Un grupo con múltiples entidades rara vez tiene un único lugar donde converge la evidencia de cumplimiento. Una filial mantiene sus políticas en un sistema de calidad local, otra en una unidad compartida, una tercera en la cabeza de un empleado que lleva años elaborando el mismo informe. Mientras nadie lo pregunte, eso funciona. En el momento en que un auditor, un supervisor o el propio consejo quiere ver de qué consiste una obligación y cómo se cumple, resulta que la evidencia está fragmentada, desactualizada o solo es transmisible verbalmente.
Un documento de política no es evidencia de cumplimiento. Es una intención. La evidencia es lo que demuestra que esa intención también se ha ejecutado: un procedimiento firmado, un registro de controles realizados, un correo electrónico en el que se notificó y se dio seguimiento a una desviación, un informe que coincide con los datos subyacentes. En un grupo con múltiples entidades, la pregunta no es solo qué es evidencia, sino también dónde debe estar y quién es responsable de ella. Sin esa respuesta, el azar determina quién puede encontrar la evidencia, y eso no es una base para que un consejo declare que la organización tiene el control.
La evidencia se dispersa siguiendo las líneas por las que el propio grupo está dividido: por entidad, por país, por función. Una empresa matriz puede establecer una política a nivel de grupo, mientras que cada filial la ejecuta y documenta a su propia manera, o no la documenta en absoluto porque a nivel local nadie sabe que es obligatoria. A eso se añade la capa nacional. La misma obligación europea puede haberse implementado de forma distinta en cada país, con plazos propios, autoridades competentes propias o requisitos adicionales propios. Lo que en un país se considera evidencia suficiente, no lo es necesariamente en otro. Quien solo mira la norma común del grupo se pierde que qué requisitos nacionales adicionales aplican en Alemania es una pregunta distinta de qué requisitos nacionales adicionales aplican en Francia, y que, por lo tanto, la evidencia también debe construirse y conservarse de manera distinta por país.
También en el plano funcional la evidencia se dispersa. El departamento jurídico guarda los contratos, finanzas guarda los informes, RR. HH. guarda los registros de formación, y ninguno de los tres tiene la visión completa. En una fusión, adquisición o reorganización, ese problema se agrava: la evidencia que estaba en una entidad no se traslada automáticamente cuando cambia la responsabilidad.
La pregunta de quién debe poder encontrar la evidencia está ligada a la pregunta de quién es el propietario de una obligación. En un grupo con múltiples entidades, ese propietario no es automáticamente la persona más cercana al tema; puede ser la empresa matriz, un director local, o una función designada a nivel de grupo. Sin una respuesta establecida a quién es propietario de una obligación en un grupo con múltiples entidades, surge una situación en la que todos suponen que otro gestiona la evidencia, hasta el momento en que se solicita y nadie puede presentarla.
Un auditor que solicita evidencia no tiene en cuenta la estructura organizativa interna del grupo. Pide la evidencia correspondiente a la obligación, no al departamento donde por casualidad esté almacenada. Esto significa que la manera en que se conserva la evidencia debe ser independiente del lugar donde por casualidad se originó. Cómo funciona esto en la práctica, y qué decisiones conlleva, se describe en cómo conservar la evidencia para que un auditor la encuentre en un grupo con múltiples entidades.
Una segunda forma de fragmentación surge cuando la política y la práctica se separan sin que nadie lo note. Un documento de política a nivel de grupo puede aplicarse plenamente en una entidad y existir solo sobre papel en otra. Esa diferencia solo se hace visible si existe una manera sistemática de comprobar que lo acordado también se ha ejecutado. Demostrarlo es un paso independiente, distinto del establecimiento de la política en sí, y se explica en cómo demostrar que la política también es práctica en un grupo con múltiples entidades.
Para evitar que cada entidad desarrolle su propia versión de la evidencia y la responsabilidad, a menudo se trabaja con un panorama en el que las obligaciones, los propietarios y la evidencia se reúnen. Ese panorama se conoce en la práctica como una control matrix, y su estructura determina si un grupo puede demostrar más adelante lo que se ha hecho o solo relatar lo que se pretendía. Los principios de esa matriz, y por qué adopta una forma distinta en un grupo con múltiples entidades respecto a una única empresa, se describen en qué es una control matrix en un grupo con múltiples entidades.
El Compliance Check reúne estos elementos: qué obligaciones aplican, quién es el propietario, qué cuenta como evidencia y qué control corresponde a cada una. No como sustituto de la propia normativa, sino como la capa que hace visible si un consejo puede demostrar que tiene el control, incluso cuando la evidencia está dispersa entre múltiples entidades y países.
Reunir la evidencia dispersa es, en gran medida, un trabajo reconocible y repetible: comprobar dónde está un documento, verificar si está actualizado, vincularlo a la obligación y al propietario correctos. Ese es precisamente el tipo de tarea para el cual el escáner de trabajo de FTE TO AI calcula qué parte puede ser asumida por la IA, de modo que quede claro cuánto de la recopilación y organización de la evidencia sigue siendo trabajo manual y cuánto puede entregarse de forma automatizada.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.