Ένα διοικητικό συμβούλιο μπορεί να εγκρίνει ένα έγγραφο πολιτικής και ταυτόχρονα να μη γνωρίζει αν αυτή η πολιτική εφαρμόζεται και στην πράξη. Αυτό δεν είναι εξαίρεση, είναι η κανονική κατάσταση σε έναν οργανισμό όπου η πολιτική συντάσσεται κεντρικά και εκτελείται αποκεντρωμένα. Η ερώτηση που θέτει ένας ελεγκτής δεν είναι «έχετε πολιτική», αλλά «μπορείτε να δείξετε ότι αυτή η πολιτική λειτουργεί». Αυτό είναι διαφορετικό είδος ερώτησης, και απαιτεί διαφορετικό είδος απάντησης.
Η πολιτική είναι μια πρόθεση. Περιγράφει τι θέλει να κάνει ένας οργανισμός: πώς διαχειρίζεται τους προμηθευτές, τα δεδομένα, τους κινδύνους. Η λειτουργία είναι αυτό που πράγματι συμβαίνει στον χώρο εργασίας, σε ένα σύστημα, σε μια απόφαση που ελήφθη τον προηγούμενο μήνα. Ανάμεσα στα δύο μπορεί να υπάρχει μια διαφορά που κανείς δεν έχει παρατηρήσει, απλά επειδή κανείς δεν έχει ελέγξει συστηματικά αν η πολιτική εφαρμόστηκε όπως προβλεπόταν.
Η αποδεικτική τεκμηρίωση γεφυρώνει αυτή τη διαφορά. Δεν είναι η ίδια η πολιτική, αλλά το ίχνος που αποδεικνύει ότι η πολιτική εφαρμόστηκε: μια απόφαση, μια έγκριση, μια απόκλιση που εντοπίστηκε και αντιμετωπίστηκε. Χωρίς αυτό το ίχνος, η πολιτική είναι δήλωση πρόθεσης, όχι εκτέλεσης.
Δεν αποτελεί κάθε έγγραφο που αφορά ένα θέμα απόδειξη ότι η υποχρέωση τηρήθηκε. Μια περιγραφή διαδικασίας δείχνει πώς θα έπρεπε να λειτουργεί κάτι, όχι ότι λειτούργησε έτσι. Η απόδειξη που αντέχει στον έλεγχο είναι συνήθως πιο συγκεκριμένη: μια έγκριση με ημερομηνία και όνομα, ένα αρχείο καταγραφής συστήματος, μια αναφορά απόκλισης με το ενέργεια παρακολούθησης που ελήφθη. Τι μετράει ως απόδειξη σε μια υποχρέωση, αναλυμένο για μια ομάδα με πολλές οντότητες δείχνει ποιο επίπεδο λεπτομέρειας απαιτείται για να γίνει μια υποχρέωση αποδεικτικά τεκμηριωμένη, και ποιο επίπεδο δεν επαρκεί.
Αυτή η διάκριση είναι σημαντικότερη απ' όσο φαίνεται. Ένας οργανισμός που αρκείται σε έγγραφα πολιτικής και επισκοπήσεις εκπαίδευσης έχει συνήθως περισσότερο χαρτί παρά απόδειξη. Το ζήτημα δεν είναι πόση τεκμηρίωση υπάρχει, αλλά αν αυτή η τεκμηρίωση αποδεικνύει ότι μια συγκεκριμένη ενέργεια εκτελέστηκε σε συγκεκριμένη στιγμή από συγκεκριμένο πρόσωπο.
Σε μία μόνη οντότητα με εύκολα κατανοητή οργάνωση, η απόδειξη συνήθως εντοπίζεται σε περιορισμένο αριθμό σημείων. Σε μια ομάδα με πολλές οντότητες, χώρες ή τμήματα, η εικόνα είναι διαφορετική. Η πολιτική καθορίζεται κεντρικά, αλλά η εκτέλεση γίνεται σε θυγατρικές εταιρείες που έχουν τα δικά τους συστήματα, τους δικούς τους υπεύθυνους και τους δικούς τους τρόπους καταγραφής. Η απόδειξη ότι η πολιτική λειτουργεί προκύπτει, λοιπόν, σε δεκάδες σημεία ταυτόχρονα, χωρίς να υπάρχει κεντρική εικόνα του πού ακριβώς βρίσκεται αυτή η απόδειξη.
Πού διασπείρεται η απόδειξη σε μια ομάδα με πολλές οντότητες περιγράφει πώς προκύπτει αυτή η διάσπαση και γιατί συχνά αποκαλύπτεται μόνο τη στιγμή που κάποιος χρειάζεται πράγματι την απόδειξη. Αυτή η στιγμή είναι συνήθως ένας έλεγχος, μια due diligence, ή ένα ερώτημα από μια εποπτική αρχή, και αυτή είναι ακριβώς η στιγμή που η βιασύνη και η αβεβαιότητα προκαλούν τη μεγαλύτερη ζημιά.
Η απόδειξη που υπάρχει αλλά δεν είναι εντοπίσιμη δεν λειτουργεί στην πράξη ως απόδειξη. Ένας ελεγκτής που πρέπει να περιμένει τρεις εβδομάδες για μια απάντηση που ήδη υπήρχε κάπου αλλού, βγάζει από αυτό ένα συμπέρασμα για την ποιότητα του εσωτερικού ελέγχου, ανεξάρτητα από το αν η υποκείμενη πολιτική ήταν ουσιαστικά σωστή. Η αποδεικτική τεκμηρίωση απαιτεί λοιπόν όχι μόνο απόδειξη, αλλά και μια δομή μέσα στην οποία αυτή η απόδειξη έρχεται στην επιφάνεια εντός εύλογου χρόνου.
Πώς φυλάσσετε την απόδειξη ώστε να τη βρίσκει ένας ελεγκτής, αναλυμένο για μια ομάδα με πολλές οντότητες εξετάζει αυτή την εντοπισιμότητα: πού καταγράφεται η απόδειξη, ποιος έχει πρόσβαση σε αυτήν, και πώς αποφεύγεται το να μετατρέπεται η απάντηση σε μια απλή ερώτηση σε αναζήτηση εβδομάδων. Σε αυτό εντάσσεται και μια σαφής ανάθεση ιδιοκτησίας: ποιος είναι ιδιοκτήτης μιας υποχρέωσης σε μια ομάδα με πολλές οντότητες καθορίζει όχι μόνο ποιος είναι υπεύθυνος για την εκτέλεση, αλλά και ποιος μπορεί να κληθεί να λογοδοτήσει τη στιγμή που ζητείται η απόδειξη.
Για να φέρετε κοντά πολιτική και πράξη, πρέπει για κάθε υποχρέωση να είναι σαφές ποιος είναι ο ιδιοκτήτης, τι θεωρείται απόδειξη, και ποιο control αποδεικνύει ότι η απόδειξη ελέγχεται περιοδικά. Αυτά τα τρία στοιχεία μαζί συνιστούν έναν control matrix: μια επισκόπηση που συνδέει υποχρέωση, ιδιοκτήτη και απόδειξη, έτσι ώστε ένα διοικητικό συμβούλιο να μη χρειάζεται να ανασυνθέτει σε κάθε ερώτηση ποιος ήταν υπεύθυνος για τι. Η ίδια δομή, αναλυμένη ειδικά για την πολυπλοκότητα μιας ομαδικής δομής, περιγράφεται στο πώς αποδεικνύετε ότι η πολιτική είναι και πράξη σε μια ομάδα με πολλές οντότητες.
Το Compliance Check του csrdcompliance.net βρίσκεται σε ανάπτυξη. Ο στόχος είναι μια επισκόπηση στην οποία, για κάθε υποχρέωση, καταγράφονται ο ιδιοκτήτης, η απόδειξη και το αντίστοιχο control, έτσι ώστε ένα διοικητικό συμβούλιο να μπορεί να αποδείξει ότι έχει τον έλεγχο αντί να πρέπει απλά να το διατείνεται. Όποιος θέλει να το χρησιμοποιήσει μόλις γίνει διαθέσιμο, μπορεί να εγγραφεί στη λίστα αναμονής.
Η χαρτογράφηση της ιδιοκτησίας και της απόδειξης είναι η μία πλευρά του ζητήματος, η εκτέλεση όλων αυτών των ελέγχων και καταγραφών είναι η άλλη. Όποιος αναρωτιέται πόσο από αυτή την εκτελεστική εργασία πρέπει πράγματι να παραμείνει ανθρώπινη δουλειά, μπορεί να απευθυνθεί στο werkscan του FTE TO AI: αυτό υπολογίζει, ανά εργασία, ποιο μέρος της δουλειάς μπορεί να αναλάβει η AI, και ποιο μέρος απαιτεί κρίση που παραμένει στον άνθρωπο.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.