Lastništvo obveznosti: kdo je odgovoren in kdo lahko to izkaže

Obveznost, ki na papirju obstaja, a nima lastnika, za revizorja ne obstaja. To je jedro tega, kje se veliko organizacij zatika. Prepoznana je poročevalska obveznost, napisana je politika, a vprašanje, kdo dnevno skrbi za to, da se politika izvaja, in kdo lahko izkaže, da se to dogaja, ostane neodgovorjeno. Brez imena pri obveznosti ni nadzora, in brez nadzora ni izkazljive skladnosti.

Kaj lastništvo pravzaprav pomeni

Lastništvo obveznosti je več kot ime v organigramu. Pomeni, da je ena oseba ali ena funkcija odgovorna za tri stvari: da se obveznost izvaja, da se dokaz o tem zapisuje, in da je ta dokaz mogoče najti v trenutku, ko nekdo zanj vpraša. Lastnik, ki le ve, da naloga sodi k njemu, a ne more pokazati, kaj je bilo od tega zapisano, v praksi ni lastnik, temveč zgolj ime na seznamu.

Razlika je natanko tam, kjer marsikateri notranji kontrolni sistem zaostaja. Politika se sprejema na ravni uprave, izvajanje poteka na ravni oddelka, in povezava med njima redko postane izrecna. Kako se ta povezava lahko vzpostavi in zakaj se politika in praksa brez te povezave razidejo, je opisano v tem, kako izkažete, da je politika tudi praksa.

Zakaj lastništvo postane nejasno

Pri enovitih organizacijah je lastnika obveznosti navadno še mogoče najti: obstaja ena pravna entiteta, ena uprava, en niz knjig. Pri skupini z več entitetami se to spremeni. Obveznost, ki velja na ravni skupine, se mora nekje v organizaciji izvajati, in to lahko poteka na ravni skupine, na ravni operativne družbe, ali razpršeno med več entitetami, ki vsaka prispeva del informacij.

Vprašanje, kdo je lastnik, tako postane vprašanje o strukturi: katera entiteta konsolidira podatke, katera entiteta zagotavlja osnovne podatke in kdo je odgovoren, če eden od teh členov manjka. To vprašanje je pri skupinskih strukturah tako pogosto in tako specifično, da obstaja zanj poseben prispevek: kdo je lastnik obveznosti pri skupini z več entitetami obravnava, kako se ta odgovornost porazdeli in kje pri tej porazdelitvi pride do napak.

Kje dokazi postanejo razpršeni

Lastništvo in dokazi sodijo skupaj, a v praksi se razidejo. Lastnik se določi na podlagi organizacijske sheme, medtem ko se dokaz o izvajanju zapisuje nekje drugje: v e-poštnem sporočilu, v preglednici na lokalnem disku, v sistemu, ki ga uporablja le ena operativna družba. Kdor mora na ravni skupine odgovarjati, mora tedaj najprej ugotoviti, kje se dokaz nahaja, preden lahko pokaže, da je bila obveznost izpolnjena.

Ta težava ni naključna, temveč je strukturna pri vsaki organizaciji, ki jo sestavlja več delov. Prav na tem mestu nadaljuje kje dokazi postanejo razpršeni pri skupini z več entitetami: katera mesta v organizaciji ustvarjajo dokaze, ne da bi jih kdo zbiral centralno, in zakaj to postane opazno šele v trenutku, ko revizor zanje vpraša.

Kaj šteje kot dokaz

Ne šteje vsak predloženi dokument kot dokaz za revizorja. Dokument politike izkazuje, da obstaja namera, ne da je bila ta namera izvedena. Zapisnik seje uprave izkazuje, da je bila tema obravnavana, ne da je bil sklep izveden. Dokaz mora imeti neposredno povezavo z obveznostjo, ki jo mora podpirati: kdo je kaj naredil, kdaj, in kako je bilo to zapisano.

Pri skupini z več entitetami to vprašanje postane bolj zapleteno, ker lahko dokazi nastanejo na različnih ravneh in ne ima vsaka raven enake dokazne moči. Kaj v takšni situaciji specifično šteje kot dokaz in zakaj dokaz ene entitete ni brez nadaljnjega dokaz za obveznost skupine, je razdelano v tem, kaj šteje kot dokaz pri obveznosti skupine z več entitetami.

Od lastnika do sistema

Seznam lastnikov je izhodišče, ne sistem. Da bi bili izkazljivo obvladovani, mora biti vsaka obveznost povezana z lastnikom, z dokazom, ki ga ta lastnik zagotavlja, in s kontrolo, ki ugotavlja, ali je ta dokaz popoln in aktualen. Ta povezava se pogosto zapisuje v kontrolno matriko, pregled, ki za vsako obveznost prikaže, kdo je odgovoren in kako se to preverja. Kaj kontrolna matrika natančno pomeni in zakaj seznam lastnikov brez te matrike pri reviziji ne zdrži, je obravnavano v tem, kaj je kontrolna matrika.

Enako pomembno je vprašanje, kje se ta dokaz hrani in ali ga lahko revizor najde brez pomoči organizacije. Sistem, ki je odvisen od znanja enega samega sodelavca, ni sistem, temveč tveganje. Kako se dokaz hrani tako, da ostane najdljiv, tudi kadar skupino sestavlja več entitet, je opisano v tem, kako hranite dokaze tako, da jih revizor najde pri skupini z več entitetami.

Delovna obremenitev za lastništvom

Dodeljevanje lastništva in vzpostavljanje dokazovanja je delo: priprava preglednic, zbiranje dokumentacije, spremljanje, kdo je kaj predložil. Del tega dela je ponovljiv in sledi ustaljenemu vzorcu, kar ga naredi primernega za podporo z umetno inteligenco. Delovna analiza podjetja FTE TO AI za vsako nalogo izračuna, kateri del tega dela je mogoče prevzeti, tako da postane vidno, kje so ljudje še potrebni za presojo in kje lahko sistemi prevzamejo zbiranje in urejanje dokazov.