Nästan varje ledning som säger sig ha blivit överraskad av en skyldighet, hade det underliggande europeiska direktivet redan någonstans på radarn. Det som saknades var inte kunskapen om att något var på gång, utan insynen i vad den nationella implementeringen gjorde av det. Ett direktiv omsätts olika i varje land: andra tröskelvärden, andra tidsfrister, andra tillsynsmyndigheter. Den som bara följer den europeiska texten ser konturerna men inte de vassa kanterna som skiljer sig per land.
Där ligger den röda tråden. Nationella tillägg underskattas strukturellt, eftersom uppmärksamheten går till den europeiska nivån och antagandet är att den nationella översättningen bara blir en formalitet. Det är översättningen ofta inte. Sättet på vilket ni håller koll på nationella tillägg utan att hamna i en djungel av prenumerationer avgör i praktiken om en skyldighet upptäcks i tid eller först blir synlig när den första frågan från en tillsynsmyndighet kommer in.
En andra förklaring till överraskningen ligger närmare hemmaplan. Det finns ofta ett policydokument, en avsikt, ett stycke i årsredovisningen. Det finns inte alltid en praktik som lever upp till det när det verkligen gäller. Det är värt att läsa vad skillnaden är mellan policy och praktik och varför just den skillnaden är där en kontroll fastnar. Policy beskriver en avsikt; en kontroll visar att den avsikten faktiskt sker, upprepat och med bevis.
Den skillnaden förklarar också varför en organisation ofta känner sig säkrare än den är. Det finns ett dokument, ett beslut har fattats vid något tillfälle, och därmed betraktas ämnet som avklarat. En skyldighet som har uppfyllts en gång och därefter inte följts upp, är i praktiken en skyldighet som inte är uppfylld i det ögonblick den efterfrågas.
En tredje anledning till överraskning är en otydlig ägare. En skyldighet som inte tillhör någon specifikt följs av alla lite och av ingen fullständigt. När det visar sig att en deadline har missats eller en rapportering inte var komplett, är frågan om vem som borde ha upptäckt detta redan lika obesvarad som frågan själv. Det är därför relevant att fastställa vem som bör vara ägare av en skyldighet innan den frågan blir akut, inte efteråt.
En ägare utan bevis är för övrigt lika sårbar som bevis utan ägare. Båda behövs, och båda måste stämma med vad en extern part faktiskt förväntar sig att se.
En sista faktor är rörelse. Register över skyldigheter är inga dokument man upprättar en gång och sedan lägger åt sidan. Lagstiftning förändras, nationella implementeringar justeras, tröskelvärden revideras. Hur ofta detta sker och vad det innebär för sättet ett register underhålls på, beskrivs på sidan om hur ofta ett register över skyldigheter förändras. Ett register som var korrekt för ett år sedan är inte automatiskt ett register som fortfarande är korrekt idag.
Det är mer trovärdigt för en ledning att veta vad en metod inte löser än att höra att allt är täckt. Detta arbetssätt fastställer vilka skyldigheter som gäller, vem som är ägare, vilket bevis som behövs och vilken kontroll som hör till. Det anger inte i förväg exakt vilken artikel, vilket tröskelvärde eller vilken tidsfrist som gäller; det beror på den exakta situationen och på den aktuella lagtexten, som finns hos källan själv, inte i en sammanfattning som kan vara föråldrad. Det garanterar heller inte godkännande av en tillsynsmyndighet eller revisor. Vad det däremot gör, är att leverera strukturen med vilken en styrelse kan visa att den har överblick och att den överblicken också underhålls.
Det är en annan typ av resultat än en rapport. En rapport beskriver en situation vid ett givet ögonblick; en struktur som kopplar ägarskap, bevis och kontroll till varandra förblir användbar när situationen förändras. Varför just den skillnaden räknas vid ett assurance-uppdrag beskrivs på sidan om vad ett assurance-uttalande kräver av era underlag, och varför en compliance-kontroll är något annat än en rapport som försvinner som ett fristående dokument i en låda.
När det är klart vilka skyldigheter som gäller, vem som är ägare och vilket bevis som behövs, följer en annan fråga naturligt: vem sköter underhållet som krävs för att hålla detta aktuellt, och hur stor del av det arbetet är repetitivt nog för att organiseras på ett annat sätt. Arbetsskanningen från FTE TO AI räknar per uppgift ut vilken andel av arbetet som kan tas över av AI, och är därmed ett logiskt nästa steg så snart registret över skyldigheter är på plats: inte för att ersätta kontrollen, utan för att fastställa vad som strukturellt krävs för att upprätthålla den kontrollen.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.