Een control is een regel of check die moet borgen dat een datapunt klopt: een aansluiting tussen twee bronnen, een goedkeuring voordat een cijfer verder gaat, een check op een bandbreedte. Op papier staat de control beschreven in een procesdocument of een auditrapport. Maar een control die niemand uitvoert, is geen control. Het is een zin in een document.
In een groep met één entiteit is dat probleem meestal klein. Er is één financeafdeling, één controller, één persoon die weet wie waarnaar kijkt. In een groep met meerdere entiteiten verdwijnt die vanzelfsprekendheid. Elke entiteit heeft mogelijk een eigen boekhoudsysteem, een eigen lokale controller, een eigen manier om energieverbruik of personeelsgegevens vast te leggen. De control die op groepsniveau is bedacht, moet op elke entiteit apart worden uitgevoerd — of nergens.
Eigenaarschap van een control valt in twee stukken uit die niet altijd bij dezelfde persoon liggen. Er is degene die de control heeft ontworpen of goedgekeurd — vaak op groepsniveau, vanuit sustainability of finance. En er is degene die de control per entiteit daadwerkelijk uitvoert — vaak een lokale controller, een operationeel manager, iemand die de spreadsheet bijhoudt.
Als die twee rollen niet expliciet zijn toegewezen, gebeurt er iets voorspelbaars: de groep denkt dat de control bestaat omdat hij is ontworpen, terwijl op entiteitsniveau niemand zich verantwoordelijk voelt om hem uit te voeren. Dat is precies wat u doet als niemand eigenaar is in een groep met meerdere entiteiten beschrijft: de vraag is niet alleen wie de control zou moeten bezitten, maar wat er structureel misgaat als die vraag onbeantwoord blijft.
Een bruikbare manier om eigenaarschap toe te wijzen, begint niet bij de entiteit maar bij het datapunt. Voor elk datapunt dat in de rapportage terugkomt — CO2-uitstoot per vestiging, aantal FTE, waterverbruik — is er een keten: een definitie, een proces waarin het wordt vastgelegd, en een control die moet aantonen dat het klopt. Wie bezit de definitie van een datapunt bepaalt wat er precies gemeten wordt en volgens welke norm. Wie bezit het proces eronder bepaalt wie het datapunt vastlegt en aanlevert. En daarboven staat de vraag wie bezit de control: wie checkt of het resultaat van dat proces plausibel en correct is, en wie tekent daarvoor.
Bij een groep met meerdere entiteiten betekent dit dat elk van die drie rollen per entiteit kan verschillen, terwijl de definitie en de control zelf idealiter groepsbreed gelijk zijn. Een control die bij de ene entiteit een handmatige aansluiting is en bij de andere een geautomatiseerde check, levert data op die niet vergelijkbaar is — ook al heet het bij beide entiteiten "control op energieverbruik".
Een control is pas iets waard als hij weet wat een acceptabele uitkomst is en wat niet. Dat vraagt om twee dingen die vaak impliciet blijven. Ten eerste een antwoord op wat is een geldige waarde: een bandbreedte, een eenheid, een format waarbinnen een ingevoerd cijfer aanvaardbaar is. Zonder die norm kan een control alleen checken of er iets is ingevuld, niet of het klopt. Ten tweede een manier om af te wijken op te merken voordat ze in het eindrapport belanden — hoe stelt u een signaalafwijking in gaat over drempels die aangeven wanneer een cijfer een blik van een mens verdient, in plaats van dat elke control op elk datapunt evenveel aandacht krijgt.
Bij meerdere entiteiten loont het om deze twee elementen — geldige waarde en signaalafwijking — op groepsniveau vast te leggen en lokaal te laten uitvoeren. Dat voorkomt dat elke entiteit een eigen interpretatie van "normaal" hanteert.
De verleiding bij een groep met meerdere entiteiten is om een softwarepakket aan te schaffen dat automatisch aansluitingen maakt en afwijkingen signaleert. Dat pakket doet wat het moet doen zodra de onderliggende vraag beantwoord is: wie is waarvoor verantwoordelijk, per datapunt, per entiteit. Zonder dat antwoord organiseert een tool niets — hij voert control-logica uit op data waarvan niemand precies weet wie erover waakt.
Eigenaarschap van control is daarom niet een vraag die achteraf, bij implementatie, wordt beantwoord. Het is de eerste vraag, en de vraag die bepaalt of alles wat daarna komt op iets stevigs staat.
Zodra eigenaarschap van control per entiteit en per datapunt is vastgelegd, ontstaat er ook zicht op wat er in dat werk herhaalbaar is: het aansluiten van cijfers, het checken van bandbreedtes, het signaleren van afwijkingen. Een deel van die stappen is vast genoeg om aan een computer over te laten, een ander deel vraagt om een beoordeling die bij een mens moet blijven. De werkscan van FTE TO AI rekent per taak uit welk deel van dat werk over te nemen is door AI, zodat duidelijk wordt waar automatisering controle versterkt en waar ze eigenaarschap juist zou uithollen.
Vraag maar waar een datapunt vandaan komt. Dat is meestal de hele vraag.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.