En koncernpolicy är inget bevis. Det är en avsikt som fastställts från huvudkontoret och som, i bästa fall, också har förts vidare till varje enhet. Om det har skett, och om policyn faktiskt tillämpas, är en annan fråga än om policyn existerar. En styrelse som vill visa att den har kontroll måste kunna överbrygga den skillnaden: inte bara visa vad som har beslutats, utan också vad som sker i praktiken hos varje enhet som omfattas.
I en koncern med flera enheter är policyn oftast skriven centralt och genomförd decentraliserat. Det innebär att avståndet mellan policytexten och praktiken på golvet är större än hos ett enskilt bolag. Ett dotterbolag i ett annat land, med ett annat språk, ett annat ledningsteam och ibland en annan redovisningstradition, tillämpar policyn så som det förstår policyn. Det är inte automatiskt fel, men det är något som måste fastställas separat. En styrelse som antar att koncernpolicyn tillämpas identiskt överallt gör ett antagande som sällan prövas förrän en revisor eller tillsynsmyndighet frågar om det.
Policy är ett dokument. Bevis är något annat: en aktivitet, ett godkännande, en avvikelse som har upptäckts och åtgärdats, en kontroll som faktiskt har utförts vid en tidpunkt som kan spåras. Vad som räknas som bevis vid en skyldighet beror på skyldighetens karaktär, men kärnan är alltid densamma: det måste kunna visas att något har hänt, inte bara att det borde ha hänt. I en koncern med flera enheter blir denna åtskillnad tydligare, eftersom policyn skrivs på ett ställe och bevisen måste hämtas på ett helt annat ställe.
Det vanligaste problemet är inte att det saknas bevis, utan att bevisen finns, utspridda över olika enheter, system och ansvariga, utan att någon på koncernnivå har överblick. En lokal controller har fört en kalkylark, en compliance officer hos ett dotterbolag har sparat e-postmeddelanden, en extern revisor har avslutat ett arbetsprogram som inte lagras centralt någonstans. Var bevis hamnar spritt är precis detta mönster: inte avsaknaden av bevis, utan avsaknaden av en plats där bevisen samlas. Ju större och mer internationell en koncern är, desto starkare blir detta mönster, helt enkelt eftersom det finns fler platser där något kan dokumenteras och fler personer som tror att någon annan håller reda på det.
För att organisera påvisbarhet över flera enheter behövs en struktur som per skyldighet fastställer vem som ansvarar för vad, även om det skiljer sig mellan enheter. Vad en kontrollmatris är i en koncern med flera enheter förklarar hur en sådan matris ser ut: per skyldighet en ägare, det bevis som hör till skyldigheten och den kontroll som visar att beviset har granskats. Hos ett enskilt bolag är den matrisen överskådlig. I en koncern multipliceras varje rad med antalet enheter som skyldigheten gäller för, och det antalet är sällan lika tydligt för alla inom koncernen.
Påvisbarhet är bara påvisbarhet om någon utanför koncernen kan följa den. Det kan vara en extern revisor, en tillsynsmyndighet, eller en ny styrelseledamot som måste ta över den tidigare situationen. Hur ni bevarar bevis så att en revisor hittar dem handlar om just den sökbarheten: inte bara om beviset finns, utan om det är lagrat på ett sätt som är begripligt för någon som inte känner till koncernens interna struktur. Vid flera enheter är detta ett extra komplexitetslager, eftersom sökbarheten inte bara måste fungera inom en enhet, utan också mellan enheter, så att koncernnivån kan visa en sammanhängande bild i stället för en samling lösa dokumentationer.
En extra komplikation i en koncern är att samma europeiska skyldighet kan falla ut olika per land. Ett dotterbolag i Tyskland kan omfattas av en annan nationell tillämpning än ett dotterbolag i Frankrike, även om den underliggande europeiska regeln är identisk. Vilka nationella tillägg gäller i Tyskland och vilka nationella tillägg gäller i Frankrike visar var den skillnaden blir konkret. En koncernpolicy som är skriven enbart utifrån den europeiska texten täcker därför inte automatiskt vad varje enhet lokalt måste kunna visa. Det är precis där många koncerner blir överraskade: inte av huvudregeln, utan av det nationella tillägg som ligger under den.
Att kartlägga ägare, bevis och kontroller över flera enheter är arbete som till stor del består av att samla in, ordna och löpande underhålla information som redan finns någonstans. Det är precis den typen av uppgift som FTE TO AI:s arbetsscan undersöker vilken del av som kan tas över av AI, per uppgift, utan att därmed anta något om resultatet för er organisation.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.