Juhatus võib heaks kiita poliitikadokumendi ja samal ajal mitte teada, kas seda poliitikat ka rakendatakse. See ei ole erand, see on tavapärane olukord organisatsioonis, kus poliitika kirjutatakse kesksel tasandil ja rakendatakse detsentraliseeritult. Küsimus, mille audiitor esitab, ei ole "kas teil on poliitika olemas", vaid "kas te saate näidata, et see poliitika töötab". See on teistsugune küsimus ja see nõuab teistsugust vastust.
Poliitika on kavatsus. See kirjeldab, mida organisatsioon soovib teha: kuidas ta suhtub tarnijatesse, andmetesse, riskidesse. Toimimine on see, mis tegelikult toimub töö juures, süsteemis, otsuses, mis tehti eelmisel kuul. Nende kahe vahel võib olla erinevus, mida keegi ei ole märganud, lihtsalt sellepärast, et keegi ei ole süstemaatiliselt kontrollinud, kas poliitikat rakendati kavatsetud viisil.
Tõendatavus ületab selle erinevuse. See ei ole poliitika ise, vaid jälg, mis tõendab, et poliitikat rakendati: otsus, kinnitus, kõrvalekalle, mis on tuvastatud ja millele on reageeritud. Ilma selle jäljetuseta on poliitika kavatsuse avaldus, mitte rakendamise avaldus.
Mitte igasugune dokument, mis puudutab teemat, ei ole tõend, et kohustust on täidetud. Protsessikirjeldus näitab, kuidas midagi peaks toimima, mitte et see nii on toiminud. Tõend, mis peab vastu, on tavaliselt konkreetsem: kinnitus dateeringu ja nimega, süsteemilogi, kõrvalekaldearuanne koos võetud järelmeetmega. Mis loetakse tõendiks kohustuse puhul, lahti kirjutatud mitme üksusega grupi jaoks näitab, millist detailsuse tasandit on vaja, et muuta kohustus tõendatavaks, ja millisest tasandist jääb väheks.
See vahetegemine on olulisem, kui esmapilgul näib. Organisatsioonil, mis piirdub poliitikadokumentide ja koolitusülevaadetega, on tavaliselt rohkem paberit kui tõendeid. Küsimus ei ole selles, kui palju dokumentatsiooni on, vaid kas see dokumentatsioon tõendab, et konkreetne tegevus toimus konkreetsel hetkel konkreetse isiku poolt.
Üksikus üksuses selge organisatsiooniga on tõend enamasti leitav piiratud arvul kohtadel. Mitme üksuse, riigi või osakonnaga grupis tekib teistsugune pilt. Poliitika kehtestatakse kesksel tasandil, kuid rakendamine toimub tütarettevõtetes, kellel on omad süsteemid, omad vastutajad ja omad talletamise viisid. Tõend selle kohta, et poliitika töötab, tekib seega kümnetes kohtades korraga, ilma et oleks kesksed ülevaadet, kus see tõend täpselt asub.
Kus tõend mitme üksusega grupis hajub kirjeldab, kuidas see killustumine tekib ja miks see avaldub tavaliselt just hetkel, mil keegi tõendit tegelikult vajab. See hetk on enamasti audit, due diligence või järelevalveasutuse küsimus, ja see on täpselt see hetk, mil kiirustamine ja ebakindlus on kõige kahjulikumad.
Tõend, mis on olemas, kuid mida ei leia, ei toimi praktikas tõendina. Audiitor, kes peab kolm nädalat ootama vastust, mis oli mujal juba olemas, tuletab sellest järelduse sisekontrolli kvaliteedi kohta, sõltumata küsimusest, kas aluseks olev poliitika oli sisuliselt korras. Tõendatavus eeldab seega mitte üksnes tõendit, vaid struktuuri, milles see tõend mõistliku aja jooksul välja tuleb.
Kuidas tõendit säilitada, et audiitor selle leiaks, lahti kirjutatud mitme üksusega grupi jaoks käsitleb seda leitavust: kus tõend talletatakse, kellel on sellele juurdepääs ja kuidas vältida, et lihtsale küsimusele vastamine muutub nädalaid kestvaks otsimiseks. Sellega kaasneb ka selge omanikuvastutuse jaotus: kes on kohustuse omanik mitme üksusega grupis määrab nimelt kindlaks mitte üksnes rakendamise eest vastutaja, vaid ka isiku, kelle poole pöörduda, kui tõendit küsitakse.
Poliitika ja praktika kokku toomiseks peab iga kohustuse puhul olema selge, kes on omanik, mida loetakse tõendiks ja milline kontroll tõendab, et tõendit kontrollitakse regulaarselt. Need kolm elementi koos moodustavad kontrollmaatriksi: ülevaate, mis seob kohustuse, omaniku ja tõendi, nii et juhatus ei peaks igal küsimusel taastama, kes mille eest vastutas. Sama struktuur, konkreetselt lahti kirjutatud grupistruktuuri keerukuse jaoks, on kirjeldatud kuidas tõendada, et poliitika on ka praktika mitme üksusega grupis.
csrdcompliance.net'i vastavuskontroll on ehitamisel. Eesmärk on ülevaade, kus iga kohustuse puhul on kirjas omanik, tõend ja sellega seotud kontroll, nii et juhatus saab tõendada, et ta on olukorra üle kontroll, selle asemel et seda pelgalt väita. Kes soovib seda kasutada niipea, kui see on saadaval, saab registreeruda ootenimekirja.
Omanikuvastutuse ja tõendite kaardistamine on üks osa asjast, kõigi nende kontrollide ja talletuste tegemine on teine. Kes küsib endalt, kui palju sellest täitvast töö tuleb tegelikult jätta inimeste kätte, võib pöörduda FTE TO AI töö-skaneeringu poole: see arvutab iga ülesande puhul välja, kui suure osa töö saab AI üle võtta ja kui suur osa vajab hindamist, mis jääb inimese pärusmaale.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.