Povinnost je málokdy naplňována jediným oddělením. Politiku píše právní oddělení, provádí ji business, kontroluje finance a někdy ji znovu posuzuje externí strana. Každý z těchto kroků zanechává stopu: dokument, e-mail, schválení, zápis. Tato stopa je důkaz. Problém nevzniká tím, že by důkaz chyběl, ale tím, že nikdo přesně neví, kde se nachází.
Většina organizací pracuje s kombinací systémů, které nebyly za tímto účelem vytvořeny: intranet pro politiky, HR systém pro školení, systém nákupu pro prohlášení dodavatelů, mailová schránka pro korespondenci s dozorovým orgánem. Každý systém uchovává svou vlastní část příběhu. Žádný z těchto systémů neukazuje celek. Kdo musí prokázat, že povinnost byla splněna, musí tedy nejprve zjistit, ve kterém systému se relevantní důkaz nachází, a poté, zda je tento důkaz ještě aktuální.
U jediné entity je to už výzva. U skupiny s více entitami, pobočkami nebo zeměmi problém úměrně narůstá. Povinnost, která je zakotvena na úrovni skupiny, je často třeba prokázat lokálně, a naopak. Co to konkrétně znamená pro co se počítá jako důkaz u povinnosti u skupiny s více entitami, závisí na tom, jak je skupina strukturována a která entita podává jaký report. Stejná otázka o rozptýlenosti samotné se opakuje v kde se rozptylují důkazy u skupiny s více entitami, kde se struktura skupiny samotná stává faktorem.
Důkaz, který existuje, ale není dohledatelný, funguje při kontrole jako důkaz, který neexistuje. Auditor, dozorový orgán nebo vedení samo musí být schopno zjistit, kdo za co odpovídal a kde se nachází podklady. To vyžaduje pevné místo pro každou povinnost, nikoli pátrání po oddělení ve chvíli, kdy je otázka vznesena. Jak se taková dohledatelnost v praxi zajišťuje, je popsáno v jak uchováváte důkazy tak, aby je auditor našel.
Určení vlastníka pro každou povinnost neřeší problém rozptýleného důkazu automaticky, ale zviditelňuje jej. Vlastník, který ví, že je odpovědný, začne hledat důkaz náležející k jeho úkolu, a často pak zjistí, že je rozptýlen po více systémech nebo kolegách. To je okamžik, kdy se rozptýlenost stává problémem, který lze vyřešit, místo problémem, který zůstává nepovšimnut. Co přesně vlastnictví obnáší a proč je oddělené od toho, kdo úkol provádí, je rozebráno v kdo je vlastníkem povinnosti.
Další bod, ve kterém se důkaz rozpadá: existence politiky nic nevypovídá o jejím provádění. Dokument popisující, jak by měl proces probíhat, není důkazem, že proces takto skutečně probíhá. To vyžaduje jiný druh důkazu, totiž prokazatelné provádění: logy, výběrové kontroly, zprávy o odchylkách. Rozdíl mezi těmito dvěma vrstvami důkazu a jak je vedle sebe pokládat, je vysvětleno na jak prokážete, že politika je i praxí.
Aby byl rozptýlený důkaz zvladatelný, je nutný pevný přehled: pro každou povinnost vlastník, důkaz a kontrola prokazující, že proces funguje. Bez této struktury zůstává důkaz rozptýlen, dokud jej někdo nepotřebuje, a pak už je často pozdě jej kompletně shromáždit. Jak je takový přehled uspořádán a co k němu kontrola přidává, je popsáno na co je to control matrix.
Otázka, zda je organizace pod kontrolou, se nezodpovídá prohlášením, ale důkazem, který je dohledatelný ve správný okamžik. Dokud je tento důkaz rozptýlen mezi oddělení a systémy, které si každý uchovávají svou vlastní část, nelze tuto otázku zodpovědět s jistotou. Spojení vlastníka, důkazu a kontroly pro každou povinnost je krok, který to umožňuje.
Samotné shromažďování a udržování tohoto důkazu v aktuálním stavu je také práce, rozptýlená do mnoha drobných úkolů: vyžádání dokumentů, kontrola verzí, aktualizace přehledů. Werkscan od FTE TO AI vypočítá pro každý úkol, jakou část z něj může převzít AI, díky čemuž je jasné, jakou část této práce zvládne automatizace a jaká část si i nadále vyžaduje lidské posouzení.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.