Povinnost, která je zapsaná na papíře, ještě není povinnost, která byla splněna. Mezi „máme zavedenou politiku“ a „prokazujeme, že máme situaci pod kontrolou“ leží vrstva, která se často vynechává: důkaz. A ne každý dokument, který se někde nachází, se počítá jako důkaz.
Dokument s politikou popisuje záměr. Říká, co organizace chce dělat, ne co se skutečně stalo. Auditor nebo dohledový orgán se nepřeptá na politiku, ale na její výsledek: byl skutečně provedený odhad rizika, byl zaznamenaný souhlas, byla odchylka nahlášena v okamžiku, kdy k ní došlo. Jak se tento krok od politiky k praxi dá prokázat, závisí na typu povinnosti a na tom, jak je proces uspořádaný; jak prokážete, že politika je i praxí se věnuje tomuto rozlišení.
Důkaz je stopa, která zaznamenává úkon, rozhodnutí nebo kontrolu v okamžiku, kdy k ní došlo, s datem, jménem a výsledkem. E-mail, ve kterém bylo nahlášeno riziko. Řádek v zápisu, ve kterém vedení provedlo posouzení. Log soubor, který dokazuje, že kontrola byla skutečně provedena, nikoli jen že byla naplánovaná. Podepsané prohlášení dodavatele. Společný rys: dá se zpětně rekonstruovat, kdo co kdy udělal, aniž by to musel někdo znovu vyprávět.
Zda se něco počítá jako důkaz, silně závisí na povinnosti, ke které se vztahuje. Povinnost podávat zprávy vyžaduje jiný druh stopy než povinnost péče, a povinnost péče zase něco jiného než ohlašovací povinnost. Neexistuje pevný seznam, který by pro každou povinnost dával stejnou odpověď; co se počítá, vyplývá z povahy samotné povinnosti a z toho, co k tomu zaznamenal dohledový orgán.
V praxi vzniká důkaz jen zřídka na jednom místě. Odhad rizika je v tabulce u první linie. Souhlas je v e-mailové korespondenci s vedoucím. Konečná kontrola je v systému třetí strany. Když je třeba povinnost prokázat, musí někdo tyto tři stopy znovu dohledat a spojit — a to se nepodaří vždy. Čím větší organizace je, čím více oddělení má nebo čím více spolupracuje s externími stranami, tím větší je pravděpodobnost, že důkaz leží na místě, které už nikdo nezná. kde se důkazy roztříští popisuje vzorce, které se při tom nejčastěji vyskytují: předávání mezi oddělení, změny systémů a procesy svěřené externí straně.
Důkaz, který není dohledatelný pro nikoho jiného než pro svého tvůrce, nefunguje jako důkaz. Auditor, nový compliance officer nebo dohledový orgán musí být schopen stopu vysledovat, aniž by u toho musel sedět původní autor a vysvětlovat to. To klade nároky na to, kde se důkaz uchovává a jak je označen: propojený s povinností, ke které se vztahuje, s datem a odpovědnou osobou, na místě, které nezávisí na jedné osobě, která náhodou ještě je zaměstnaná. jak uchováváte důkazy tak, aby je auditor našel se věnuje tomuto uspořádání.
Každý kus důkazu patří k nějaké povinnosti, a každá povinnost patří k někomu, kdo umí vysvětlit, proč je důkaz dostatečný. Bez tohoto propojení vzniká archiv dokumentů, o kterých už nikdo neví, kterou povinnost měly prokazovat, nebo kdo byl odpovědný za jejich kvalitu. kdo je vlastníkem povinnosti popisuje, proč toto přiřazení není formalita, ale spojovací článek, který dělá důkaz použitelným v okamžiku, kdy se na něj zeptá.
Čtyři prvky — povinnost, vlastník, důkaz, kontrola — by měly patřit společně do jednoho přehledu, ne roztroušeně po odděleních a systémech. Tento přehled má název: matice kontrol (control matrix). Co přesně tato matice obsahuje a jak se sestavuje, je popsáno na co je matice kontrol. U skupiny s více entitami nebo pobočkami v různých zemích se tato otázka komplikuje, protože důkaz platný na jedné úrovni není automaticky platný na jiné; co se počítá jako důkaz u povinnosti ve skupině s více entitami se touto situací zabývá konkrétně.
Tato stránka popisuje, co je důkaz a kde to vázne, ne jaký důkaz konkrétně postačuje pro vaši organizaci. To závisí na povinnosti, odvětví a zemi, ve které je entita usazena — a na způsobu, jakým národní zákonodárci danou evropskou normu zapracovali. csrdcompliance.net na tento rozdíl upozorňuje, ale nenahrazuje právní poradenství a nedává žádnou záruku ohledně výsledku u dohledového orgánu.
Zmapování a uvedení důkazů do pořádku vyžaduje práci: shromažďování stop, jejich propojení s povinností, označení tak, aby je někdo jiný dokázal dohledat. Část této práce je opakovatelná a řídí se pevným vzorem, což ji předurčuje k (částečné) automatizaci. Pracovní scan FTE TO AI vypočítá pro každý úkol, jakou část této práce může převzít AI, takže je jasné, kde jsou lidé nadále potřební pro posouzení a kde lze podpořit shromažďování a uspořádávání důkazů. Compliance Check od csrdcompliance.net se právě připravuje; kdo o tom chce dostávat zprávy, se může přihlásit na čekací listinu.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.