Un consejo puede aprobar un documento de política y al mismo tiempo no saber si esa política también se aplica. Eso no es una excepción, es el estado normal de las cosas en una organización donde la política se redacta de forma centralizada y se ejecuta de forma descentralizada. La pregunta que plantea un auditor no es "¿tiene usted una política?", sino "¿puede demostrar que esta política funciona?". Es un tipo de pregunta distinto, y requiere un tipo de respuesta distinto.
La política es una intención. Describe lo que una organización quiere hacer: cómo se relaciona con proveedores, con datos, con riesgos. El funcionamiento es lo que realmente ocurre en el trabajo diario, en un sistema, en una decisión tomada el mes pasado. Entre esas dos cosas puede haber una diferencia que nadie ha notado, simplemente porque nadie ha comprobado sistemáticamente si la política también se ha ejecutado como estaba previsto.
La demostrabilidad salva esa diferencia. No es la política en sí, sino el rastro que demuestra que la política se ha aplicado: una decisión, una aprobación, una desviación que se ha señalado y a la que se ha dado seguimiento. Sin ese rastro, la política es una declaración de intenciones, no de ejecución.
No todo documento que trata sobre un tema es prueba de que se ha cumplido la obligación. Una descripción de proceso muestra cómo debería funcionar algo, no que haya funcionado así. La prueba que resiste el escrutinio suele ser más concreta: una aprobación con fecha y nombre, un registro de sistema, un informe de desviación con el siguiente paso tomado. Qué cuenta como prueba en una obligación, desarrollado para un grupo con varias entidades muestra qué nivel de detalle es necesario para hacer demostrable una obligación, y qué nivel resulta insuficiente.
Esa distinción es más importante de lo que parece. Una organización que se conforma con documentos de política y resúmenes de formación suele tener más papel que prueba. La pregunta no es cuánta documentación hay, sino si esa documentación demuestra que una acción específica se realizó en un momento específico por una persona específica.
En una única entidad con una organización manejable, la prueba suele encontrarse en un número limitado de lugares. En un grupo con varias entidades, países o departamentos surge un panorama distinto. La política se establece de forma centralizada, pero la ejecución tiene lugar en filiales que tienen sus propios sistemas, sus propios responsables y sus propias formas de registro. La prueba de que la política funciona surge, así, en decenas de lugares a la vez, sin que exista una visión centralizada de dónde se encuentra exactamente esa prueba.
Dónde se dispersa la prueba en un grupo con varias entidades describe cómo se produce esa fragmentación y por qué a menudo solo se hace visible en el momento en que alguien realmente necesita la prueba. Ese momento suele ser una auditoría, una due diligence o una pregunta de un supervisor, y es precisamente el momento en que la prisa y la incertidumbre resultan más perjudiciales.
Una prueba que existe pero no se puede encontrar no funciona en la práctica como prueba. Un auditor que debe esperar tres semanas una respuesta que ya estaba disponible en otro lugar extrae de ello una conclusión sobre la calidad del control interno, independientemente de si la política subyacente era correcta en cuanto al contenido. La demostrabilidad no exige solo prueba, sino una estructura en la que esa prueba salga a la luz en un plazo razonable.
Cómo conserva la prueba para que un auditor la encuentre, desarrollado para un grupo con varias entidades profundiza en esa localizabilidad: dónde se registra la prueba, quién tiene acceso a ella y cómo se evita que la respuesta a una pregunta sencilla se convierta en una búsqueda de semanas. A esto se suma también una asignación clara de la propiedad: quién es el propietario de una obligación en un grupo con varias entidades determina no solo quién es responsable de la ejecución, sino también a quién se puede dirigir la pregunta en el momento en que se solicita la prueba.
Para reconciliar política y práctica, debe quedar claro, por cada obligación, quién es el propietario, qué cuenta como prueba y qué control demuestra que la prueba se verifica periódicamente. Esos tres elementos juntos forman una matriz de control: un resumen que vincula obligación, propietario y prueba, de modo que un consejo no tenga que reconstruir, pregunta por pregunta, quién era responsable de qué. La misma estructura, desarrollada específicamente para la complejidad de una estructura de grupo, se describe en cómo demuestra que la política también es práctica en un grupo con varias entidades.
El Compliance Check de csrdcompliance.net está en construcción. El objetivo es un resumen en el que, por cada obligación, se registren el propietario, la prueba y el control correspondiente, de modo que un consejo pueda demostrar que tiene el control en lugar de tener que afirmarlo. Quien desee utilizarlo en cuanto esté disponible puede inscribirse en la lista de espera.
Mapear la propiedad y la prueba es una parte del asunto; ejecutar todos esos controles y registros es la otra. Quien se pregunte cuánto de ese trabajo ejecutivo debe seguir siendo realmente trabajo humano puede recurrir al escáner de trabajo de FTE TO AI: este calcula, por tarea, qué parte del trabajo puede asumir la IA y qué parte requiere un juicio que sigue correspondiendo a una persona.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.