.
Nie každý dokument, ktorý sa predloží, sa počíta ako dôkaz pre audítora. Dokument politiky preukazuje, že existuje zámer, nie že sa tento zámer aj vykonal. Zápisnica zo zasadnutia vedenia preukazuje, že sa o téme diskutovalo, nie že sa rozhodnutie aj dodržalo. Dôkaz musí mať priamu súvislosť s povinnosťou, ktorú má podporiť: kto čo urobil, kedy, a ako to bolo zaznamenané.
Pri skupine s viacerými subjektmi sa táto otázka komplikuje, pretože dôkaz môže vznikať na rôznych úrovniach a nie každá úroveň má rovnakú výpovednú hodnotu. Čo sa v tejto situácii konkrétne počíta ako dôkaz, a prečo dôkaz jedného subjektu nie je automaticky dôkazom pre povinnosť skupiny, je rozpracované v čo sa počíta ako dôkaz pri povinnosti pri skupine s viacerými subjektmi.
Zoznam vlastníkov je východiskový bod, nie systém. Aby bola organizácia preukázateľne pod kontrolou, musí byť každá povinnosť spojená s vlastníkom, s dôkazom, ktorý tento vlastník poskytuje, a s kontrolou, ktorá stanovuje, či je tento dôkaz úplný a aktuálny. Toto spojenie sa často zaznamenáva do control matrix, prehľadu, ktorý pri každej povinnosti ukazuje, kto je zodpovedný a ako sa to kontroluje. Čo presne control matrix obsahuje a prečo zoznam vlastníkov bez tejto matrix pri audite neobstojí, je spracované v čo je control matrix.
Rovnako dôležitá je otázka, kde sa dôkaz uchováva, a či ho audítor dokáže nájsť bez pomoci organizácie. Systém, ktorý je závislý od znalostí jedného zamestnanca, nie je systémom, ale rizikom. Ako sa dôkaz uchováva tak, aby zostal vyhľadateľný, aj keď sa skupina skladá z viacerých subjektov, je popísané v ako uchovávať dôkaz tak, aby ho audítor našiel pri skupine s viacerými subjektmi.
Určovanie vlastníctva a zriaďovanie dokazovania je práca: vytváranie prehľadov, zhromažďovanie dokumentácie, sledovanie toho, kto čo dodal. Časť tejto práce je opakovateľná a sleduje pevný vzor, čo ju robí vhodnou na podporu prostredníctvom AI. Werkscan spoločnosti FTE TO AI vypočíta pre každú úlohu, akú časť tejto práce je možné prevziať, takže je viditeľné, kde sú ľudia stále potrební na posúdenie a kde môžu systémy prevziať zhromažďovanie a usporiadanie dôkazu.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.