Задължение, което съществува само на хартия, все още не е задължение, което е изпълнено. Между „имаме политика“ и „можем да покажем, че сме в контрол“ се намира едно ниво, което често се пропуска: доказателството. И не всеки документ, който се намира някъде, се счита за доказателство.
Документ за политика описва намерение. Той посочва какво организацията иска да прави, не какво реално се е случило. Одитор или надзорен орган не пита за политиката, а за резултата от нея: дали оценката на риска действително е направена, дали одобрението е документирано, дали отклонението е докладвано в момента, в който е възникнало. Как тази стъпка от политика към практика се прави доказуема, зависи от вида на задължението и начина, по който е изграден процесът; как показвате, че политиката е и практика разглежда точно тази разлика.
Доказателство е следа, която документира действие, решение или проверка в момента, в който то се е случило, с дата, име и резултат. Имейл, в който е докладван риск. Ред от протокол, в който управителният орган е направил преценка. Лог-файл, който показва, че проверка действително е извършена, а не само че е била планирана. Подписана декларация от доставчик. Общата характеристика: впоследствие може да се реконструира кой какво и кога е направил, без да е необходимо някой да го преразказва отново.
Дали нещо се счита за доказателство, зависи в голяма степен от задължението, за което се отнася. Задължение за докладване изисква друг вид следа от задължение за грижа, а задължение за грижа изисква нещо различно от задължение за уведомяване. Не съществува фиксиран списък, който дава един и същ отговор за всяко задължение; какво се счита, следва от самата природа на задължението и от онова, което надзорният орган е установил по този въпрос.
В практиката доказателството рядко се създава на едно място. Оценка на риска се намира в таблица при първата линия. Одобрението се намира в имейлова кореспонденция с ръководител. Крайната проверка се намира в система на трета страна. Когато трябва да се докаже задължение, някой трябва отново да намери и събере тези три следи — и това не винаги се получава. Колкото по-голяма става организацията, колкото повече отдели има или колкото повече работи с външни страни, толкова по-голяма е вероятността доказателство да се намира на място, което вече никой не познава. къде доказателството се разпръсва описва моделите, които се срещат най-често при това: предаване между отдели, смяна на системи и процеси, поверени на външна страна.
Доказателство, което не може да бъде намерено от никой друг освен създателя му, не функционира като доказателство. Одитор, нов служител по съответствие или надзорен орган трябва да могат да следват дадена следа, без първоначалният съставител да седи до тях, за да я обясни. Това поставя изисквания към мястото, където се съхранява доказателството, и начина, по който то е обозначено: свързано със задължението, за което се отнася, с дата и отговорно лице, на място, което не зависи от един-единствен човек, който случайно все още работи там. как да съхранявате доказателство така, че одитор да го намери разглежда точно това устройство.
Всяко доказателство принадлежи на определено задължение, а всяко задължение принадлежи на някой, който може да обясни защо доказателството е достатъчно. Без тази връзка се получава архив от документи, за които вече никой не знае какво задължение трябвало да доказват или кой е бил отговорен за качеството им. кой е собственик на задължение описва защо това разпределение не е формалност, а звеното, което прави доказателството използваемо в момента, в който бъде поискано.
Четирите елемента — задължение, собственик, доказателство, контрол — трябва да се намират заедно в един общ преглед, а не разпръснати между отдели и системи. Този преглед има име: матрица на контролите (control matrix). Какво точно съдържа тази матрица и как се изгражда, е описано на какво е матрица на контролите. При група с множество юридически лица или клонове в различни държави този въпрос става по-сложен, защото доказателство на едно ниво не е автоматично валидно на друго; какво се счита за доказателство при задължение в група с множество юридически лица разглежда конкретно тази ситуация.
Тази страница описва какво е доказателство и къде най-често се случват грешки, а не кое доказателство е достатъчно конкретно за вашата организация. Това зависи от задължението, сектора и държавата, в която е установено юридическото лице — и от начина, по който националните законодатели са приложили конкретна европейска норма. csrdcompliance.net посочва тази разлика, но не замества правен съвет и не дава гаранция за резултата при надзорен орган.
Картографирането и подреждането на доказателството изисква работа: събиране на следи, свързване със задължение, обозначаване така, че друг да може да ги намери отново. Част от тази работа е повтаряема и следва фиксиран модел, което я прави подходяща за (частична) автоматизация. Работният анализ (werkscan) на FTE TO AI изчислява за всяка задача каква част от тази работа може да бъде поета от изкуствен интелект, така че да стане ясно къде хората остават необходими за оценка и къде събирането и подреждането на доказателства може да бъде подпомогнато. Compliance Check на csrdcompliance.net в момента се изготвя; желаещите да получат съобщение за това могат да се запишат в списъка на изчакващите.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.