Un documento de política describe lo que una organización quiere. Un control describe lo que realmente sucede. Entre ambos hay un espacio, y en ese espacio habitan las preguntas que un auditor, un supervisor o un nuevo directivo formula en primer lugar. No: ¿tiene usted una política? Sino: ¿puede demostrar que esa política también es la práctica?
Un documento de política puede ser completo, actual y estar bien redactado, y sin embargo no decir nada sobre lo que ocurre en el terreno. La política es una promesa. La práctica es lo que se ha cumplido. La diferencia radica en quién ejecuta la política, cómo se hace y qué queda registrado de ello. Sin esos tres elementos, un documento de política es una declaración de intenciones, no una prueba.
Esa distinción es precisamente sobre lo que se construye un registro de obligaciones. No: qué norma aplica, sino: quién es responsable del cumplimiento, qué prueba existe de ello y qué control demuestra que el proceso es repetible. Sin un responsable, una obligación queda solo en el papel. Quién debería ser el responsable de una obligación no es, por tanto, una cuestión administrativa, sino la pregunta que marca la diferencia entre política y práctica.
Una prueba no es el documento de política en sí. Una prueba es el rastro que deja la ejecución de esa política: un formulario aprobado, un registro de log, un correo electrónico con una decisión, un informe entregado en una fecha fija. La prueba solo existe si se registró en el momento en que ocurrió, no si se reconstruyó a posteriori.
Aquí es donde muchas organizaciones tropiezan. La política existe, la intención es sincera, pero la prueba es fragmentaria o solo existe después de que se ha solicitado. Un proceso de assurance expone esa diferencia sin piedad. Lo que exige exactamente una declaración de assurance de un expediente es, por tanto, una cuestión aparte: qué exige una declaración de assurance de su expediente muestra que el nivel exigido es más alto que una colección de documentos en una carpeta.
El Compliance Check hace visible dónde se separan la política y la práctica. Esa visibilidad no es lo mismo que la solución. El método señala qué obligación no tiene responsable, qué control falta y qué prueba todavía no existe. No ejecuta el control ni redacta la política. Ofrece una estructura con la que una organización puede determinar por sí misma dónde la práctica se queda por detrás de la promesa, y eso es un logro distinto al de cerrar esa brecha.
Tampoco es una fotografía que se mantenga válida para siempre. Las obligaciones cambian, los responsables cambian de función, y lo que hoy cuenta como prueba puede ser insuficiente mañana. Con qué frecuencia necesita realmente ajustarse un registro de obligaciones es una pregunta que muchas organizaciones subestiman: con qué frecuencia cambia un registro de obligaciones describe por qué esto no es un ejercicio único.
La diferencia entre política y práctica se agranda cuanto más partes intervienen en la ejecución, y esto se aplica especialmente a organizaciones con sedes en varios países. Una norma europea recibe una interpretación propia en cada país, y la política redactada a nivel de sede central no se ajusta automáticamente a lo que se registra localmente. La práctica en una sede puede diferir notablemente de la práctica en otra, aunque el documento de política sea idéntico en ambos casos.
Eso convierte el mantenimiento de esas capas nacionales en una tarea recurrente en lugar de una comprobación única. Cómo hacerlo sin caer en una maraña de suscripciones sueltas y herramientas locales se describe en cómo mantener las capas nacionales sin una jungla de suscripciones.
Un informe describe un estado en un momento dado. Sin embargo, la diferencia entre política y práctica cambia constantemente, y una fotografía queda obsoleta en cuanto se produce el primer cambio. Por eso un compliance check como método pretende algo distinto a un informe: se trata de un registro vivo en el que la titularidad, la prueba y el control permanecen conectados de forma continua, en lugar de un documento que queda desactualizado justo después de entregarse.
El coste de no saber a qué está sujeta una organización suele hacerse visible solo en el momento en que un supervisor, un banco o un gran cliente pide demostrabilidad y esta resulta no existir. Lo que puede significar quedarse sin respuesta en ese momento se explica en qué cuesta no saber a qué está sujeto.
Determinar la diferencia entre política y práctica genera de forma natural una pregunta de seguimiento: quién en la organización tiene realmente el tiempo para recopilar esa prueba, mantenerla al día y revisarla en cuanto cambia una obligación. Esa es una cuestión de capacidad, y es independiente de si la organización sabe qué debe hacerse. FTE TO AI trabaja a partir de esa pregunta de seguimiento con un escaneo de trabajo que calcula, por tarea, qué parte del trabajo puede asumir la IA, de modo que quede claro dónde las personas disponen de tiempo para el trabajo que un ordenador no puede hacer: evaluar, decidir y rendir cuentas.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.