En koncern med flera enheter har sällan en plats där bevis på efterlevnad samlas. Ett dotterbolag håller policyer i ett lokalt kvalitetssystem, ett annat i en delad disk, ett tredje i huvudet på en medarbetare som under flera år har upprättat samma rapportering. Så länge ingen frågar efter det fungerar det. I det ögonblick en revisor, tillsynsmyndighet eller den egna styrelsen vill se vad en skyldighet består av och hur den efterlevs, visar det sig att beviset är splittrat, daterat eller endast muntligt överförbart.
Ett policydokument är inte bevis på efterlevnad. Det är en avsikt. Bevis är det som visar att avsikten också har genomförts: en undertecknad procedur, en loggbok över utförda kontroller, ett e-postmeddelande där en avvikelse har rapporterats och åtgärdats, en rapportering som stämmer med de underliggande uppgifterna. I en koncern med flera enheter är frågan inte bara vad som är bevis, utan även var det ska förvaras och vem som ansvarar för det. Utan det svaret avgör slumpen vem som kan hitta beviset, och det är ingen grund för en styrelse att förklara att organisationen har kontroll.
Bevis blir utspritt längs de linjer som en koncern själv är indelad efter: per enhet, per land, per funktion. Ett moderbolag kan fastställa en koncernövergripande policy, medan varje dotterbolag genomför och dokumenterar den på sitt eget sätt, eller inte dokumenterar den alls eftersom ingen lokalt vet att den är obligatorisk. Därtill kommer den nationella nivån. Samma europeiska skyldighet kan vara implementerad olika i olika länder, med egna tidsfrister, egna behöriga myndigheter eller egna kompletterande krav. Vad som i ett land räknas som tillräckligt bevis, gäller inte i ett annat. Den som bara ser på den koncernövergripande regeln missar att vilka nationella tillägg som gäller i Tyskland är en annan fråga än vilka nationella tillägg som gäller i Frankrike, och att beviset därför också måste byggas upp och bevaras olika per land.
Även funktionellt blir bevis utspritt. Juridiska avdelningen förvarar kontrakt, ekonomiavdelningen förvarar rapporter, HR förvarar utbildningsregister, och ingen av de tre har den fullständiga överblicken. Vid en fusion, ett förvärv eller en omorganisation blir problemet större: bevis som fanns hos en enhet flyttar inte automatiskt med när ansvaret förskjuts.
Frågan om vem som ska kunna hitta bevis hänger samman med frågan om vem som äger en skyldighet. I en koncern med flera enheter är den ägaren inte automatiskt den person som står närmast ämnet; det kan vara moderbolaget, en lokal direktör, eller en funktion som är utsedd koncernövergripande. Utan ett fastställt svar på vem som äger en skyldighet i en koncern med flera enheter uppstår en situation där alla utgår från att någon annan förvaltar beviset, till den stund det efterfrågas och ingen kan uppvisa det.
En revisor som begär bevis tar ingen hänsyn till koncernens interna organisationsstruktur. Denne frågar efter beviset kopplat till skyldigheten, inte till avdelningen där det råkar vara lagrat. Det innebär att sättet beviset förvaras på måste vara oberoende av var det råkade uppstå. Hur det fungerar i praktiken, och vilka val som hör till detta, beskrivs i hur ni förvarar bevis så att en revisor hittar det i en koncern med flera enheter.
En andra form av splittring uppstår när policy och praktik glider ifrån varandra utan att någon märker det. Ett koncernövergripande policydokument kan tillämpas fullt ut i en enhet och bara existera på papper i en annan. Den skillnaden syns först när det finns ett systematiskt sätt att fastställa att det som avtalats också har genomförts. Att visa detta är ett separat steg, skilt från att fastställa policyn i sig, och beskrivs i hur ni visar att policy också är praktik i en koncern med flera enheter.
För att förhindra att varje enhet utvecklar sin egen version av bevis och ansvar arbetar man ofta med en översikt där skyldigheter, ägare och bevis samlas. Den översikten kallas i praktiken en control matrix, och dess uppbyggnad avgör om en koncern senare kan visa vad som har gjorts eller bara kan berätta vad som var avsett. Utgångspunkterna för en sådan matris, och varför den får en annan form i en koncern med flera enheter än i ett enskilt företag, beskrivs på vad en control matrix är i en koncern med flera enheter.
Compliance Check samlar dessa delar: vilka skyldigheter som gäller, vem som äger dem, vad som räknas som bevis och vilken kontroll som hör till. Inte som ersättning för regelverket självt, utan som det lager som gör synligt om en styrelse kan visa att den har kontroll, även när bevis är utspritt över flera enheter och länder.
Att samla in utspritt bevis är till stor del igenkännbart, upprepningsbart arbete: kontrollera var ett dokument finns, kontrollera om det är aktuellt, koppla det till rätt skyldighet och ägare. Det är precis den typen av uppgift som FTE TO AI:s arbetsscan beräknar hur stor del av som kan tas över av AI, så att det blir tydligt hur mycket av insamlingen och ordningen av bevis som förblir manuellt arbete och hur mycket som kan levereras automatiserat.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.