Auditor, který kontroluje prokazatelnost, si klade jednoduchou otázku: kde je uveden důkaz, že tato povinnost byla splněna, a kdo to může ukázat. U jedné entity je to často ještě přehledné. U skupiny s více pobočkami, dceřinými společnostmi nebo národními organizacemi se důkaz rozptyluje mezi systémy, složky a lidi, kteří se navzájem neznají. To není nutně známka špatné politiky. Často je to jen známka toho, že nikdo nestanovil, kde má důkaz být uložen, a kdo je odpovědný za to, že tam i zůstane.
Důkaz není samotný dokument politiky. Auditor se ptá, co prokazuje, že politika byla také uplatněna: rozhodnutí, schválení, zpráva, log odchylek, e-mail, ve kterém odpovědná osoba něco stanovila. Co přesně se počítá, se liší podle povinnosti a podle okamžiku v procesu. Na co se počítá jako důkaz u povinnosti je rozepsáno, které formy důkazu patří k jakému typu povinnosti, a proč prohlášení o záměru bez uplatnění obvykle nestačí.
U skupiny s více entitami vzniká rozptýlení na několika předvídatelných místech. Každá entita může vést vlastní administrativu, ve vlastním systému, s vlastním pojmenováním dokumentů. Místní ředitel mohl učinit rozhodnutí, které nebylo nikde centrálně zaznamenáno. Matka může předpokládat, že dceřiná společnost něco zajistila, aniž by se na to kdy zeptala. A národní pobočka může spadat pod doplňující předpisy, které skupina jako celek nezná, takže se pro ně důkaz vůbec neshromažďuje. Co je povinné v jedné zemi, nemusí být povinné jinde, a naopak: příklady toho jsou na jaké národní doplňky platí v Německu a jaké národní doplňky platí ve Francii. Kdo se dívá jen na evropské pravidlo, přehlédne část, která byla doplněna místně, a tedy i důkaz, který k ní patří.
Důkaz, který nikomu není přidělen, se obvykle neudržuje, nebo se ztratí, jakmile někdo změní funkci. Dohledatelnost tedy nezačíná u archivačního systému, ale u otázky, kdo je vlastníkem každé povinnosti: kdo zajišťuje, že důkaz vznikne, kdo ho uchovává, a kdo ho může předložit, když je o to požádán. U skupiny s více entitami to zřídka bývá jedna funkce pro celou organizaci. Jak toto rozdělení může vypadat, a proč jeden koordinátor na úrovni skupiny obvykle nestačí, je uvedeno na kdo je vlastníkem povinnosti u skupiny s více entitami.
Auditor, který hledá důkaz, se nedívá jen na to, zda je povinnost zapsána v politice, ale zda se tato politika také dodržovala. Skupina může mít vynikající dokument politiky o hodnocení dodavatelů, zatímco v praxi tuto politiku uplatnila jen část entit. Rozdíl mezi těmito dvěma vrstvami, a jak tento rozdíl zviditelnit místo skrývání, je rozepsáno na jak prokážete, že politika je i praxí u skupiny s více entitami. Důkaz, který se skládá pouze z textů politiky, je pro auditora nedostatečný, bez ohledu na to, jak pečlivě byla politika napsána.
Aby byl důkaz dohledatelný napříč více entitami, pomáhá u každé povinnosti zaznamenat: kdo je vlastníkem, jaký důkaz se očekává, a jaká kontrola (control) prokazuje, že proces je opakovatelný a nezávisí na jedné osobě. Tyto tři prvky společně tvoří přehled, který si může vedení prohlédnout, aniž by nejprve musela u každé entity pátrat. Co taková matice obsahuje, a jak se může lišit podle entity, aniž by se ztratila souvislost, je uvedeno na co je control matice u skupiny s více entitami.
Compliance Check mapuje, jaké povinnosti pro skupinu platí, kdo je jejich vlastníkem, jaký důkaz k nim patří a jaká kontrola prokazuje, že proces funguje. To není náhrada auditu, ani záruka, že auditor bude s předloženým spokojen. Je to struktura, díky které vedení ví, kde by měl důkaz být, ještě před tím, než se na něj někdo zeptá.
Nástroj se právě vyvíjí. Kdo ho chce využít, jakmile bude k dispozici, se může přihlásit na čekací listinu.
Zaznamenávání a udržování důkazu je samo o sobě také práce: shromažďování dokumentů, kontrola verzí, udržování přehledů aktuálních napříč více entitami. Část této práce je natolik opakovatelná, že ji lze podpořit pomocí AI. Werkscan od FTE TO AI vypočítává u každé úlohy, jaká část práce na to připadá, takže je zřejmé, kde se čas věnuje hledání důkazu, a kde jeho skutečnému posuzování.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.