Ένα διοικητικό συμβούλιο που καλείται να αποδείξει ότι έχει τον έλεγχο, δεν μπορεί να αρκεστεί στη δήλωση ότι υπάρχει πολιτική. Πρέπει να υπάρχει μια δομή που δείχνει, ανά υποχρέωση, ποιος είναι υπεύθυνος, ποια απόδειξη υπάρχει, και ποιο control διασφαλίζει ότι αυτή η απόδειξη παραμένει σωστή. Αυτή η δομή ονομάζεται control-matrix. Δεν είναι μια μορφή αναφοράς ούτε ένα πρότυπο που συμπληρώνει κανείς για έναν ελεγκτή· είναι ο τρόπος με τον οποίο ένας οργανισμός μπορεί να εξηγήσει στον εαυτό του τι συμβαίνει και γιατί αυτό είναι επαρκές.
Ένας control-matrix αποτελείται από περισσότερα από έναν κατάλογο υποχρεώσεων. Ανά υποχρέωση καθορίζονται τουλάχιστον τρία πράγματα: ποιος είναι ο ιδιοκτήτης, ποια είναι η απόδειξη ότι έχει εκπληρωθεί η υποχρέωση, και ποιο control παρακολουθεί ότι αυτή η απόδειξη παραμένει επίκαιρη και ορθή. Χωρίς ιδιοκτήτη, μια υποχρέωση δεν γίνεται καθήκον κανενός. Χωρίς απόδειξη, μια υποχρέωση είναι μια πρόθεση. Χωρίς control, η απόδειξη είναι μια στιγμιαία εικόνα που παλιώνει μόλις ο οργανισμός αλλάξει. Ποιος είναι ιδιοκτήτης μιας υποχρέωσης σε έναν όμιλο με πολλαπλές οντότητες δεν είναι επομένως μια λεπτομέρεια που συμπληρώνεται αργότερα, αλλά το πρώτο πράγμα που πρέπει να είναι σαφές πριν ένας matrix σημαίνει κάτι.
Τι μετράει ως απόδειξη διαφέρει ανά υποχρέωση και ανά χώρα στην οποία ισχύει η υποχρέωση. Ένας ευρωπαϊκός κανόνας που στο βασικό κείμενο φαίνεται σαφής, συχνά ενσωματώνεται διαφορετικά στην εθνική μεταφορά: διαφορετική μορφή απόδειξης, διαφορετική συχνότητα, διαφορετικό όργανο που πρέπει να το διαπιστώσει. Ένας matrix που δεν αφήνει χώρο για αυτό φαίνεται πλήρης αλλά δεν είναι. Για μια ακριβή επεξεργασία του τι μετράει ως απόδειξη σε μια συγκεκριμένη περίπτωση, τι μετράει ως απόδειξη σε μια υποχρέωση σε έναν όμιλο με πολλαπλές οντότητες αποτελεί το σημείο αναφοράς, όχι αυτή η σελίδα.
Σε έναν όμιλο με πολλαπλές οντότητες, πολλαπλές χώρες ή πολλαπλά τμήματα, η απόδειξη σπάνια δημιουργείται σε ένα μόνο σημείο. Η πολιτική βρίσκεται στη νομική υπηρεσία, η εκτέλεση σε μια τοπική εγκατάσταση, η αναφορά στη finance, και η έγκριση σε ένα διοικητικό συμβούλιο που δεν βλέπει το σύνολο καθημερινά. Ένας control-matrix που δεν το χαρτογραφεί αυτό, αποκρύπτει ότι η διασπορά είναι ο πραγματικός κίνδυνος. Όχι η απουσία πολιτικής, αλλά η αδυναμία εντοπισμού της απόδειξης ότι η πολιτική έχει επίσης εφαρμοστεί. Πού συμβαίνει ακριβώς αυτό και γιατί εμφανίζεται συχνότερα σε δομές ομίλων παρά σε μία μόνο οντότητα, αναλύεται στη σελίδα πού διασπείρεται η απόδειξη σε έναν όμιλο με πολλαπλές οντότητες.
Ένας matrix δεν λύνει αυτή τη διασπορά συγκεντρώνοντας τα πάντα σε ένα σημείο — αυτό συχνά δεν είναι εφικτό ούτε απαραίτητο. Αυτό που κάνει ο matrix είναι να δείχνει πού βρίσκεται κάθε κομμάτι απόδειξης και ποιος μπορεί να το υποδείξει τη στιγμή που ζητηθεί. Αυτό είναι διαφορετικός σκοπός από τη συγκεντρωτικοποίηση: αφορά την ανευρεσιμότητα, όχι τη συγκέντρωση.
Ένα συχνό λάθος σε έναν control-matrix είναι ότι η απόδειξη αποτελείται από το ίδιο το έγγραφο πολιτικής. Ένα έγγραφο πολιτικής αποδεικνύει ότι ένας οργανισμός έχει αποφασίσει κάτι, όχι ότι συμβαίνει. Ένας ελεγκτής ή επόπτης που εμβαθύνει, θέλει να ξέρει πώς η πολιτική μεταφράζεται σε μια συγκεκριμένη, επαναλαμβανόμενη ενέργεια: μια έγκριση που έχει καταγραφεί, έναν έλεγχο που έχει εκτελεστεί, μια απόκλιση που έχει εντοπιστεί και παρακολουθηθεί. Πώς λειτουργεί αυτή η διάκριση στην πράξη, εξηγείται στη σελίδα πώς αποδεικνύετε ότι η πολιτική είναι επίσης πράξη σε έναν όμιλο με πολλαπλές οντότητες. Ένας control-matrix που δεν κάνει αυτή τη διάκριση δίνει ψευδή ασφάλεια: πλήρης στα χαρτιά, αδικαιολόγητος στην πράξη.
Η αξία ενός control-matrix δεν εξαρτάται από το πόσο πλήρης είναι τη στιγμή της σύνταξής του, αλλά από το πόσο καλά αντέχει τη στιγμή που κάποιος από έξω ρωτάει γι' αυτόν. Αυτό σημαίνει ότι η απόδειξη δεν πρέπει μόνο να υπάρχει, αλλά και να διατηρείται με τρόπο που μπορεί να παρακολουθήσει ένας ελεγκτής χωρίς προηγούμενη γνώση του οργανισμού. Ένας matrix που παραπέμπει σε απόδειξη που κανείς δεν μπορεί πλέον να εντοπίσει, είναι στην πράξη ένας άδειος matrix. Τι απαιτείται για αυτό όσον αφορά τη φύλαξη και τη δομή, βρίσκεται στη σελίδα πώς φυλάτε την απόδειξη ώστε ένας ελεγκτής να τη βρίσκει σε έναν όμιλο με πολλαπλές οντότητες. Σε έναν όμιλο με πολλαπλές οντότητες αυτό αποτελεί ξεχωριστό σημείο προσοχής, καθώς η απόδειξη που είναι αποθηκευμένη τοπικά σπάνια είναι αυτόματα ορατή για όποιον λογοδοτεί σε επίπεδο ομίλου. Περισσότερα για τη δομή του ίδιου του matrix σε μια τέτοια δομή βρίσκονται στη σελίδα τι είναι ένας control-matrix σε έναν όμιλο με πολλαπλές οντότητες.
Ένας control-matrix κάνει ορατό ποιος πρέπει να συλλέγει, να διατηρεί επίκαιρη και να μπορεί να παρουσιάζει ποια απόδειξη. Αυτή είναι εργασία που επαναλαμβάνεται: ο ίδιος έλεγχος, η ίδια συλλογή, η ίδια επαλήθευση, ξανά και ξανά, συχνά σε πολλαπλές οντότητες και χώρες ταυτόχρονα. Μόλις αυτή η επανάληψη γίνει ορατή, προκύπτει το ερώτημα ποιο μέρος αυτού αποτελεί ένα καθήκον που πρέπει κανείς να κάνει κάθε φορά ξανά, και ποιο μέρος είναι αρκετά συστηματικό για να οργανωθεί διαφορετικά. Η werkscan της FTE TO AI υπολογίζει ανά εργασία ποιο μέρος αυτής της εργασίας μπορεί να αναληφθεί από AI, βάσει των εργασιών όπως έχουν ήδη περιγραφεί σε έναν control-matrix.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.