Μια υποχρέωση έχει αποδειχθεί μόνο όταν υπάρχει κάτι που κάποιος άλλος μπορεί να ελέγξει χωρίς να σας ρωτήσει. Αυτό είναι το πυρήνα της αποδεικνυσιμότητας: όχι τι γνωρίζετε εσείς ότι έχει συμβεί, αλλά τι μπορεί να εντοπίσει ένας ελεγκτής, μια εποπτική αρχή ή ένας νέος υπεύθυνος συμμόρφωσης χωρίς να χρειαστεί να το εξηγήσετε. Πολλές εταιρείες ανακαλύπτουν μόλις κατά τη διάρκεια ενός ελέγχου ότι η απόδειξη μεν υπάρχει, αλλά δεν είναι εντοπίσιμη.
Η απόδειξη δεν είναι το ίδιο με την πολιτική. Ένα έγγραφο πολιτικής λέει τι είναι η πρόθεση· η απόδειξη δείχνει ότι αυτή η πρόθεση έχει επίσης εκτελεστεί. Σκεφτείτε μια εγκεκριμένη απόφαση με ημερομηνία και όνομα του εγκριτή, μια ανταλλαγή email από την οποία προκύπτει μια στάθμιση, ένα ημερολόγιο ενός ελέγχου που πράγματι έχει διεξαχθεί, ή μια αναφορά που ευθυγραμμίζεται με τα υποκείμενα δεδομένα. Τι ακριβώς μετράει ως επαρκής απόδειξη διαφέρει ανά υποχρέωση, και τι μετράει ως απόδειξη σε μια υποχρέωση σε έναν όμιλο με πολλαπλές οντότητες δείχνει πώς αυτό το ερώτημα εξειδικεύεται μόλις προστεθούν πολλαπλές εγκαταστάσεις ή θυγατρικές. Το κοινό νήμα είναι πάντα ότι η διάκριση μεταξύ πολιτικής και πράξης συχνά υποτιμάται: ένα έγγραφο που φαίνεται καλό δεν αποτελεί απόδειξη ότι κάποιος έχει επίσης ενεργήσει σύμφωνα με αυτό. Πώς μπορεί να γίνει ορατή αυτή η διαφορά, αναλύεται στο πώς αποδεικνύετε ότι η πολιτική είναι επίσης πράξη.
Η απόδειξη συνήθως δεν δημιουργείται στο σημείο όπου τελικά χρειάζεται. Μια εκτίμηση κινδύνου γίνεται από μια επιχειρησιακή ομάδα, μια έγκριση γίνεται σε ένα email, ένας έλεγχος καταγράφεται σε ένα υπολογιστικό φύλλο που βρίσκεται μόνο σε τοπικό δίσκο. Μέχρι τη στιγμή που ένας ελεγκτής ζητά να αποδειχθεί ότι μια υποχρέωση έχει τηρηθεί, κάποιος πρέπει να εντοπίσει εκ νέου αυτή την απόδειξη. Σε μία οντότητα αυτό είναι ήδη δύσκολο· σε έναν όμιλο με πολλαπλές εγκαταστάσεις, χώρες ή θυγατρικές εταιρείες, γίνεται μια αναζήτηση από μόνη της. Κάθε οντότητα ενδεχομένως έχει το δικό της αρχείο, το δικό της σύστημα, τον δικό της τρόπο καταγραφής. Πού ακριβώς πάει στραβά αυτό και γιατί δεν είναι μόνο ζήτημα πειθαρχίας, περιγράφεται στο πού διασκορπίζεται η απόδειξη σε έναν όμιλο με πολλαπλές οντότητες. Για δομές ομίλων ειδικότερα, υπάρχει μια ανάλυση του ίδιου ερωτήματος με αυτή τη σελίδα, εξειδικευμένη σε αυτή την κατάσταση: πώς φυλάσσετε αποδεικτικά στοιχεία ώστε ένας ελεγκτής να τα εντοπίζει σε έναν όμιλο.
Η εντοπισιμότητα ξεκινά από την κυριότητα. Η απόδειξη που δεν έχει κάπου έναν ιδιοκτήτη, δεν καταγράφεται πουθενά και άρα δεν φυλάσσεται σε σημείο όπου κάποιος μπορεί να τη βρει. Για κάθε υποχρέωση υπάρχει κάποιος που μπορεί τελικά να εξηγήσει τι έχει γίνει και γιατί· ποιος είναι αυτός δεν είναι πάντα αυτονόητο εντός ενός οργανισμού με πολλαπλά τμήματα ή οντότητες. Πώς καθορίζεται αυτή η κυριότητα και γιατί δεν ανήκει αυτόματα στο τμήμα συμμόρφωσης, αναφέρεται στο ποιος είναι ο ιδιοκτήτης μιας υποχρέωσης. Μόλις αυτή η κυριότητα είναι σαφής, το επόμενο ερώτημα δεν είναι ακόμα ένα έγγραφο, αλλά μια δομή που συνδέει την υποχρέωση, τον ιδιοκτήτη και την απόδειξη μεταξύ τους. Αυτή η δομή ονομάζεται συνήθως πίνακας ελέγχων (control matrix), και τι λύνει και τι δεν λύνει αυτός ο πίνακας, εξηγείται στο τι είναι ένας πίνακας ελέγχων.
Η αυθόρμητη αντίδραση στην αποδεικνυσιμότητα είναι συχνά: περισσότερη καταγραφή, περισσότερη αρχειοθέτηση, περισσότεροι φάκελοι. Αυτό δεν λύνει το πρόβλημα. Ένας ελεγκτής που πρέπει να ψάξει σε τρία συστήματα για να ελέγξει μία υποχρέωση, δεν το βιώνει ως in control, ακόμη και αν η απόδειξη υπάρχει πράγματι. Το ερώτημα δεν είναι πόση απόδειξη υπάρχει, αλλά αν είναι ανιχνεύσιμη: από την υποχρέωση στον ιδιοκτήτη, στην απόδειξη, στον έλεγχο που αποδεικνύει ότι έχει συμβεί. Χωρίς αυτή την ανιχνευσιμότητα, η απόδειξη παραμένει διασκορπισμένη, ακόμη και αν στα χαρτιά είναι πλήρης.
Αυτό ισχύει εντονότερα όσο μεγαλύτερος και πιο σύνθετος είναι ένας οργανισμός. Οι εθνικές μεταφορές του ίδιου ευρωπαϊκού κανόνα διαμορφώνονται διαφορετικά ανά χώρα, με διαφορετικές προθεσμίες, διαφορετικές αρχές και διαφορετικές προσδοκίες σχετικά με το τι θεωρείται απόδειξη. Ό,τι είναι επαρκές σε μια χώρα, δεν είναι αυτόματα επαρκές σε μια άλλη. Αυτό κάνει μια κεντρική, ανιχνεύσιμη δομή για αποδεικτικά στοιχεία όχι ζήτημα τακτοποίησης, αλλά προϋπόθεση για να διατηρείται εποπτεία σχετικά με το τι έχει πράγματι καταγραφεί ανά χώρα, ανά οντότητα και ανά υποχρέωση.
Η καταγραφή, η τήρηση και η εξασφάλιση εντοπισιμότητας της απόδειξης αποτελούν από μόνες τους μια μορφή εργασίας: τακτοποίηση εγγράφων, δημιουργία παραπομπών, έλεγχος αν ένας φάκελος είναι πλήρης πριν το ζητήσει ένας ελεγκτής. Ένα μέρος αυτής της εργασίας είναι επαναληπτικό και ακολουθεί ένα σταθερό πρότυπο ανά υποχρέωση. Όποιος θέλει να γνωρίζει ποιο μέρος αυτής της εργασίας μπορεί να αναληφθεί από AI και ποιο μέρος παραμένει εξαρτημένο από την ανθρώπινη κρίση, μπορεί να το υπολογίσει με τη werkscan της FTE TO AI, η οποία υποδεικνύει ανά εργασία πόσο περιθώριο υπάρχει για αυτοματοποίηση.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.