Dokazi, ki jih revizor lahko najde

Obveznost je izkazana šele takrat, ko obstaja nekaj, kar lahko preveri drugi, ne da bi vas moral vprašati. To je bistvo izkazljivosti: ne kaj vi veste, da se je zgodilo, temveč kaj lahko revizor, nadzorni organ ali nov uslužbenec za skladnost poslovanja poišče, ne da bi mu vi to morali razložiti. Veliko podjetij šele med revizijo ugotovi, da dokazi sicer obstajajo, vendar jih ni mogoče najti.

Kaj šteje kot dokaz

Dokaz ni enako kot politika. Dokument politike pove, kakšen je namen; dokaz pokaže, da je bil ta namen tudi izvršen. Pomislite na potrjen sklep z datumom in imenom osebe, ki ga je potrdila, izmenjavo e-pošte, iz katere je razvidno tehtanje, dnevnik nadzora, ki je bil dejansko izveden, ali poročilo, ki se ujema z osnovnimi podatki. Kaj natanko šteje kot zadosten dokaz, se razlikuje glede na obveznost, in kaj šteje kot dokaz pri obveznosti pri skupini z več entitetami pokaže, kako se to vprašanje zoži, ko se vključi več enot ali odvisnih družb. Rdeča nit je vedno, da se razlika med politiko in prakso pogosto podcenjuje: dokument, ki je videti urejen, ni dokaz, da je kdo po njem tudi ravnal. Kako to razliko narediti vidno, je razčlenjeno na kako izkažete, da je politika tudi praksa.

Od kod prihaja dokaz

Dokaz običajno ne nastane na mestu, kjer je nazadnje potreben. Oceno tveganja pripravi operativna ekipa, potrditev se zgodi v e-poštnem sporočilu, nadzor se zabeleži v preglednici, ki je shranjena samo na lokalnem disku. Ko revizor zahteva dokaz, da je bila obveznost izpolnjena, mora nekdo ta dokaz spet poiskati. Pri eni entiteti je to že zahtevno; pri skupini z več enotami, državami ali odvisnimi družbami postane to prava iskalna akcija. Vsaka entiteta ima morda svoj lasten arhiv, svoj lasten sistem, svoj lasten način zapisovanja. Kje to natanko zaide in zakaj to ni le vprašanje discipline, je opisano na kje se dokaz razpršuje pri skupini z več entitetami. Za skupinske strukture obstaja posebej razčlenjeno enako vprašanje kot na tej strani, prilagojeno tej situaciji: kako shranite dokaze, da jih revizor najde pri skupini.

Kdo mora biti sposoben najti dokaz

Najdljivost se začne pri lastništvu. Dokaz, ki nikjer nima lastnika, se nikjer ne vodi in se torej ne hrani na mestu, kjer bi ga kdo lahko našel. Za vsako obveznost obstaja nekdo, ki lahko nazadnje razloži, kaj je bilo storjeno in zakaj; kdo je ta oseba, ni vedno samoumevno znotraj organizacije z več oddelki ali entitetami. Kako se to lastništvo določi in zakaj ne pripada samodejno oddelku za skladnost poslovanja, je opisano na kdo je lastnik obveznosti. Ko je to lastništvo jasno, naslednje vprašanje ni še en dokument, temveč struktura, ki povezuje obveznost, lastnika in dokaz. Ta struktura se običajno imenuje matrika kontrol (control matrix), in kaj ta matrika reši in kaj ne, je razloženo na kaj je matrika kontrol (control matrix).

Hranjenje ni vprašanje več shranjevanja

Refleks pri izkazljivosti je pogosto: več zapisovati, več arhivirati, več map ustvarjati. To ne reši problema. Revizor, ki mora preiskati tri sisteme, da preveri eno obveznost, tega ne dojema kot obvladovanje razmer (in control), tudi če dokaz dejansko obstaja. Vprašanje ni, koliko dokazov obstaja, temveč ali je mogoče slediti povezavi: od obveznosti do lastnika, do dokaza, do nadzora, ki izkazuje, da se je zgodilo. Brez te sledljivosti dokaz ostaja razpršen, tudi če je na papirju popoln.

To velja še močneje, kolikor je organizacija večja in bolj kompleksna. Nacionalne implementacije istega evropskega pravila se po posameznih državah razlikujejo, z drugačnimi roki, drugačnimi instancami in drugačnimi pričakovanji glede tega, kaj šteje kot dokaz. Kar je v eni državi zadostno, ni samodejno tudi v drugi. To dela centralno, sledljivo strukturo za dokaze ne le vprašanje urejenosti, temveč pogoj za ohranjanje preglednosti nad tem, kaj je bilo po posameznih državah, entitetah in obveznostih dejansko zapisano.

Kam to pripelje