Kennisbank

Bevis som en revisor kan hitta

En skyldighet är först påvisad när det finns något som en annan person kan kontrollera utan att behöva fråga er om det. Det är kärnan i påvisbarhet: inte vad ni vet har hänt, utan vad en revisor, en tillsynsmyndighet eller en ny compliance officer kan hitta utan att ni behöver förklara det. Många företag upptäcker först under en revision att bevisen faktiskt finns, men inte är sökbara.

Vad som räknas som bevis

Bevis är inte samma sak som policy. Ett policydokument anger vad avsikten är; bevis visar att den avsikten också har genomförts. Tänk på ett godkänt beslut med datum och namn på den som godkänt det, en e-postväxling som visar en avvägning, en loggbok över en kontroll som verkligen har utförts, eller en rapport som stämmer med underliggande data. Vad exakt som räknas som tillräckligt bevis varierar per skyldighet, och vad som räknas som bevis vid en skyldighet inom en grupp med flera enheter visar hur den frågan skärps så snart flera anläggningar eller dotterbolag tillkommer. Den röda tråden är alltid att skillnaden mellan policy och praxis ofta underskattas: ett dokument som ser bra ut är inte bevis för att någon också har agerat i enlighet med det. Hur den skillnaden kan göras synlig beskrivs på hur ni visar att policy också är praxis.

Var beviset kommer ifrån

Bevis uppstår oftast inte på den plats där det slutligen behövs. En riskbedömning görs av ett operativt team, ett godkännande sker i ett e-postmeddelande, en kontroll dokumenteras i ett kalkylblad som bara finns på en lokal disk. Vid den tidpunkt då en revisor ber om att få visat att en skyldighet har uppfyllts, måste någon leta fram det beviset igen. För en enskild enhet är det redan besvärligt; för en grupp med flera anläggningar, länder eller dotterbolag blir det en sökprocess i sig. Varje enhet har eventuellt ett eget arkiv, ett eget system, ett eget sätt att dokumentera. Var det exakt går fel och varför det inte bara är en fråga om disciplin beskrivs på var bevis blir spritt inom en grupp med flera enheter. För koncernstrukturer specifikt finns en fördjupning av samma fråga som på denna sida, anpassad till den situationen: hur ni bevarar bevis så att en revisor hittar det inom en grupp.

Vem som ska kunna hitta det

Sökbarhet börjar med ägarskap. Bevis som inte har någon ägare underhålls ingenstans och bevaras därmed inte på en plats där någon kan hitta det. För varje skyldighet finns det någon som i slutändan kan förklara vad som har gjorts och varför; vem det är är inte alltid självklart inom en organisation med flera avdelningar eller enheter. Hur det ägarskapet fastställs och varför det inte automatiskt ligger hos compliance-avdelningen beskrivs på vem som är ägare av en skyldighet. När det ägarskapet är klart, är nästa fråga inte ännu ett dokument, utan en struktur som kopplar samman skyldighet, ägare och bevis. Den strukturen kallas oftast en control matrix, och vad den matrisen löser och inte löser förklaras på vad en control matrix är.

Att bevara är inte en fråga om mer lagring

Reflexen vid påvisbarhet är ofta: dokumentera mer, arkivera mer, skapa fler mappar. Det löser inte problemet. En revisor som måste söka igenom tre system för att kontrollera en enda skyldighet upplever inte det som att vara i control, även om beviset faktiskt finns. Frågan är inte hur mycket bevis som finns, utan om det kan spåras: från skyldigheten till ägaren, till beviset, till kontrollen som visar att det har skett. Utan den spårbarheten förblir bevisen spridda, även om de på pappret är kompletta.

Detta gäller ännu starkare ju större och mer komplex en organisation är. Nationella tillämpningar av samma europeiska regel faller olika ut per land, med olika tidsfrister, olika myndigheter och olika förväntningar på vad som gäller som bevis. Vad som är tillräckligt i ett land är inte automatiskt det i ett annat. Det gör en central, spårbar struktur för bevis inte till en fråga om ordning och reda, utan till en förutsättning för att behålla överblick över vad som faktiskt har dokumenterats per land, per enhet och per skyldighet.

Vad detta leder till

Att dokumentera, underhålla och göra bevis sökbara är i sig en form av arbete: ordna dokument, skapa referenser, kontrollera om ett dossier är komplett innan en revisor frågar efter det. En del av det arbetet är repetitivt och följer ett fast mönster per skyldighet. Den som vill veta vilken del av det arbetet som kan tas över av AI och vilken del som fortfarande är beroende av mänskligt omdöme, kan få det beräknat med arbetsscanen från FTE TO AI, som per uppgift anger hur stort utrymme det finns för automatisering.