Kohustus, mis on kirjas paberil, ei ole veel kohustus, mida on täidetud. ‘Meil on kehtestatud poliitika’ ja ‘me näitame, et me juhime riski’ vahele jääb kiht, mis sageli jäetakse vahele: tõend. Ja mitte iga dokument, mis kuskil leidub, ei loe tõendiks.
Poliitikadokument kirjeldab kavatsust. See ütleb, mida organisatsioon soovib teha, mitte mida on tegelikult juhtunud. Audiitor või järelevalveasutus ei küsi poliitika kohta, vaid selle tulemuse kohta: on riskihinnang tegelikult tehtud, on heakskiit dokumenteeritud, on erandist teavitatud hetkel, mil see ilmnes. Kuidas see samm poliitikast praktikasse tõendatavaks tehakse, sõltub kohustuse tüübist ja sellest, kuidas protsess on korraldatud; kuidas tõendada, et poliitika on ka praktika käsitleb seda erinevust.
Tõend on jälg, mis fikseerib toimingu, otsuse või kontrolli hetkel, mil see aset leidis, koos kuupäeva, nime ja tulemusega. E-kiri, milles riskist on teavitatud. Koosoleku protokolli rida, milles juhatus on kaalutluse teinud. Logifail, mis näitab, et kontroll on tegelikult läbi viidud, mitte üksnes kavandatud. Tarnija allkirjastatud kinnitus. Ühine tunnus: tagantjärele on võimalik rekonstrueerida, kes mida millal tegi, ilma et keegi peaks selle uuesti ümber jutustama.
Kas midagi loetakse tõendiks, sõltub suuresti kohustusest, millega see seondub. Aruandluskohustus eeldab teistsugust jälge kui hoolsuskohustus, ja hoolsuskohustus eeldab jällegi midagi teistsugust kui teavitamiskohustus. Puudub kindel nimekiri, mis annaks igale kohustusele sama vastuse; mis loeb, tuleneb kohustuse olemusest ja sellest, mida järelevalveasutus selle kohta on fikseerinud.
Praktikas tekib tõend harva ühes kohas. Riskihinnang seisab tabelis esimeses liinis. Heakskiit seisab e-kirjavahetuses juhiga. Lõplik kontroll seisab kolmanda osapoole süsteemis. Kui kohustust on vaja tõendada, peab keegi need kolm jälge taas kokku otsima — ja see ei õnnestu alati. Mida suuremaks organisatsioon kasvab, mida rohkem osakondi tal on või mida rohkem väliste osapooltega ta koostööd tegema, seda suurem on tõenäosus, et tõend asub kohas, mida enam mitte keegi ei tunne. kus tõend killustub kirjeldab kõige sagedamini esinevaid mustreid: üleandmised osakondade vahel, süsteemide vahetused ning protsessid, mis on delegeeritud välisele osapoolele.
Tõend, mida ei suuda leida keegi muu kui selle koostaja, ei toimi tõendina. Audiitor, uus vastavusspetsialist või järelevalveasutus peab suutma jälge järgida, ilma et algne koostaja peaks kõrval istudes seda selgitama. See eeldab nõudeid tõendi säilituskoha ja märgistamise kohta: seotud kohustusega, millega see seondub, koos kuupäeva ja vastutava isikuga, kohas, mis ei sõltu ühest inimesest, kes juhuslikult veel tööl on. kuidas säilitada tõendit, et audiitor selle leiab käsitleb seda korraldust.
Iga tõend kuulub kohustuse juurde, ja iga kohustus kuulub inimese juurde, kes suudab selgitada, miks tõend on piisav. Selle seose puudumisel tekib arhiiv dokumentidest, mille kohta ei tea enam keegi, millist kohustust need pidid tõendama või kes vastutas nende kvaliteedi eest. kes on kohustuse omanik kirjeldab, miks see määramine ei ole formaalsus, vaid lüli, mis muudab tõendi kasutatavaks hetkel, mil selle kohta küsitakse.
Neli elementi — kohustus, omanik, tõend, kontroll — peaksid koos olema ühes ülevaates, mitte laiali osakondade ja süsteemide vahel. Sellel ülevaatel on nimi: control matrix. Mida see maatriks täpselt sisaldab ja kuidas see koostatakse, on kirjeldatud lehel mis on control matrix. Kontserni puhul, millel on mitu üksust või asukohta erinevates riikides, muutub see küsimus keerukamaks, kuna tõend, mis kehtib ühel tasandil, ei kehti automaatselt teisel; mis loeb tõendina kohustuse puhul kontsernis, millel on mitu üksust käsitleb seda olukorda konkreetselt.
See leht kirjeldab, mis on tõend ja kus see kõige sagedamini viltu läheb, mitte seda, milline tõend on teie organisatsiooni jaoks konkreetselt piisav. See sõltub kohustusest, sektorist ja riigist, kus üksus on registreeritud — ning sellest, kuidas riiklikud seadusandjad on Euroopa reeglit rakendanud. csrdcompliance.net juhib sellele erinevusele tähelepanu, kuid ei asenda õigusabi ega annab garantiid järelevalveasutuse otsuse tulemuse kohta.
Tõendi kaardistamine ja korrastamine nõuab tööd: jälgede kogumine, kohustusega seostamine, märgistamine, et teine isik need taas leiaks. Osa sellest tööst on korduv ja järgib kindlat mustrit, mistõttu sobib see (osaliselt) automatiseerimiseks. FTE TO AI töövoo-skaneering arvutab iga ülesande kohta välja, kui suure osa sellest töömahust saab AI üle võtta, mistõttu saab selgeks, kus on inimeste hinnang endiselt vajalik ja kus tõendi kogumist ja korraldamist saab toetada. csrdcompliance.net Compliance Check on veel ehitusjärgus; kes soovib selle kohta teavitust saada, saab registreeruda ootenimekirja.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.