Μια υποχρέωση που υπάρχει στα χαρτιά δεν είναι ακόμη μια υποχρέωση που έχει εκπληρωθεί. Ανάμεσα στο «έχουμε πολιτική» και στο «αποδεικνύουμε ότι έχουμε τον έλεγχο» υπάρχει ένα επίπεδο που συχνά παραλείπεται: η απόδειξη. Και δεν μετράει κάθε έγγραφο που βρίσκεται κάπου ως απόδειξη.
Ένα έγγραφο πολιτικής περιγράφει μια πρόθεση. Λέει τι θέλει να κάνει ένας οργανισμός, όχι τι έχει συμβεί. Ένας ελεγκτής ή μια εποπτική αρχή δεν ρωτάει για την πολιτική, αλλά για το αποτέλεσμά της: έχει πραγματικά γίνει η εκτίμηση κινδύνου, έχει καταγραφεί η έγκριση, έχει αναφερθεί η απόκλιση τη στιγμή που παρουσιάστηκε. Ο τρόπος με τον οποίο αυτό το βήμα από την πολιτική στην πράξη γίνεται αποδεικτέο εξαρτάται από το είδος της υποχρέωσης και τον τρόπο με τον οποίο έχει διαμορφωθεί μια διαδικασία· πώς αποδεικνύετε ότι η πολιτική είναι και πράξη αναλύει αυτή τη διάκριση.
Απόδειξη είναι ένα ίχνος που καταγράφει μια ενέργεια, μια απόφαση ή έναν έλεγχο τη στιγμή που έλαβε χώρα, με ημερομηνία, όνομα και αποτέλεσμα. Ένα email στο οποίο αναφέρθηκε ένας κίνδυνος. Μια γραμμή πρακτικών στην οποία μια διοίκηση έκανε μια στάθμιση. Ένα αρχείο καταγραφής που δείχνει ότι ένας έλεγχος πραγματοποιήθηκε όντως, όχι μόνο ότι ήταν προγραμματισμένος. Μια υπογεγραμμένη δήλωση από έναν προμηθευτή. Το κοινό χαρακτηριστικό: μπορεί κανείς εκ των υστέρων να ανασυγκροτήσει ποιος έκανε τι και πότε, χωρίς να χρειάζεται κάποιος να το εξηγήσει εκ νέου.
Αν κάτι μετράει ως απόδειξη εξαρτάται σε μεγάλο βαθμό από την υποχρέωση στην οποία αναφέρεται. Μια υποχρέωση αναφοράς απαιτεί διαφορετικό είδος ίχνους από ένα καθήκον επιμέλειας, και ένα καθήκον επιμέλειας διαφέρει πάλι από μια υποχρέωση αναφοράς περιστατικών. Δεν υπάρχει σταθερή λίστα που να δίνει την ίδια απάντηση για κάθε υποχρέωση· τι μετράει προκύπτει από τη φύση της ίδιας της υποχρέωσης και από όσα έχει καθορίσει σχετικά μια εποπτική αρχή.
Στην πράξη, η απόδειξη σπάνια δημιουργείται σε ένα μόνο σημείο. Μια εκτίμηση κινδύνου βρίσκεται σε ένα υπολογιστικό φύλλο στην πρώτη γραμμή. Η έγκριση βρίσκεται σε μια αλληλογραφία email με έναν προϊστάμενο. Ο τελικός έλεγχος βρίσκεται σε ένα σύστημα τρίτου μέρους. Όταν πρέπει να αποδειχθεί μια υποχρέωση, κάποιος πρέπει να συλλέξει ξανά αυτά τα τρία ίχνη — και αυτό δεν πετυχαίνει πάντα. Όσο μεγαλύτερος γίνεται ένας οργανισμός, όσο περισσότερα τμήματα έχει ή όσο περισσότερο συνεργάζεται με εξωτερικά μέρη, τόσο αυξάνεται η πιθανότητα η απόδειξη να βρίσκεται σε ένα σημείο που κανείς πλέον δεν γνωρίζει. πού διασκορπίζεται η απόδειξη περιγράφει τα μοτίβα που εμφανίζονται συχνότερα σε αυτό: μεταβιβάσεις μεταξύ τμημάτων, αλλαγές συστήματος, και διαδικασίες που έχουν αναθέσει σε εξωτερικό μέρος.
Η απόδειξη που δεν είναι εντοπίσιμη από κάποιον άλλο εκτός από τον δημιουργό της δεν λειτουργεί ως απόδειξη. Ένας ελεγκτής, ένας νέος υπεύθυνος συμμόρφωσης ή μια εποπτική αρχή πρέπει να μπορεί να παρακολουθήσει ένα ίχνος χωρίς να κάθεται δίπλα ο αρχικός συντάκτης για να το εξηγήσει. Αυτό θέτει απαιτήσεις σχετικά με το πού φυλάσσεται η απόδειξη και πώς έχει επισημανθεί: συνδεδεμένη με την υποχρέωση στην οποία αναφέρεται, με ημερομηνία και υπεύθυνο, σε ένα σημείο που δεν εξαρτάται από ένα μόνο άτομο που τυχαίνει να εργάζεται ακόμη εκεί. πώς φυλάσσετε την απόδειξη ώστε να τη βρίσκει ένας ελεγκτής αναλύει αυτή τη διαμόρφωση.
Κάθε κομμάτι απόδειξης ανήκει σε μια υποχρέωση, και κάθε υποχρέωση ανήκει σε κάποιον που μπορεί να εξηγήσει γιατί η απόδειξη επαρκεί. Χωρίς αυτή τη σύνδεση, δημιουργείται ένα αρχείο εγγράφων για τα οποία κανείς πλέον δεν γνωρίζει ποια υποχρέωση έπρεπε να αποδείξουν, ή ποιος ήταν υπεύθυνος για την ποιότητά τους. ποιος είναι ιδιοκτήτης μιας υποχρέωσης περιγράφει γιατί αυτή η ανάθεση δεν είναι τυπικότητα, αλλά ο κρίκος που κάνει την απόδειξη χρησιμοποιήσιμη τη στιγμή που ζητείται.
Τα τέσσερα στοιχεία — υποχρέωση, ιδιοκτήτης, απόδειξη, έλεγχος — πρέπει να βρίσκονται μαζί σε μία επισκόπηση, όχι διασκορπισμένα σε τμήματα και συστήματα. Αυτή η επισκόπηση έχει όνομα: πίνακας ελέγχου (control matrix). Τι περιέχει ακριβώς αυτός ο πίνακας και πώς δομείται περιγράφεται στο τι είναι ένας πίνακας ελέγχου. Σε έναν όμιλο με πολλές οντότητες ή εγκαταστάσεις σε διαφορετικές χώρες, αυτό το ερώτημα γίνεται πιο περίπλοκο, καθώς η απόδειξη σε ένα επίπεδο δεν είναι αυτόματα έγκυρη σε άλλο επίπεδο· τι μετράει ως απόδειξη για μια υποχρέωση εντός ενός ομίλου με πολλές οντότητες αναλύει ειδικά αυτή την κατάσταση.
Αυτή η σελίδα περιγράφει τι είναι απόδειξη και πού πάει στραβά, όχι ποια απόδειξη επαρκεί συγκεκριμένα για τον οργανισμό σας. Αυτό εξαρτάται από την υποχρέωση, τον κλάδο και τη χώρα στην οποία εδρεύει μια οντότητα — και από τον τρόπο με τον οποίο οι εθνικοί νομοθέτες έχουν ενσωματώσει έναν ευρωπαϊκό κανόνα. Το csrdcompliance.net υποδεικνύει αυτή τη διαφορά, αλλά δεν αντικαθιστά τη νομική συμβουλή και δεν παρέχει καμία εγγύηση σχετικά με το αποτέλεσμα ενώπιον μιας εποπτικής αρχής.
Η χαρτογράφηση και η τακτοποίηση της απόδειξης απαιτεί εργασία: συλλογή ιχνών, σύνδεση με μια υποχρέωση, επισήμανση ώστε να τα βρίσκει κάποιος άλλος. Ένα μέρος αυτής της εργασίας είναι επαναλαμβανόμενο και ακολουθεί σταθερό μοτίβο, γεγονός που το κάνει κατάλληλο για (μερική) αυτοματοποίηση. Η σκανάρισμα εργασιών (werkscan) της FTE TO AI υπολογίζει ανά εργασία ποιο μέρος αυτής της δουλειάς μπορεί να αναλάβει η τεχνητή νοημοσύνη, ώστε να γίνεται σαφές πού παραμένουν απαραίτητοι οι άνθρωποι για αξιολόγηση και πού μπορεί να υποστηριχθεί η συλλογή και η οργάνωση της απόδειξης. Το Compliance Check του csrdcompliance.net βρίσκεται υπό κατασκευή· όποιος θέλει να λαμβάνει ενημερώσεις σχετικά, μπορεί να εγγραφεί στη λίστα αναμονής.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.