Veldnotities uit de controlekamer · Concept

De bewijsmap die heel grondig was

Een samengesteld verhaal uit een middelgrote organisatie.

Vóór de audit bouwde een team een map met de naam Bewijs. Het was een genot. Schermafbeeldingen, exports en documenten, in één consistente stijl benoemd, gedateerd, ingedeeld in submappen die overeenkwamen met de beheersmaatregelen. Iemand had zelfs een inhoudsopgave toegevoegd. Het was het soort map waar iemand een spreadsheet van wil knuffelen.

De auditor opende hem, scrolde een tijdje met zichtbaar respect en stelde een heel kleine vraag: „Uit welk systeem komt deze schermafbeelding?”

De ommekeer

De antwoorden kwamen een voor een. Deze was uit een testomgeving, want productie was moeilijker te bereiken. Deze was de week voor de audit gemaakt, voor een instelling waarvan werd gezegd dat ze het hele jaar hetzelfde was geweest. Deze toonde een andere beheersmaatregel dan die in de bestandsnaam. Deze twee waren foto's van een document dat een beheersmaatregel beschreef, in plaats van van de beheersmaatregel die iets deed.

Daarna vroeg de auditor om één steekproef die op dat moment live uit het systeem van registratie werd gehaald, terwijl iedereen toekeek. De zaal ontdekte, samen en heel hartelijk, dat niemand wist hoe dat op verzoek moest.

De les

De map bewees toewijding. Hij bewees geen beheersing. Een schermafbeelding is een bewering over bewijs: ze zegt „dit toonde het systeem, één keer, aan iemand met een camera”. Bewijs is wat het systeem zelf vastlegt, en het kan opnieuw worden voortgebracht wanneer erom wordt gevraagd, met bron en tijdstip erbij.

Het team veranderde de vorm van het werk. De controles lopen nu volgens een schema en schrijven hun resultaten rechtstreeks vanuit het systeem van registratie: wat is gecontroleerd, waar het vandaan kwam, wanneer het liep en wat eruit kwam. Een persoon toetst af en toe enkele ervan aan de werkelijkheid, en een resultaat dat niet te reproduceren is, telt niet mee. De map kromp. Het volgende auditgesprek was korter en merkbaar vriendelijker.

Bewijs dat niet uit de bron te reproduceren is, is een bewering, geen bewijs.