En förpliktelse som existerar på papper men saknar ägare, existerar inte för en revisor. Det är kärnan i det många organisationer fastnar på. Det har identifierats en rapporteringsskyldighet, det har skrivits policy, men frågan om vem som dagligen ser till att policyn efterlevs och vem som kan visa att detta sker, förblir obesvarad. Utan ett namn kopplat till en förpliktelse finns ingen kontroll, och utan kontroll finns ingen påvisbar efterlevnad.
Ägarskap av en förpliktelse är mer än ett namn i ett organisationsschema. Det innebär att en person eller en funktion är ansvarig för tre saker: att förpliktelsen genomförs, att bevis på detta dokumenteras, och att detta bevis går att hitta i det ögonblick någon frågar efter det. En ägare som bara vet att en uppgift hör till honom, men inte kan visa vad som har dokumenterats om den, är i praktiken ingen ägare utan ett namn på en lista.
Denna skillnad är precis där många interna kontrollsystem brister. Policy fastställs på styrelsenivå, genomförande sker på avdelningsnivå, och kopplingen mellan dessa görs sällan explicit. Hur den kopplingen kan göras, och varför policy och praktik glider isär utan den kopplingen, beskrivs i hur ni visar att policy också är praktik.
I en enskild organisation går det oftast fortfarande att hitta ägaren av en förpliktelse: det finns en juridisk enhet, en styrelse, en uppsättning böcker. I en koncern med flera enheter förändras detta. En förpliktelse som gäller på koncernnivå måste genomföras någonstans i organisationen, och det kan vara på koncernnivå, på nivån för ett dotterbolag, eller spridas över flera enheter som var och en levererar en del av informationen.
Frågan om vem som är ägare blir då en fråga om struktur: vilken enhet konsoliderar uppgifterna, vilken enhet levererar den underliggande datan, och vem är ansvarig om en av dessa länkar saknas. Denna fråga uppstår så ofta och så specifikt i koncernstrukturer att det finns en separat genomgång av den: vem som är ägare av en förpliktelse i en koncern med flera enheter går igenom hur detta ansvar fördelas och var fördelningen går fel.
Ägarskap och bevis hör ihop, men i praktiken glider de isär. En ägare utses utifrån ett organisationsschema, medan beviset på genomförande dokumenteras någon annanstans: i ett e-postmeddelande, ett kalkylblad på en lokal hårddisk, ett system som bara används av ett dotterbolag. Den som ska avlägga rapport på koncernnivå måste då först ta reda på var beviset finns innan han kan visa att förpliktelsen har uppfyllts.
Detta problem är inte tillfälligt, det är strukturellt i varje organisation som består av flera delar. Precis här går var bevis blir utspritt i en koncern med flera enheter vidare: vilka platser i en organisation låter bevis uppstå utan att någon samlar in det centralt, och varför det bara uppmärksammas i det ögonblick en revisor frågar efter det.
Inte alla dokument som lämnas in räknas som bevis för en revisor. Ett policydokument visar att det finns en avsikt, inte att avsikten har genomförts. Protokoll från ett styrelsemöte visar att ett ämne har diskuterats, inte att ett beslut har följts upp. Bevis måste ha en direkt koppling till förpliktelsen det ska styrka: vem gjorde vad, när, och hur dokumenterades det.
I en koncern med flera enheter blir denna fråga mer komplex, eftersom bevis kan uppstå på olika nivåer och inte alla nivåer har samma bevisvärde. Vad som specifikt räknas som bevis i den situationen, och varför bevis från en enhet inte utan vidare är bevis för koncernens förpliktelse, beskrivs i vad som räknas som bevis för en förpliktelse i en koncern med flera enheter.
En lista med ägare är en utgångspunkt, inte ett system. För att på ett påvisbart sätt ha kontroll måste varje förpliktelse kopplas till en ägare, till det bevis den ägaren levererar, och till en kontroll som fastställer om det beviset är fullständigt och aktuellt. Denna koppling dokumenteras ofta i en control matrix, en översikt som per förpliktelse visar vem som är ansvarig och hur detta kontrolleras. Vad en control matrix egentligen innebär och varför en lista med ägare utan den matrisen inte håller vid en revision, behandlas i vad en control matrix är.
Lika viktig är frågan om var beviset förvaras, och om en revisor kan hitta det utan hjälp från organisationen. Ett system som är beroende av en enskild medarbetares kunskap är inget system utan en risk. Hur bevis förvaras så att det går att hitta, även när en koncern består av flera enheter, beskrivs i hur ni förvarar bevis så att en revisor hittar det i en koncern med flera enheter.
Att tilldela ägarskap och organisera bevisföring är arbete: att upprätta översikter, samla in dokumentation, hålla reda på vem som har lämnat in vad. En del av detta arbete är repetitivt och följer ett fast mönster, vilket gör det lämpligt för stöd av AI. Arbetsscanen från FTE TO AI räknar per uppgift ut vilken del av det arbetet som kan tas över, så att det blir synligt var människor fortsatt behövs för bedömning och var system kan ta över insamling och ordning av bevis.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.