Управителен орган може да одобри документ с политика и същевременно да не знае дали тази политика действително се прилага. Това не е изключение, а нормалното състояние на нещата в организация, където политиката се пише централно, а се изпълнява децентрализирано. Въпросът, който задава одиторът, не е "имате ли политика", а "можете ли да покажете, че тази политика работи". Това е въпрос от друг вид и изисква друг вид отговор.
Политиката е намерение. Тя описва какво организацията иска да прави: как се отнася към доставчици, към данни, към рискове. Действието е това, което реално се случва на работното място, в система, в решение, взето миналия месец. Между тези две неща може да съществува разлика, която никой не е забелязал, просто защото никой не е проверил системно дали политиката се изпълнява така, както е замислена.
Доказуемостта преодолява тази разлика. Тя не е самата политика, а следата, която показва, че политиката е приложена: решение, одобрение, отклонение, което е било установено и последвано от действие. Без тази следа политиката е декларация за намерение, не за изпълнение.
Не всеки документ, който засяга дадена тема, е доказателство, че задължението е спазено. Описание на процес показва как нещо би трябвало да работи, не че то е работило именно така. Доказателството, което издържа, обикновено е по-конкретно: одобрение с дата и име, системен лог, отчет за отклонение с предприетата следваща стъпка. Какво се брои за доказателство при задължение, разработено за група с множество дружества показва какво ниво на детайлност е необходимо, за да се докаже изпълнението на задължение, и кое ниво е недостатъчно.
Това разграничение е по-важно, отколкото изглежда. Организация, която се задоволява с документи за политика и обзорни справки за обучения, обикновено има повече хартия, отколкото доказателство. Въпросът не е колко документация има, а дали тази документация доказва, че конкретно действие в конкретен момент е извършено от конкретен човек.
В едно дружество с ясна организация доказателството обикновено се намира на ограничен брой места. В група с множество дружества, държави или отдели картината е различна. Политиката се определя централно, но изпълнението се извършва в дъщерни дружества, които имат собствени системи, собствени отговорни лица и собствени начини на документиране. Доказателството, че политиката работи, се появява следователно на десетки места едновременно, без да съществува централен преглед за това къде точно се намира то.
Къде се разпръсква доказателството при група с множество дружества описва как възниква тази разпокъсаност и защо тя често се проявява едва в момента, когато някой действително има нужда от доказателството. Този момент обикновено е одит, задълбочена проверка (due diligence) или запитване от надзорен орган, и точно това е моментът, в който бързането и несигурността са най-вредни.
Доказателство, което съществува, но не може да бъде намерено, на практика не функционира като доказателство. Одитор, който трябва да чака три седмици за отговор, който всъщност вече е бил наличен на друго място, си прави заключение за качеството на вътрешния контрол, независимо от въпроса дали самата политика по същество е била в ред. Доказуемостта изисква следователно не само доказателство, но и структура, в която това доказателство изплува на повърхността в разумен срок.
Как пазите доказателства така, че одиторът да ги намери, разработено за група с множество дружества разглежда именно тази намираемост: къде се записва доказателството, кой има достъп до него и как се предотвратява това отговорът на прост въпрос да се превърне в седмици на търсене. Към това принадлежи и ясно разпределение на собствеността: кой е собственик на задължение при група с множество дружества определя не само кой носи отговорност за изпълнението, но и кой може да бъде питан в момента, когато се изисква доказателството.
За да се съберат политиката и практиката, за всяко задължение трябва да е ясно кой е собственикът, какво се брои за доказателство и какъв контрол показва, че доказателството се проверява периодично. Тези три елемента заедно образуват контролна матрица: преглед, който свързва задължение, собственик и доказателство, така че управителният орган да не трябва да реконструира при всеки въпрос кой е бил отговорен за какво. Същата структура, разработена конкретно за сложността на групова структура, е описана в как доказвате, че политиката е и практика при група с множество дружества.
Complinace Check на csrdcompliance.net се разработва в момента. Целта е преглед, в който за всяко задължение са записани собственикът, доказателството и съответният контрол, така че управителен орган да може да докаже, че има контрол над положението, вместо просто да го твърди. Който желае да го използва веднага след като стане достъпен, може да се запише в списъка на чакащите.
Картографирането на собствеността и доказателството е една страна на въпроса, изпълнението на всички тези проверки и записвания е другата. Който се чуди колко от тази изпълнителска работа наистина трябва да остане човешка работа, може да разгледа работния скенер на FTE TO AI: той изчислява за всяка задача каква част от работата може да бъде поета от AI и каква част изисква преценка, която остава задача на човек.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.