Wat een compliance-rapport moet doen
Een compliance-rapport heeft precies twee doelgroepen, en zij willen verschillende dingen.
Je managementteam wil weten of het programma op schema ligt en waar de risico's zitten. Kort, vergelijkend en eerlijk over wat er achterblijft. Je auditor wil zien dat een controle is uitgevoerd, op welke data, met bewijslast erbij. Geen samenvatting daarvan.
De meeste rapportageproblemen ontstaan doordat men probeert beide groepen met één document te bedienen. Een presentatie voor de directie vol auditdetails wordt vluchtig bekeken. Een auditdossier dat uit directiepresentaties bestaat, wordt afgewezen.
Waarom het dashboard niet het rapport is
Compliance-tools beantwoorden rapportagevragen vaak met een percentage en een cirkeldiagram. Dat is oprecht nuttig voor degene die het programma dagelijks beheert, maar het is geen rapport.
Een auditor kan geen screenshot van een voltooiingspercentage accepteren. De vraag is altijd specifieker: laat me deze controle zien, laat zien dat deze in maart is uitgevoerd, laat zien wie hem heeft beoordeeld. Dat betekent dossiers met data en verantwoordelijken, geen geaggregeerde cijfers.
En een directie heeft ook niets aan die geaggregeerde cijfers. Zij moeten weten wat er sinds de vorige keer is veranderd, wat het risico loopt om een deadline te missen en welke beslissing er van hen wordt gevraagd. Een 94% die het vorige kwartaal 93% was, vertelt hen niets waar ze op kunnen acteren.
De eerlijke versie bestaat dus uit drie outputs op basis van één set gegevens: een vaste managementsamenvatting, een bewijsdossier per raamwerk en een uitzonderingenlijst. Die laatste is de enige die iedereen aandachtig leest.
De cadans die een klein team kan volhouden
Rapportage faalt veel vaker door de frequentie dan door de vorm. Een maandelijks directierapport waar niemand tijd voor heeft om te schrijven, wordt een kwartaalrapport dat de avond van tevoren in elkaar wordt geflanst.
Voor een team van één of twee personen die compliance naast hun andere werkzaamheden doen, werkt dit: uitzonderingen maandelijks beoordelen, wat vijftien minuten duurt omdat het een lijst is van wat de deadline heeft overschreden. Een managementsamenvatting per kwartaal, afgestemd op een bestaande vergadering in plaats van een nieuwe. Het bewijsdossier continu bijhouden, omdat het een bijproduct is van het werk zelf in plaats van een document dat je achteraf samenstelt.
Eén regel maakt het verschil. Wie verantwoordelijk is voor een controle, is ook verantwoordelijk voor het bewijsmateriaal op het moment dat dit wordt gegenereerd. Bewijsmateriaal dat achteraf, vlak voor een audit, wordt verzameld, zorgt voor overuren en is de reden dat hiaten pas worden ontdekt wanneer het te laat is om ze nog te herstellen.
Wijs een eigenaar aan voor het rapport zelf, niet alleen voor de controles. Rapporten zonder eigenaar? Dat zijn de rapporten die stilletjes in het slop raken.
Rapporteren vanuit de bron van het bewijsmateriaal
De reden dat rapporteren vaak uitmondt in een heel project, is meestal dat het bewijsmateriaal zich ergens anders bevindt dan in het rapport zelf.
ISOPlanner™ draait binnen Microsoft 365, waardoor controles, risico's, leveranciers en bewijsmateriaal zich bevinden in de tenant waar uw team al op inlogt. Het managementoverzicht en de uitzonderingenlijst worden rechtstreeks uit diezelfde gegevens gehaald in plaats van uit een kopie die constant moet worden bijgewerkt. Bovendien verschijnen ze in Teams direct naast het werk, in plaats van achter een aparte inlogpagina.
Dit elimineert de stap waarbij iemand gegevens moet exporteren, plakken en reconciliëren. Het voorkomt ook de fouten die door deze handmatige stap ontstaan: een rapport dat klopte op de dag dat het werd samengesteld, maar daarna al snel verouderd is.
De test is simpel. Als het opstellen van uw kwartaalrapport meer dan een uur duurt, bent u niet aan het rapporteren, maar aan het herbouwen. Pak de bron van het bewijsmateriaal aan en het rapport is geen extra werk meer.
