Una obligación solo queda demostrada cuando existe algo que otro puede verificar sin tener que preguntárselo a usted. Esa es la esencia de la demostrabilidad: no lo que usted sabe que ha sucedido, sino lo que un auditor, un supervisor o un nuevo responsable de cumplimiento puede encontrar sin que usted tenga que explicarlo. Muchas empresas descubren durante una auditoría que la prueba sí existe, pero no es localizable.
Una prueba no es lo mismo que una política. Un documento de política dice cuál es la intención; una prueba demuestra que esa intención también se ha ejecutado. Piense en una decisión aprobada con fecha y nombre de quien la aprobó, un intercambio de correos electrónicos del que se desprende una valoración, un registro de un control que efectivamente se ha ejecutado, o un informe que coincide con los datos subyacentes. Qué cuenta exactamente como prueba suficiente varía según la obligación, y qué cuenta como prueba de una obligación en un grupo con varias entidades muestra cómo esa pregunta se agudiza en cuanto entran en juego varios centros o filiales. El hilo común es que la distinción entre política y práctica suele subestimarse: un documento que se ve bien no es prueba de que alguien también haya actuado conforme a él. Cómo hacer visible esa diferencia se explica en cómo demuestra que la política también es práctica.
La prueba no suele generarse en el lugar donde finalmente se necesita. Una evaluación de riesgo la elabora un equipo operativo, una aprobación se produce en un correo electrónico, un control se registra en una hoja de cálculo que solo existe en un disco local. Para cuando un auditor pide que se demuestre que se ha cumplido una obligación, alguien tiene que volver a localizar esa prueba. En una sola entidad ya resulta complicado; en un grupo con varios centros, países o filiales se convierte en toda una búsqueda. Cada entidad puede tener su propio archivo, su propio sistema, su propia forma de registrar. Dónde falla exactamente esto y por qué no es solo una cuestión de disciplina se describe en dónde se dispersa la prueba en un grupo con varias entidades. Para las estructuras de grupo específicamente existe un desarrollo de esta misma pregunta, aplicado a esa situación: cómo conserva la prueba para que un auditor la encuentre en un grupo.
La localizabilidad empieza por la titularidad. Una prueba que no tiene titular en ningún sitio no se mantiene en ningún sitio y, por tanto, tampoco se conserva en un lugar donde alguien pueda encontrarla. Para cada obligación hay alguien que, en última instancia, puede explicar qué se hizo y por qué; quién es esa persona no siempre resulta evidente dentro de una organización con varios departamentos o entidades. Cómo se determina esa titularidad y por qué no corresponde automáticamente al departamento de cumplimiento se explica en quién es el titular de una obligación. Una vez que esa titularidad está clara, la siguiente pregunta no es otro documento más, sino una estructura que vincule obligación, titular y prueba entre sí. Esa estructura suele llamarse matriz de controles, y qué resuelve esa matriz y qué no se explica en qué es una matriz de controles.
El reflejo ante la demostrabilidad suele ser: registrar más, archivar más, crear más carpetas. Eso no resuelve el problema. Un auditor que tiene que revisar tres sistemas para comprobar una sola obligación no lo percibe como estar en control, aunque la prueba exista efectivamente. La cuestión no es cuánta prueba hay, sino si es rastreable: de la obligación al titular, a la prueba, al control que demuestra que ha ocurrido. Sin esa rastreabilidad, la prueba sigue dispersa, aunque sobre el papel esté completa.
Esto se agrava cuanto más grande y compleja es una organización. Las transposiciones nacionales de una misma norma europea difieren según el país, con plazos distintos, instancias distintas y expectativas distintas sobre qué cuenta como prueba. Lo que en un país es suficiente no lo es automáticamente en otro. Eso hace que una estructura central y rastreable para las pruebas no sea una cuestión de orden, sino una condición para mantener la visión de conjunto de lo que realmente se ha registrado por país, por entidad y por obligación.
Registrar, mantener y hacer localizable la prueba es en sí mismo una forma de trabajo: ordenar documentos, establecer referencias, comprobar que un expediente está completo antes de que un auditor lo solicite. Parte de ese trabajo es repetitivo y sigue un patrón fijo por obligación. Quien quiera saber qué parte de ese trabajo puede asumir la IA y qué parte sigue dependiendo del criterio humano puede calcularlo con el escáner de trabajo de FTE TO AI, que indica por tarea cuánto margen hay para la automatización.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.