Hallitus, joka sanoo olevansa in control, esittää väitteen. Valvoja, tilintarkastaja tai auditoija kysyy näyttöä tämän väitteen tueksi. Tämä näyttö ei koostu vain aikomuksesta tai politiikkadokumentista. Se koostuu ketjusta: mikä velvoite on voimassa, kuka siitä vastaa, mikä näyttö osoittaa, että velvoitetta noudatetaan, ja mikä kontrolli tarkistaa, että tämä näyttö pysyy pätevänä. Jos yksi lenkki puuttuu, väite kaatuu.
Kysymys "olemmeko in control" on siis oikeastaan neljä kysymystä. Tiedämmekö, mitkä velvoitteet koskevat meitä. Tietääkö joku olevansa niistä vastuussa. Onko olemassa näyttöä, joka osoittaa, että velvoitetta noudatetaan. Ja onko olemassa kontrolli, joka testaa tämän näytön säännöllisesti. Hallitus, jolla on vastaus kaikkiin näihin neljään kysymykseen, voi näyttää dossierin. Hallitus, jolla on vastaus vain ensimmäiseen kysymykseen, on lista — ja lista ei ole osoitettavuutta.
Monilla organisaatioilla on käytössään sääntelyn yleiskatsaus. Usein puuttuu kytkentä velvoitekohtaisesti: kuka on omistaja, mikä on näyttö, mikä kontrolli on olemassa. Ilman tätä kytkentää lista jää irrallisten pisteiden kokoelmaksi. Kenen tulisi olla velvoitteen omistaja ei ole tässä muodollisuus; ilman nimettyä omistajaa velvoite katoaa osastojen väliin, ja kukaan ei huomaa sitä ennen kuin näyttöä pyydetään.
Toinen syy, miksi listat eivät riitä: politiikka ja käytäntö eroavat toisistaan. Organisaatiolla voi olla kirjattu menettely, jota ei kuitenkaan noudateta. Mikä on ero politiikan ja käytännön välillä koskettaa sitä, mitä kontrolli oikeastaan testaa: ei sitä, onko dokumentti olemassa, vaan sitä, vastaako käytäntö dokumentin kuvausta. Assurance-prosessi kysyy jälkimmäistä, ei ensimmäistä.
Compliance Check kartoittaa, mitkä velvoitteet ovat voimassa, ja kytkee jokaiseen velvoitteeseen omistajan, näytön muodon ja kontrollin. Tulos ei ole neuvo eikä arvio siitä, miten hyvin organisaatio suoriutuu. Se on rakenne: rekisteri, josta näkee velvoitekohtaisesti, kuka vastaa mistä ja millä tavalla se voidaan osoittaa. Tämä rakenne on se, mitä hallitus tarvitsee näyttääkseen, kun sitä kysytään, jotain konkreettista sen sijaan, että antaisi vakuutuksen.
Mitä Compliance Check ei tee: se ei kerro, noudatetaanko velvoitetta tosiasiassa. Se jää organisaation ja tarvittaessa tilintarkastajan tai assurance-tarjoajan tehtäväksi. Check järjestää ja tekee näkyväksi, mistä näyttö ja kontrolli puuttuvat; se ei itse toimita tätä näyttöä. Se, joka etsii lausuntoa noudattamisen laadusta, ei löydä siitä arviota. Se, joka etsii rakennetta, jolla tehdä tämä noudattaminen itse osoitettavaksi, löytää.
Tämä lähestymistapa ei korvaa oikeudellista neuvontaa siitä, mikä kynnysarvo, määräaika tai artikla on täsmällisesti sovellettavissa. Nämä yksityiskohdat vaihtelevat, eroavat tilanteen mukaan ja riippuvat sääntelyn täsmällisestä sanamuodosta sellaisena kuin se on voimassa milloin tahansa. Tätä ajantasaista tekstiä ja täsmällisiä ehtoja varten tämä sivu ohjaa itse lähteeseen, ei tiivistelmään, joka voi vanhentua.
Toinen raja: sääntely ei ole pysyvää. Velvoiterekisteri, joka on tänään ajan tasalla, voi olla ensi vuonna puutteellinen. Kuinka usein velvoiterekisteri muuttuu ei ole siis sivuseikka vaan osa itse osoitettavuutta: rekisteri, jolla ei ole ylläpitorytmiä, on hetkellinen tilannekuva, ei todiste jatkuvasta kontrollista.
Kolmas raja koskee erityisesti eurooppalaista kontekstia. Samaa eurooppalaista säädöstä sovelletaan eri jäsenvaltioissa eri tavoin: eri kynnysarvot, eri määräajat, eri valvojat. Organisaatio, joka tuntee vain eurooppalaisen tekstin mutta ei kansallista täsmennystä, jättää osan velvoitteesta huomiotta. Miten kansalliset täsmennykset pidetään ajan tasalla ilman tilausviidakkoa kuvaa, miksi tätä seikkaa aliarvioidaan useammin kuin odotettaisiin, ja miksi juuri tämä kansallinen kerros yllättää hallitusten jäsenet.
Kun tilintarkastaja tai assurance-tarjoaja antaa lausunnon raportointivelvoitteiden noudattamisesta, hän ei kysy aikomusta vaan dossieria: alkuperäisasiakirjoja, aihekohtaisesti kirjattua omistajaa ja kontrollimekanismia, joka osoittaa, että prosessi on toistettavissa, ei kertaluonteinen. Mitä assurance-lausunto vaatii dossieriltanne kuvaa näitä vaatimuksia konkreettisemmin. Hallitus, joka valmistautuu tähän, tekee viisaasti rakentaessaan dossierin ennen kuin kysymys esitetään, ei sen jälkeen.
Tämä toimintatapa määrittää, mitä on tehtävä ja kuka sen tekee. Se ei kerro, kuinka paljon aikaa se vaatii, tai mikä osa työstä pysyy manuaalisena ja mikä osa on automatisoitavissa. Se, joka pohtii, kuinka paljon kapasiteettia velvoiterekisteri, näytön kerääminen ja kontrollien ylläpito rakenteellisesti vaativat, ja mikä osa niistä on siirrettävissä AI:lle, löytää siihen FTE TO AI:n työskannauksen: se laskee tehtäväkohtaisesti, mikä osa työstä soveltuu tähän, irrallaan kysymyksestä, mitkä velvoitteet täsmälleen ovat voimassa.
Compliance Check on rakenteilla. Se, joka haluaa käyttää tulosta sen valmistuttua, voi ilmoittautua odotuslistalle.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.