Kun je aan de hand van de documenten die je hebt bewaard reconstrueren hoe een besluit binnen de organisatie is verlopen?
Een beleid geeft aan wat er zou moeten gebeuren. Een notulen van de raad van bestuur geven weer wat er is goedgekeurd. Governance-reconstructione stelt een moeilijkere vraag: kan de organisatie aantonen hoe informatie, risico’s, bevoegdheden en bewijsmateriaal zijn doorgegeven voordat het besluit werd genomen?
Beleid reconstruction laat zien welke regels er golden. Bestuur reconstruction laat zien hoe de daadwerkelijke besluitvorming binnen de organisatie verliep. Het legt verbanden tussen de signalen, de risico’s, de betrokken personen, de uitgeoefende bevoegdheid, het beschikbare bewijsmateriaal en het daaropvolgende besluit.
Zelfs een goed opgesteld bestuursdossier kan nog steeds worden afgewezen als daaruit niet blijkt hoe het besluit daadwerkelijk tot stand is gekomen.
Veel organisaties kunnen het beleid terugvinden. Ze kunnen de definitieve goedkeuring terugvinden. Ze kunnen de notulen van de vergadering terugvinden. Wat ze echter niet altijd kunnen aantonen, is het verloop tussen die documenten. Juist in dat verloop ligt de verantwoordingsplicht.
Accountants, toezichthouders, rechtbanken en raden van bestuur reconstrueren het bestuur niet op basis van intenties. Ze reconstrueren het op basis van wat bewaard is gebleven. Als uit de documentatie niet blijkt wat er bekend was, wat onzeker was, wie de bevoegdheid had en welk bewijsmateriaal ten grondslag lag aan het besluit, blijft de organisatie achter met het geven van uitleg achteraf.
Dat is het gevaar. De organisatie heeft misschien wel verantwoord gehandeld, maar uit de documentatie blijkt dat misschien niet. Een ontbrekende schakel tussen kennis en besluitvorming kan ervoor zorgen dat zorgvuldig bestuur eruitziet alsof het geïmproviseerd is.
Een governance-reconstructione verkleint die kloof. Het zorgt ervoor dat de beslissing gekoppeld blijft aan de omstandigheden waarin deze is genomen, voordat de herinnering vervaagt en voordat latere verklaringen het dossier gaan beïnvloeden.
Uit het verslag moet blijken welk probleem, welk risico, welke waarschuwing, welk incident of welk verzoek onder de aandacht van het bestuur is gebracht.
Uit het dossier moet blijken wat er op dat moment bekend was, wat onzeker bleef en welke gevolgen in overweging werden genomen.
Uit het dossier moet blijken wie bevoegd was om te beslissen, goed te keuren, door te verwijzen, uit te stellen of het risico te aanvaarden.
Het verslag moet de definitieve beslissing koppelen aan het bewijsmateriaal, de redenering en de verantwoordelijkheid waarop deze was gebaseerd.
Normen helpen bij het ordenen van feiten, bewijsmateriaal, reikwijdte, verplichtingen en beslissingen, zodat de organisatie over een duidelijker uitgangspunt beschikt voordat een kwestie wordt geëscaleerd of herzien.
Pro voegt beleidsdocumenten toe met betrekking tot de integriteit van bewijsmateriaal, verantwoordelijkheid voor besluitvorming, grenzen van toegangscontroles en corrigerende maatregelen.
Dossier Secure Enterprise wordt ontwikkeld als een ‘forensic governance’-infrastructuur. Het doel ervan is om gebeurtenissen, actoren, beleidsevaluaties, beslissingen, bewijsstukken, output, hashes en audit trail’s met elkaar te verbinden tot een reconstrueerbare bestuursketen.
Governance-reconstruction: het vermogen om aan de hand van bewaarde documenten na te gaan hoe een besluit binnen een organisatie tot stand is gekomen: wat er bekend was, wie erbij betrokken was, welke bevoegdheden er waren, welke risico’s in overweging zijn genomen en welk bewijsmateriaal ten grondslag lag aan het uiteindelijke besluit.
Onder ‘Beleid’ reconstruction wordt weergegeven welke regels of procedures er golden. Onder ‘Bestuur’ reconstruction wordt uitgelegd hoe daadwerkelijke beslissingen destijds werden genomen, rekening houdend met de betrokken personen, risico’s, bevoegdheden, bewijsmateriaal en goedkeuringen.
Wanneer de organisatie naar aanleiding van een audit, een incident, een verzoek van een toezichthouder, een rechtszaak, een conflict binnen de raad van bestuur of publieke kritiek moet aantonen hoe een besluit daadwerkelijk tot stand is gekomen.
De organisatie beschikt misschien nog wel over beleidsdocumenten en notulen, maar kan het verband tussen signaal, kennis, risico, bevoegdheid, besluit en bewijs niet aantonen. Die leemte maakt het dossier kwetsbaar.
Nr. Dossier Secure Enterprise wordt momenteel actief ontwikkeld en ontworpen als een ‘forensic governance’-infrastructuur. De versies Standard en Pro vormen de huidige basis voor gestructureerde dossiers.
Als je niet kunt aantonen hoe een besluit is ontstaan – van signaal via risico en bevoegdheid tot bewijs – dan is het dossier nog niet verdedigbaar.