Документ за политика описва какво иска организацията. Проверка описва какво действително се случва. Между тези две неща има пространство, и в това пространство живеят въпросите, които одитор, надзорен орган или нов ръководител задават първи. Не: имате ли политика? А: можете ли да покажете, че политиката е и практика?
Документ за политика може да е пълен, актуален и добре написан, а все пак да не казва нищо за случващото се на терен. Политиката е обещание. Практиката е онова, което е изпълнено. Разликата се крие във въпроса кой изпълнява политиката, как това се случва и какво от това е документирано. Без тези три елемента документ за политика е декларация за намерение, не доказателствен документ.
Това разграничение е точно върху какво е изграден регистър на задълженията. Не: кое правило се прилага, а: кой е собственик на спазването, какво доказателство за това съществува и коя контролна мярка показва, че процесът е повторим. Без собственик задължението остава само на хартия. Кой трябва да бъде собственик на задължение следователно не е административен въпрос, а въпросът, който прави разликата между политика и практика.
Доказателството не е самият документ за политика. Доказателството е следата, която изпълнението на тази политика оставя: одобрен формуляр, лог запис, имейл с решение, отчет, доставен на определена дата. Доказателство съществува само ако е записано в момента, в който се е случило, а не реконструирано впоследствие.
Тук се спъват много организации. Политиката съществува, намерението е искрено, но доказателството е фрагментирано или се появява само след като е поискано. Процес по осигуряване на увереност (assurance) разкрива тази разлика безпощадно. Какво точно изисква декларация за увереност от едно досие следователно е отделен въпрос: какво изисква декларация за увереност от вашето досие показва, че летвата е по-висока от колекция документи в папка.
ComplianceCheck прави видимо къде политиката и практиката се разминават. Тази видимост не е същото като решението. Методът показва кое задължение няма собственик, коя контролна мярка липсва и какво доказателство все още не съществува. Той не изпълнява контролната мярка и не пише политиката. Той предоставя структура, чрез която организацията сама може да установи къде практиката изостава от обещанието, и това е различно постижение от затварянето на тази пропаст.
Това не е и снимка на моментно състояние, която остава валидна. Задълженията се променят, собствениците сменят длъжности, и онова, което днес се смята за доказателство, утре може да е недостатъчно. Колко често всъщност се нуждае от актуализация регистър на задълженията е въпрос, който много организации подценяват: колко често се променя регистър на задълженията описва защо това не е еднократно упражнение.
Разликата между политика и практика нараства, колкото повече страни са включени в изпълнението, и това важи особено за организации с офиси в няколко държави. Европейско правило получава собствено тълкуване във всяка страна, и политиката, написана на ниво централно управление, не се съгласува автоматично с онова, което се поддържа локално. Практиката в един офис може силно да се различава от практиката в друг, докато документът за политика е идентичен и в двата случая.
Това прави поддържането на тези национални допълнения повтаряща се задача, а не еднократна проверка. Как да се направи това, без да се потъне в хаос от разпокъсани абонаменти и локални инструменти, е описано на как поддържате националните допълнения без джунгла от абонаменти.
Отчет описва състояние в определен момент. Разликата между политика и практика обаче се променя непрекъснато, и снимка на моментно състояние остарява веднага след първата промяна. Затова ComplianceCheck като метод цели нещо различно от отчет: става дума за живия регистър, в който собствеността, доказателството и контролната мярка са трайно свързани помежду си, вместо документ, който е датиран веднага след доставката.
Разходите от незнанието под каква рамка попада една организация обикновено стават видими едва в момента, когато надзорен орган, банка или голям клиент поиска доказуемост, а тя се окаже, че не съществува. Какво може да означава да останете без отговор в такъв момент е обяснено на какво струва да не знаете под каква рамка попадате.
Установяването на разликата между политика и практика естествено поражда следващ въпрос: кой в организацията всъщност има времето да събира това доказателство, да го поддържа и да го преразглежда, щом задължение се промени. Това е въпрос на капацитет, и той е отделен от въпроса дали организацията знае какво трябва да се случи. FTE TO AI работи именно от този следващ въпрос с работен анализ, който за всяка задача изчислява каква част от работата може да бъде поета от AI, така че да стане ясно къде хората разполагат с време за работата, която компютър не може да извърши: преценката, решението и отчитането.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.