En una empresa individual, la pregunta de quién es responsable de qué suele responderse rápidamente. En un grupo con varias entidades —matriz, filiales, quizás una joint venture o una entidad en otro país— esa evidencia desaparece. Una obligación puede haberse establecido a nivel de grupo, pero la ejecución recae en una filial a la que nunca se le ha encomendado explícitamente. O al contrario: cada entidad piensa que otra entidad se encarga de ello.
Un organigrama muestra quién reporta a quién. No muestra quién es responsable de aportar los datos, quién debe traducir la política a una práctica local, y quién puede demostrar que eso ha ocurrido. Esos tres aspectos pueden recaer en tres personas o departamentos distintos, incluso dentro de una sola entidad. Con varias entidades, ese problema se multiplica: la misma obligación puede recaer en el director financiero en el país A y en un responsable operativo en el país B, sin que nadie a nivel de grupo haya registrado esa diferencia.
A esto se suma que algunas obligaciones no se aplican de forma uniforme. Lo que un grupo debe demostrar en base a una normativa europea puede variar por país en cuanto la legislación nacional endurezca o interprete de otra manera esa norma. Quien quiera saber qué requisitos nacionales adicionales se aplican en Alemania o qué requisitos nacionales adicionales se aplican en Francia, comprueba entonces que la titularidad no es solo una cuestión organizativa, sino también jurídica: la obligación en sí puede diferir por entidad.
La titularidad solo es demostrable cuando está registrada, no cuando se presupone. Esto significa: un nombre o función vinculado a una obligación específica, una descripción de lo que esa persona o departamento debe entregar, y un rastro que demuestre que esto efectivamente ha ocurrido. Sin ese rastro, la pregunta "¿quién es titular de esto?" no puede responderse con un documento durante una auditoría, sino solo con una suposición que nadie puede verificar.
La cuestión de qué cuenta realmente como prueba —un documento de política, una aprobación, un conjunto de datos, un informe— está desarrollada en la página que describe qué cuenta como prueba en una obligación. Para un grupo con varias entidades se aplica además un requisito adicional: la prueba debe poder rastrearse hasta la entidad donde la obligación realmente se aplica, no solo hasta el grupo en su conjunto.
En una empresa individual, la prueba suele encontrarse en un número limitado de lugares. En un grupo, se dispersa entre administraciones separadas, sistemas de TI distintos, asesores locales y equipos que no se comunican entre sí. Una filial en otro país puede conservar pruebas en un idioma y sistema que la matriz no consulta. Quien deba demostrar a nivel de grupo que se ha cumplido una obligación, debe saber no solo que la prueba existe, sino también dónde se encuentra exactamente y quién tiene acceso a ella.
Esta fragmentación es uno de los riesgos más subestimados en los grupos con varias entidades, y se desarrolla más en la página sobre dónde se dispersa la prueba. Sin una visión centralizada de dónde se encuentra cada prueba, existe un riesgo real de que una obligación esté asignada sobre el papel, pero no pueda fundamentarse en la práctica en el momento en que sea necesario.
Un grupo puede establecer una política clara a nivel central y aun así no verla reflejada en la práctica de cada entidad. Una filial puede no conocer la política, interpretarla incorrectamente, o seguir un método de trabajo distinto por razones locales. La diferencia entre una política establecida y una política aplicada es precisamente donde se hace visible la titularidad: quién es responsable de señalar esa brecha, y quién debe poder demostrar que dicha brecha no existe o ha sido cerrada.
Cómo funciona esa demostrabilidad dentro de una estructura de grupo se encuentra en la página que explica cómo demuestra que la política también es práctica en un grupo con varias entidades. La respuesta depende en gran medida de cómo esté organizado el grupo y de qué obligaciones se aplican en qué nivel.
Una forma de reunir titularidad, prueba y control es una matriz en la que se registra, por obligación, quién es el titular, qué prueba se espera y qué control recae sobre ella. No es un instrumento jurídico ni una garantía de que todo esté cubierto; es una estructura que hace visible dónde reside la responsabilidad y dónde queda todavía un vacío. Lo que implica dicha matriz en un grupo con varias entidades está descrito en la página sobre qué es una matriz de control en un grupo con varias entidades.
Asignar la titularidad y reunir pruebas no es solo una cuestión organizativa, también es trabajo: alguien debe reunir datos, revisar documentos, llevar el control de versiones y elaborar informes, una y otra vez, por entidad. Quien quiera tener una visión de qué parte de estas tareas recurrentes puede asumir la IA y qué parte sigue siendo trabajo humano, puede calcularlo con el escáner de trabajo de FTE TO AI.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.