Μια υποχρέωση που υπάρχει στα χαρτιά αλλά δεν έχει ιδιοκτήτη, δεν υπάρχει για έναν ελεγκτή. Αυτό είναι το κέντρο του σημείου όπου πολλοί οργανισμοί κολλάνε. Έχει εντοπιστεί μια υποχρέωση αναφοράς, έχει γραφτεί πολιτική, αλλά το ερώτημα ποιος φροντίζει καθημερινά ώστε η πολιτική να εφαρμόζεται και ποιος μπορεί να αποδείξει ότι αυτό συμβαίνει, παραμένει αναπάντητο. Χωρίς ένα όνομα δίπλα σε μια υποχρέωση δεν υπάρχει έλεγχος, και χωρίς έλεγχο δεν υπάρχει αποδεικτέα συμμόρφωση.
Η ιδιοκτησία μιας υποχρέωσης είναι περισσότερο από ένα όνομα σε ένα οργανόγραμμα. Σημαίνει ότι ένα άτομο ή μία λειτουργία είναι υπεύθυνη για τρία πράγματα: ότι η υποχρέωση εκτελείται, ότι η απόδειξη αυτού καταγράφεται, και ότι αυτή η απόδειξη είναι εντοπίσιμη τη στιγμή που κάποιος τη ζητήσει. Ένας ιδιοκτήτης που γνωρίζει μόνο ότι μια εργασία του ανήκει, αλλά δεν μπορεί να δείξει τι έχει καταγραφεί από αυτήν, δεν είναι στην πράξη ιδιοκτήτης αλλά απλά ένα όνομα σε μια λίστα.
Αυτή η διάκριση είναι ακριβώς εκεί όπου πολλά εσωτερικά συστήματα ελέγχου αποτυγχάνουν. Η πολιτική καθορίζεται σε επίπεδο διοίκησης, η εκτέλεση πραγματοποιείται σε επίπεδο τμήματος, και η σύνδεση μεταξύ τους σπάνια γίνεται ρητή. Πώς μπορεί να γίνει αυτή η σύνδεση, και γιατί η πολιτική και η πράξη αποκλίνουν χωρίς αυτή τη σύνδεση, περιγράφεται στο πώς αποδεικνύετε ότι η πολιτική είναι επίσης πράξη.
Σε έναν μεμονωμένο οργανισμό, ο ιδιοκτήτης μιας υποχρέωσης είναι συνήθως ακόμα εντοπίσιμος: υπάρχει μία νομική οντότητα, ένα διοικητικό συμβούλιο, ένα σύνολο βιβλίων. Σε έναν όμιλο με πολλές οντότητες αυτό αλλάζει. Μια υποχρέωση που ισχύει σε επίπεδο ομίλου πρέπει να εκτελείται κάπου μέσα στον οργανισμό, και αυτό μπορεί να είναι σε επίπεδο ομίλου, σε επίπεδο μιας θυγατρικής εταιρείας, ή διασκορπισμένο σε πολλές οντότητες που καθεμία παρέχει μέρος της πληροφορίας.
Το ερώτημα ποιος είναι ιδιοκτήτης γίνεται τότε ένα ερώτημα δομής: ποια οντότητα ενοποιεί τα δεδομένα, ποια οντότητα παρέχει τα υποκείμενα δεδομένα, και ποιος είναι υπεύθυνος όταν ένας από αυτούς τους κρίκους λείπει. Αυτό το ερώτημα εμφανίζεται τόσο συχνά και τόσο συγκεκριμένα σε δομές ομίλων ώστε υπάρχει ξεχωριστή επεξεργασία γι' αυτό: ποιος είναι ιδιοκτήτης μιας υποχρέωσης σε έναν όμιλο με πολλές οντότητες εξετάζει πώς κατανέμεται αυτή η ευθύνη και πού πάει στραβά η κατανομή.
Η ιδιοκτησία και τα αποδεικτικά στοιχεία ανήκουν μαζί, αλλά στην πράξη αποχωρίζονται. Ένας ιδιοκτήτης ορίζεται με βάση ένα οργανόγραμμα, ενώ η απόδειξη εκτέλεσης καταγράφεται κάπου αλλού: σε ένα email, σε ένα υπολογιστικό φύλλο σε τοπικό δίσκο, σε ένα σύστημα που χρησιμοποιείται μόνο από μία θυγατρική εταιρεία. Όποιος πρέπει να λογοδοτήσει σε επίπεδο ομίλου, πρέπει πρώτα να εντοπίσει πού βρίσκονται τα αποδεικτικά στοιχεία πριν μπορέσει να δείξει ότι η υποχρέωση έχει εκπληρωθεί.
Αυτό το πρόβλημα δεν είναι περιστασιακό, είναι διαρθρωτικό σε κάθε οργανισμό που αποτελείται από πολλά τμήματα. Ακριβώς εδώ συνεχίζει πού διασκορπίζονται τα αποδεικτικά στοιχεία σε έναν όμιλο με πολλές οντότητες: ποια σημεία σε έναν οργανισμό δημιουργούν αποδεικτικά στοιχεία χωρίς κανείς να τα συγκεντρώνει κεντρικά, και γιατί αυτό γίνεται αντιληπτό μόλις τη στιγμή που ένας ελεγκτής το ζητά.
Δεν μετράει κάθε έγγραφο που παρέχεται ως απόδειξη για έναν ελεγκτή. Ένα έγγραφο πολιτικής αποδεικνύει ότι υπάρχει πρόθεση, όχι ότι αυτή η πρόθεση έχει εκτελεστεί. Τα πρακτικά μιας συνάντησης του διοικητικού συμβουλίου αποδεικνύουν ότι ένα θέμα συζητήθηκε, όχι ότι μια απόφαση εφαρμόστηκε. Η απόδειξη πρέπει να έχει άμεση γραμμή προς την υποχρέωση που πρέπει να τεκμηριώσει: ποιος έκανε τι, πότε, και πώς αυτό καταγράφηκε.
Σε έναν όμιλο με πολλές οντότητες αυτό το ερώτημα γίνεται πιο σύνθετο, επειδή τα αποδεικτικά στοιχεία μπορούν να προκύψουν σε διαφορετικά επίπεδα και όχι κάθε επίπεδο έχει την ίδια αποδεικτική ισχύ. Τι μετράει συγκεκριμένα ως απόδειξη σε αυτή την κατάσταση, και γιατί η απόδειξη μιας οντότητας δεν αποτελεί αυτόματα απόδειξη για την υποχρέωση του ομίλου, αναπτύσσεται στο τι μετράει ως απόδειξη σε μια υποχρέωση σε έναν όμιλο με πολλές οντότητες.
Μια λίστα ιδιοκτητών είναι ένα σημείο εκκίνησης, όχι ένα σύστημα. Για να είναι κανείς αποδεικτέα σε έλεγχο, κάθε υποχρέωση πρέπει να συνδέεται με έναν ιδιοκτήτη, με την απόδειξη που παρέχει αυτός ο ιδιοκτήτης, και με έναν έλεγχο που διαπιστώνει αν αυτή η απόδειξη είναι πλήρης και επίκαιρη. Αυτή η σύνδεση καταγράφεται συχνά σε έναν πίνακα ελέγχων (control matrix), μια επισκόπηση που δείχνει ανά υποχρέωση ποιος είναι υπεύθυνος και πώς αυτό ελέγχεται. Τι σημαίνει ακριβώς ένας πίνακας ελέγχων και γιατί μια λίστα ιδιοκτητών χωρίς αυτόν τον πίνακα δεν αντέχει σε έναν έλεγχο, εξετάζεται στο τι είναι ένας πίνακας ελέγχων.
Εξίσου σημαντικό είναι το ερώτημα πού φυλάσσεται αυτή η απόδειξη, και αν ένας ελεγκτής μπορεί να την εντοπίσει χωρίς τη βοήθεια του οργανισμού. Ένα σύστημα που εξαρτάται από τη γνώση ενός μόνο υπαλλήλου δεν είναι σύστημα αλλά κίνδυνος. Πώς φυλάσσεται η απόδειξη έτσι ώστε να παραμένει εντοπίσιμη, ακόμη και όταν ένας όμιλος αποτελείται από πολλές οντότητες, περιγράφεται στο πώς φυλάσσετε την απόδειξη ώστε ένας ελεγκτής να τη βρίσκει σε έναν όμιλο με πολλές οντότητες.
Η ανάθεση ιδιοκτησίας και η οργάνωση της τεκμηρίωσης είναι δουλειά: η σύνταξη επισκοπήσεων, η συγκέντρωση τεκμηρίωσης, η παρακολούθηση ποιος παρέδωσε τι. Ένα μέρος αυτής της δουλειάς είναι επαναλαμβανόμενο και ακολουθεί ένα σταθερό μοτίβο, γεγονός που το κάνει κατάλληλο για υποστήριξη από AI. Η werkscan της FTE TO AI υπολογίζει ανά εργασία ποιο μέρος αυτής της δουλειάς μπορεί να αναληφθεί, ώστε να γίνεται ορατό πού εξακολουθούν να χρειάζονται άνθρωποι για αξιολόγηση και πού τα συστήματα μπορούν να αναλάβουν τη συγκέντρωση και την οργάνωση της απόδειξης.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.