Blog door Sigurd Felix.

Wat is zelfstandig leesbaar?

Accountantskantoren hebben de afgelopen jaren een grote slag gemaakt naar digitalisering van hun dossiers. Als gevolg hiervan worden de traditionele metalen dossierkasten vaak alleen nog als room divider ingezet.

Ondanks dat steeds meer informatie digitaal wordt vastgelegd, is het nog steeds ingewikkeld om documenten op één plek op te slaan. Het samensteldossier staat in de oranje applicatie. De administratie in de rode en de aangifte in de blauwe. Dan wordt er nog met de klant gecommuniceerd via e-mail of heel hip in Teams.

Dit is niet werkbaar. Zo heb je geen volledig beeld van de klant, worden documenten dubbel opgeslagen, treden er versieverschillen op. Medewerkers moeten elkaar om documenten vragen. Soms staan die alleen in de mailbox van een klantmanager (of partner?).

Dan maar een DMS
Een logische oplossing voor de versnippering en duplicatie van documenten is een Document Beheer Systeem (DMS). Versies zijn inzichtelijk, rechten worden centraal beheerd, documenten kunnen met klanten worden uitgewisseld.

Maar een centraal DMS is makkelijker bedacht dan uitgevoerd. Legacy applicaties hebben vaak geen API om documenten uit te wisselen en bij SaaS applicaties ben je afhankelijk van de bereidheid van de leverancier.

Als de leverancier van de SaaS applicatie geen API beschikbaar stelt om de documenten alleen als verwijzing naar het DMS op te nemen of uit de applicatie te halen en te vervangen door een verwijzing, moet je alsnog documenten dubbel opslaan of ervoor kiezen het ene document in de applicatie en het andere in het DMS op te slaan.

Je kunt ervoor kiezen helemaal geen documenten in die applicaties op te slaan en op voorhand alles in een DMS te zetten maar dan rijst de vraag: heb je nog wel een zelfstandig leesbaar dossier?

Zelfstandig leesbaar dossier
In de discussie rond documentbeheersystemen wordt veel gesproken over het belang dat een dossier 'zelfstandig leesbaar' moet zijn. In 2015 heeft de accountantskamer een accountant voor drie maanden doorgehaald onder andere omdat hij verwees naar andere documenten buiten wat de toetsers als het samensteldossier beschouwden. Ook de 'Herziene standaard 4410' stelt in het voorwoord zelfstandig leesbaar te zijn, wat betekent dat deze standaard alle relevante regelgeving bevat voor de uitvoering van de opdracht en niet verwijst naar andere Standaarden in de NV COS. Daar is ook wel iets voor te zeggen. Het zou vreemd zijn wanneer een verwijzing in een dossier achteraf niet meer te raadplegen is of alleen door specifieke personen.

Wanneer je gebruik maakt van een werkprogramma applicatie, maar voor alle ondersteunende documenten verwijst naar een DMS, kun je dan nog spreken van een zelfstandig leesbaar dossier? Er zijn immers twee systemen en de gebruiker moet tot beide systemen toegang hebben om alle informatie te kunnen lezen.

Behalve dat er twee systemen zijn, is ook de vraag hoe je de integriteit van het dossier waarborgt. Hoe weet je zeker dat alle documenten die gebruikt zijn in het werkprogramma ook daadwerkelijk onderdeel zijn van het documentbeheersysteem en in dezelfde versie? Hoe weet je zeker dat alle documenten in het documentbeheersysteem onderdeel zijn van het dossier en geraakt zijn in de uitvoering van het werkprogramma?

Er zijn technische antwoorden mogelijk op die vragen maar kijkend naar de regelgeving vraag ik me af of al die technische complexiteit wel nodig is.

Regelgeving
Ik kan geen definitie van zelfstandig leesbaar dossier vinden in de NVKS maar in de NV COS (230) staat bij definities:

controledossier – Eén of meer mappen of andere fysieke of elektronische gegevensdragers die de vastleggingen bevatten die de controledocumentatie van een specifieke controleopdracht uitmaken; 

Na bijgekomen te zijn van het lachen over "één of meer mappen" stel ik vast dat de definitie van een dossier heel ruim is. Een controledossier bevat controledocumenten van een specifieke controleopdracht. Dit kan een papieren dossier zijn. Sterker nog, de voorschriften suggereren dat dit de meest toegepaste oplossing is.

Bij een papieren dossier heb je weinig zekerheid dat de gebruikte controle informatie in het dossier zit. Je kunt hooguit iedere verwijzing in het werkprogramma controleren in het papieren dossier. Andersom zou je kunnen vaststellen (maar dit is kan een heel tijdrovende klus worden wanneer de papieren stukken niet van een verwijzing naar het werkprogramma zijn voorzien) dat alle stukken in het papieren dossier gebruikt zijn in de uitvoering van het werkprogramma.

Zelfs wanneer je deze nauwe interpretatie van de definitie van controledossier aanhoudt (dat er een één-op-één relatie tussen documenten en werkzaamheden moet bestaan), biedt dit ruimte voor een losstaand documentbeheersysteem. Hierbij zouden dan wel de volgende voorwaarden moeten worden ingevuld:

• Alle controledocumentatie moet voorzien zijn van een metadata gegeven wat het aan de specifieke controleopdracht verbindt.
  
  
• Op basis van het metadata gegeven moet de controledocumentatie niet wijzigbaar gemaakt kunnen worden met het sluiten van het dossier.
  
  
• De toegangsrechten die zijn gedefinieerd voor het werkprogramma moeten ook van toepassing zijn op het documentbeheersysteem.
  
  
• Daarnaast zou op zijn minst in het werkprogramma een specifieke verwijzing opgenomen moeten zijn naar het document in het documentbeheersysteem, liefst een kruisverwijzing. Dit laatste om de nauwe interpretatie van COS 230 te volgen.

Bij uitbreiding zou dit ook gelden voor samenstel- en andere opdrachten.

Hierbij zou het ook mogelijk zijn een combinatie van locaties van documenten te gebruiken door bijvoorbeeld specifieke documenten bij het werkprogramma op te slaan en andere documenten die herbruikbaar zijn voor andere diensten zoals de aangiftepraktijk in een DMS.

Tot slot
Alles staat of valt bij de inrichting van procedures. Hoewel het goed mogelijk is een dossier over meerdere systemen te verspreiden, is het van belang dat iedereen op dezelfde wijze documenten opslaat en dezelfde procedure voor gedeelde documenten hanteert. Daarbij is het van belang dat bij de dossiersluiting alle systemen die informatie over het dossier bevatten worden gesloten. Dit vraagt best wat van een organisatie. Het meest eenvoudig zou zijn door middel van API's automatisch dossiers te sluiten, maar dat vraagt nog wel wat van een aantal veelgebruikte applicaties.

Ik ben benieuwd hoe anderen tegen het begrip "zelfstandig leesbaar dossier" aankijken en of ik misschien een voorschrift of toelichting gemist heb. Plaats dus vooral een commentaar (via LinkedIN)!

Deze blog is op persoonlijke titel.