Un auditor que verifica la demostrabilidad hace una pregunta sencilla: dónde está la prueba de que esta obligación se ha cumplido, y quién puede mostrarla. En una sola entidad, esto suele ser todavía manejable. En un grupo con varias sucursales, filiales u organizaciones nacionales, las pruebas quedan dispersas entre sistemas, carpetas y personas que no se conocen entre sí. Eso no es necesariamente una señal de mala política. A menudo es solo una señal de que nadie ha determinado dónde deben estar las pruebas, y quién es responsable de que sigan estando ahí.
La prueba no es el documento de política en sí. Un auditor pregunta qué demuestra que la política también se ha aplicado: una decisión, una aprobación, un informe, un registro de desviaciones, un correo electrónico en el que un responsable ha constatado algo. Lo que cuenta exactamente varía según la obligación y el momento del proceso. En qué cuenta como prueba en una obligación se explica qué formas de prueba corresponden a qué tipo de obligación, y por qué una declaración de intenciones sin aplicación normalmente no basta.
En un grupo con varias entidades, la dispersión surge en una serie de lugares previsibles. Cada entidad puede llevar su propia administración, en su propio sistema, con su propia nomenclatura de documentos. Un director local puede haber tomado una decisión que no se ha registrado en ningún lugar central. Una empresa matriz puede asumir que una filial ha regulado algo, sin haberlo comprobado nunca. Y una sucursal nacional puede estar sujeta a normas adicionales que el grupo en su conjunto no conoce, por lo que la prueba correspondiente no se recopila en absoluto. Lo que es obligatorio en un país no tiene por qué serlo en otro, y a la inversa: ejemplos de ello se encuentran en qué encabezados nacionales se aplican en Alemania y qué encabezados nacionales se aplican en Francia. Quien solo mira la norma europea se pierde la parte añadida a nivel local, y por lo tanto también la prueba correspondiente.
La prueba que no se asigna a nadie generalmente no se mantiene, o se pierde en cuanto alguien cambia de función. Por eso, la localizabilidad no empieza por un sistema de archivo, sino por la pregunta de quién es el titular de cada obligación: quién se asegura de que la prueba se genere, quién la conserva, y quién puede mostrarla cuando se le pide. En un grupo con varias entidades, esto rara vez es una única función para toda la organización. Cómo puede verse esa distribución, y por qué un único coordinador a nivel de grupo normalmente no es suficiente, se explica en quién es el titular de una obligación en un grupo con varias entidades.
Un auditor que busca pruebas no solo mira si una obligación está redactada en la política, sino si esa política también se ha seguido. Un grupo puede tener un excelente documento de política sobre evaluación de proveedores, mientras que en la práctica solo una parte de las entidades ha aplicado alguna vez esa política. La diferencia entre esas dos capas, y cómo hacer visible esa diferencia en lugar de dejarla oculta, se explica en cómo demuestra que la política también es práctica en un grupo con varias entidades. Una prueba que solo consiste en textos de política es insuficiente para un auditor, sin importar con cuánto cuidado se haya redactado la política.
Para que las pruebas sean localizables en varias entidades, ayuda determinar por cada obligación: quién es el titular, qué prueba se espera, y qué control demuestra que el proceso es repetible y no depende de una sola persona. Estos tres elementos juntos forman un panorama que un consejo puede consultar sin tener que preguntar antes a cada entidad. Qué implica una matriz de este tipo, y cómo puede diferir por entidad sin perder la coherencia, se explica en qué es una matriz de control en un grupo con varias entidades.
El Compliance Check identifica qué obligaciones se aplican al grupo, quién es el titular de cada una, qué prueba corresponde y qué control demuestra que el proceso está establecido. Esto no sustituye una auditoría, ni garantiza que un auditor quede satisfecho con lo que se presenta. Es una estructura que hace que un consejo sepa dónde debería estar la prueba, antes de que alguien pregunte por ella.
La herramienta está en construcción. Quien desee utilizarla en cuanto esté disponible puede inscribirse en la lista de espera.
Registrar y mantener pruebas es también trabajo en sí mismo: recopilar documentos, comprobar versiones, mantener actualizados los resúmenes en varias entidades. Parte de ese trabajo es lo bastante repetible como para apoyarse en la IA. El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo es apta para ello, de modo que quede claro dónde se dedica tiempo a buscar pruebas, y dónde a evaluarlas realmente.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.