Představenstvo může schválit dokument s politikou a přitom nevědět, zda se tato politika i skutečně uplatňuje. To není výjimka, je to běžný stav v organizaci, kde se politika píše centrálně a provádí decentralizovaně. Otázka, kterou pokládá auditor, nezní „máte politiku“, ale „můžete prokázat, že tato politika funguje“. To je jiný druh otázky a vyžaduje jiný druh odpovědi.
Politika je záměr. Popisuje, co chce organizace dělat: jak zachází s dodavateli, s daty, s riziky. Fungování je to, co se skutečně děje na pracovišti, v systému, v rozhodnutí, které bylo přijato minulý měsíc. Mezi těmito dvěma věcmi může existovat rozdíl, který si nikdo nevšiml, jednoduše proto, že nikdo systematicky nezkontroloval, zda se politika také provádí tak, jak bylo zamýšleno.
Prokazatelnost tento rozdíl překlenuje. Není to samotná politika, ale stopa, která dokazuje, že politika byla uplatněna: rozhodnutí, schválení, odchylka, která byla zaznamenána a řešena. Bez této stopy je politika prohlášením záměru, nikoli provedení.
Ne každý dokument, který se týká daného tématu, je důkazem, že povinnost byla dodržena. Popis procesu ukazuje, jak by něco mělo fungovat, ne že to tak skutečně fungovalo. Důkaz, který obstojí, je zpravidla konkrétnější: schválení s datem a jménem, systémový log, zpráva o odchylce s uvedeným následným krokem. Co se počítá jako důkaz u povinnosti, rozpracováno pro skupinu s více entitami ukazuje, jaká úroveň detailu je nutná, aby byla povinnost prokazatelná, a jaká úroveň je nedostatečná.
Toto rozlišení je důležitější, než se zdá. Organizace, která se spokojí s dokumenty o politice a přehledy školení, má obvykle více papíru než důkazů. Otázka nezní, kolik dokumentace existuje, ale zda tato dokumentace dokazuje, že konkrétní úkon byl v konkrétním okamžiku provedený konkrétní osobou.
V jednotlivé entitě s přehlednou organizací lze důkaz obvykle najít na omezeném počtu míst. Ve skupině s více entitami, zeměmi nebo odděleními vzniká jiný obraz. Politika se stanovuje centrálně, ale provádění probíhá v dceřiných společnostech, které mají vlastní systémy, vlastní odpovědné osoby a vlastní způsoby zaznamenávání. Důkaz, že politika funguje, tak vzniká na desítkách míst současně, aniž by existoval centrální přehled o tom, kde se tento důkaz přesně nachází.
Kde se důkaz rozptyluje u skupiny s více entitami popisuje, jak tato fragmentace vzniká a proč se často odhalí až ve chvíli, kdy někdo důkaz skutečně potřebuje. Tímto okamžikem je zpravidla audit, due diligence nebo dotaz dohledového orgánu, a je to přesně ten okamžik, kdy jsou spěch a nejistota nejškodlivější.
Důkaz, který existuje, ale není dohledatelný, v praxi nefunguje jako důkaz. Auditor, který musí tři týdny čekat na odpověď, která už jinde existovala, z toho vyvodí závěr o kvalitě vnitřní kontroly, bez ohledu na to, zda byla podkladová politika obsahově v pořádku. Prokazatelnost tedy nevyžaduje jen důkaz, ale strukturu, ve které se tento důkaz v přiměřené době objeví.
Jak uchovávat důkaz, aby ho auditor našel, rozpracováno pro skupinu s více entitami se zaměřuje na tuto dohledatelnost: kde se důkaz zaznamenává, kdo k němu má přístup a jak se předchází tomu, aby se odpověď na jednoduchou otázku stala týdny trvajícím pátráním. K tomu patří i jasné přiřazení vlastnictví: kdo je vlastníkem povinnosti u skupiny s více entitami totiž určuje nejen, kdo je odpovědný za provedení, ale i kdo může být osloven ve chvíli, kdy je důkaz vyžádán.
Aby se politika a praxe spojily, musí být u každé povinnosti jasné, kdo je vlastníkem, co se počítá jako důkaz a jaká kontrola dokazuje, že je důkaz pravidelně prověřován. Tyto tři prvky společně tvoří matici kontrol: přehled, který propojuje povinnost, vlastníka a důkaz, takže představenstvo nemusí u každé otázky znovu rekonstruovat, kdo za co odpovídal. Stejná struktura, konkrétně rozpracovaná pro složitost skupinové struktury, je popsána v jak prokázat, že politika je také praxí u skupiny s více entitami.
Compliance Check společnosti csrdcompliance.net se právě vyvíjí. Cílem je přehled, ve kterém je u každé povinnosti zaznamenán vlastník, důkaz a příslušná kontrola, aby představenstvo mohlo prokázat, že má věc pod kontrolou, místo aby to musilo pouze tvrdit. Kdo to chce využít, jakmile bude k dispozici, se může přihlásit na čekací listinu.
Zmapování vlastnictví a důkazů je jedna stránka věci, provádění všech těchto kontrol a zaznamenávání je stránka druhá. Kdo si klade otázku, kolik z této výkonné práce musí skutečně zůstat lidskou prací, může se obrátit na pracovní sken FTE TO AI: ten u každé úlohy vypočítá, jakou část práce lze převést na AI a jaká část vyžaduje posouzení, které zůstává na člověku.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.