Hallitus voi hyväksyä politiikka-asiakirjan ja samalla olla tietämättä, sovelletaanko sitä politiikkaa myös käytännössä. Se ei ole poikkeus, se on normaali tilanne organisaatiossa, jossa politiikka kirjoitetaan keskitetysti ja toteutetaan hajautetusti. Kysymys, jonka auditoija esittää, ei ole "onko teillä politiikkaa", vaan "voitteko osoittaa, että tämä politiikka toimii". Se on erilainen kysymys, ja se vaatii erilaisen vastauksen.
Politiikka on aikomus. Se kuvaa, mitä organisaatio haluaa tehdä: miten se toimii toimittajien, datan, riskien kanssa. Toiminta on se, mitä todella tapahtuu työn arjessa, järjestelmässä, viime kuussa tehdyssä päätöksessä. Näiden kahden välillä voi olla ero, jota kukaan ei ole huomannut, yksinkertaisesti koska kukaan ei ole systemaattisesti tarkistanut, että politiikkaa on myös toteutettu tarkoitetulla tavalla.
Osoitettavuus kuroo tämän eron umpeen. Se ei ole politiikka itsessään, vaan jälki, joka osoittaa, että politiikkaa on sovellettu: päätös, hyväksyntä, poikkeama, joka on havaittu ja jonka jatkotoimenpiteet on tehty. Ilman tätä jälkeä politiikka on aikomuksen ilmaus, ei toteutuksen.
Ei jokainen aiheeseen liittyvä asiakirja ole todiste siitä, että velvoitetta on noudatettu. Prosessikuvaus osoittaa, miten jonkin pitäisi toimia, ei sitä, että se on niin toiminut. Todiste, joka kestää tarkastelun, on yleensä konkreettisempi: hyväksyntä päivämäärineen ja nimineen, järjestelmäloki, poikkeamaraportti, jossa on kuvattu tehty jatkotoimenpide. Mikä kelpaa todisteeksi velvoitteen kohdalla, käsiteltynä useamman yhteisön muodostamalle ryhmälle osoittaa, minkä tason yksityiskohtaisuus tarvitaan, jotta velvoite tulee osoitettavaksi, ja minkä taso jää riittämättömäksi.
Tämä ero on tärkeämpi kuin se ensin näyttää. Organisaatio, jolle politiikka-asiakirjat ja koulutusyhteenvedot riittävät, on yleensä keräänyt enemmän paperia kuin todisteita. Kysymys ei ole siitä, kuinka paljon dokumentaatiota on, vaan siitä, osoittaako tämä dokumentaatio, että jokin tietty toimenpide on tehty tiettynä hetkenä tietyn henkilön toimesta.
Yksittäisessä yhteisössä, jonka organisaatio on selkeä, todiste löytyy yleensä muutamasta paikasta. Ryhmässä, joka koostuu useammasta yhteisöstä, maasta tai osastosta, tilanne on toinen. Politiikka vahvistetaan keskitetysti, mutta toteutus tapahtuu tytäryhtiöissä, joilla on omat järjestelmänsä, omat vastuuhenkilönsä ja omat tallennustapansa. Todiste siitä, että politiikka toimii, syntyy siis kymmenissä paikoissa samanaikaisesti, ilman keskitettyä yleiskuvaa siitä, missä tämä todiste tarkalleen sijaitsee.
Mistä todiste hajaantuu useamman yhteisön muodostamassa ryhmässä kuvaa, miten tämä hajaantuminen syntyy ja miksi se paljastuu usein vasta sillä hetkellä, kun joku todella tarvitsee todistetta. Tämä hetki on tavallisesti auditointi, due diligence, tai valvontaviranomaisen kysymys, ja se on juuri se hetki, jolloin kiire ja epävarmuus ovat haitallisimpia.
Todiste, joka on olemassa mutta ei löydy, ei käytännössä toimi todisteena. Auditoija, jonka on odotettava kolme viikkoa vastausta, joka oli jo olemassa jossain muualla, tekee siitä päätelmän sisäisen valvonnan laadusta, riippumatta siitä, oliko taustalla oleva politiikka sisällöltään kunnossa. Osoitettavuus vaatii siis todisteen lisäksi rakenteen, jossa todiste tulee esiin kohtuullisessa ajassa.
Miten säilytätte todisteen niin, että auditoija löytää sen, käsiteltynä useamman yhteisön muodostamalle ryhmälle käsittelee tätä löydettävyyttä: minne todiste tallennetaan, kenellä on siihen pääsy, ja miten estetään, että yksinkertaisen kysymyksen vastauksesta tulee viikkojen etsintä. Siihen liittyy myös selkeä omistajuuden osoittaminen: kuka on velvoitteen omistaja useamman yhteisön muodostamassa ryhmässä määrittää nimittäin, ei vain sitä, kuka vastaa toteutuksesta, vaan myös sitä, keneen voidaan vedota sillä hetkellä, kun todistetta pyydetään.
Jotta politiikka ja käytäntö saadaan kohtaamaan, on jokaisen velvoitteen kohdalla oltava selvää, kuka on omistaja, mikä kelpaa todisteeksi, ja mikä kontrolli osoittaa, että todiste tarkistetaan säännöllisesti. Nämä kolme osatekijää muodostavat yhdessä control matrixin: yleiskuvan, joka yhdistää velvoitteen, omistajan ja todisteen, jotta hallituksen ei tarvitse rekonstruoida kysymys kerrallaan, kuka oli vastuussa mistä. Sama rakenne, käsiteltynä erityisesti ryhmärakenteen monimutkaisuutta silmällä pitäen, on kuvattu artikkelissa miten osoitatte, että politiikka on myös käytäntöä useamman yhteisön muodostamassa ryhmässä.
csrdcompliance.net:n Compliance Check on rakenteilla. Tavoitteena on yleiskuva, jossa jokaisen velvoitteen kohdalla on kirjattu omistaja, todiste ja siihen liittyvä kontrolli, jotta hallitus voi osoittaa olevansa hallinnassa sen sijaan, että sen täytyisi väittää sitä. Kuka tahansa, joka haluaa käyttää tätä sen valmistuttua, voi ilmoittautua odotuslistalle.
Omistajuuden ja todisteen kartoittaminen on asian yksi puoli, kaikkien näiden tarkistusten ja kirjausten toteuttaminen on toinen. Kuka tahansa, joka pohtii, kuinka suuri osa tästä toteuttavasta työstä todella tarvitsee jäädä ihmisten tehtäväksi, voi tutustua FTE TO AI:n työscanniin: se laskee tehtävä kerrallaan, kuinka suuri osa työstä on siirrettävissä tekoälylle, ja mikä osa vaatii ihmiselle jäävää arviointia.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.