Rara vez se cumple una obligación desde un único departamento. Las políticas las redacta el área jurídica, las ejecuta el negocio, las controla finanzas y en ocasiones las vuelve a evaluar una parte externa. Cada uno de esos pasos deja un rastro: un documento, un correo, una aprobación, un registro. Ese rastro es la evidencia. El problema no surge porque no exista evidencia, sino porque nadie sabe exactamente dónde se encuentra.
La mayoría de las organizaciones trabajan con una combinación de sistemas que no fueron construidos para este fin: una intranet para las políticas, un sistema de RR. HH. para las formaciones, un sistema de compras para las declaraciones de proveedores, un buzón de correo para la correspondencia con un supervisor. Cada sistema guarda su propia parte de la historia. Ninguno de esos sistemas muestra el conjunto. Quien debe demostrar que se ha cumplido una obligación tiene primero que averiguar en qué sistema se encuentra la evidencia relevante, y después si esa evidencia sigue siendo actual.
En una entidad única esto ya representa un reto. En un grupo con varias entidades, sedes o países, el problema crece en la misma medida. Una obligación asignada a nivel de grupo a menudo debe demostrarse a nivel local, y viceversa. Lo que esto significa en concreto para qué cuenta como evidencia de una obligación dentro de un grupo con varias entidades depende de cómo esté estructurado el grupo y de qué entidad presenta qué informe. La misma cuestión sobre la dispersión en sí vuelve a aparecer en dónde se dispersa la evidencia en un grupo con varias entidades, donde la estructura del propio grupo se convierte en un factor.
La evidencia que existe pero no se puede encontrar funciona, en una auditoría, como evidencia que no existe. Un auditor, un supervisor o el propio consejo de administración debe poder verificar quién era responsable de qué y dónde se encuentra la justificación. Eso requiere un lugar fijo por obligación, no una búsqueda por los departamentos en el momento en que se plantea la pregunta. La manera en que esa localización se organiza en la práctica se describe en cómo conservar la evidencia para que un auditor la encuentre.
Designar a un responsable por obligación no resuelve automáticamente el problema de la evidencia dispersa, pero sí lo hace visible. Un responsable que sabe que es el encargado busca la evidencia correspondiente a su tarea, y a menudo descubre entonces que está repartida entre varios sistemas o compañeros. Ese es el momento en que la dispersión se convierte en un problema que se puede resolver, en lugar de un problema que pasa desapercibido. Lo que implica exactamente la titularidad, y por qué es independiente de quién ejecuta la tarea, se explica en quién es el responsable de una obligación.
Otro punto en el que la evidencia se fragmenta: la existencia de una política no dice nada sobre su ejecución. Un documento que describe cómo debería desarrollarse un proceso no es evidencia de que el proceso se desarrolle realmente así. Eso requiere otro tipo de evidencia, concretamente la ejecución demostrable: registros, muestreos, informes de desviaciones. La diferencia entre estas dos capas de evidencia, y cómo compararlas entre sí, se explica en cómo demostrar que la política también es práctica.
Para que la evidencia dispersa resulte gestionable, se necesita un panorama fijo: por cada obligación, el responsable, la evidencia y el control que demuestra que el proceso funciona. Sin esa estructura, la evidencia permanece dispersa hasta que alguien la necesita, y entonces a menudo ya es tarde para recopilarla por completo. Cómo se construye ese panorama y qué aporta un control dentro de él se describe en qué es una matriz de control.
La pregunta de si una organización tiene el control no se responde con una declaración, sino con evidencia que se puede encontrar en el momento adecuado. Mientras esa evidencia permanezca dispersa entre departamentos y sistemas que cada uno guarda su propia parte, esa pregunta no se puede responder con certeza. Reunir al responsable, la evidencia y el control por cada obligación es el paso que sí lo hace posible.
Recopilar y mantener actualizada esa evidencia es en sí mismo también trabajo, repartido en muchas tareas pequeñas: solicitar documentos, comprobar versiones, actualizar panoramas. El escáner de trabajo de FTE TO AI calcula, por cada tarea, qué parte de ella puede asumir la IA, de modo que quede claro qué parte de este trabajo puede automatizarse y qué parte sigue requiriendo evaluación humana.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.