Velvoite on osoitettu vasta, kun on olemassa jotain, jonka joku muu voi tarkistaa kysymättä sitä teiltä. Se on aantoonbaarheid'in ydin: ei se, mitä te tiedätte tapahtuneen, vaan se, mitä auditoija, valvoja tai uusi compliance officer voi löytää ilman, että teidän tarvitsee sitä selittää. Moni yritys huomaa vasta auditoinnin aikana, että todiste kyllä on olemassa, mutta sitä ei löydy.
Todiste ei ole sama asia kuin toimintaperiaate. Toimintaperiaatedokumentti kertoo, mikä on tarkoitus; todiste osoittaa, että kyseinen tarkoitus on myös toteutettu. Ajatelkaa hyväksyttyä päätöstä, jossa on päivämäärä ja hyväksyjän nimi, sähköpostikirjeenvaihtoa, josta käy ilmi punnittu harkinta, valvontalokia todellisuudessa suoritetusta tarkastuksesta, tai raporttia, joka vastaa taustalla olevaa dataa. Se, mikä täsmälleen lasketaan riittäväksi todisteeksi, vaihtelee velvoitteen mukaan, ja mikä lasketaan todisteeksi velvoitteessa useasta yksiköstä koostuvassa konsernissa osoittaa, miten tämä kysymys terävöityy heti, kun mukaan tulee useampia toimipaikkoja tai tytäryhtiöitä. Punainen lanka on aina sama: toimintaperiaatteen ja käytännön ero aliarvioidaan usein. Dokumentti, joka näyttää hyvältä, ei ole todiste siitä, että joku on myös toiminut sen mukaisesti. Miten tämä ero tehdään näkyväksi, on käsitelty sivulla miten osoitatte, että toimintaperiaate on myös käytäntöä.
Todiste ei useimmiten synny paikassa, jossa sitä lopulta tarvitaan. Riskiarvion tekee operatiivinen tiimi, hyväksyntä tapahtuu sähköpostissa, tarkastus kirjataan taulukkolaskentaan, joka on tallennettu vain paikalliselle levylle. Siihen mennessä, kun auditoija pyytää osoittamaan, että velvoite on täytetty, jonkun on jäljitettävä tämä todiste uudelleen. Yhdellä yksiköllä tämä on jo hankalaa; konsernissa, jossa on useita toimipaikkoja, maita tai tytäryhtiöitä, siitä tulee kokonainen etsintä. Jokaisella yksiköllä voi olla oma arkistonsa, oma järjestelmänsä, oma tapansa kirjata asioita. Missä tämä täsmälleen menee vikaan ja miksi se ei ole vain kurinalaisuuskysymys, on kuvattu sivulla missä todiste hajaantuu useasta yksiköstä koostuvassa konsernissa. Konsernirakenteita varten on erikseen laadittu tämän sivun kysymyksen käsittely juuri siihen tilanteeseen kohdistettuna: miten säilytätte todisteet niin, että auditoija löytää ne konsernissa.
Löydettävyys alkaa omistajuudesta. Todisteella, jolla ei ole missään omistajaa, ei pidetä kirjaa missään, eikä sitä siksi säilytetä paikassa, josta joku voisi sen löytää. Jokaisella velvoitteella on joku, joka pystyy lopulta selittämään, mitä on tehty ja miksi; kuka se on, ei ole aina itsestäänselvää organisaatiossa, jossa on useita osastoja tai yksiköitä. Miten tämä omistajuus määritellään ja miksi se ei automaattisesti kuulu compliance-osastolle, on kerrottu sivulla kuka on velvoitteen omistaja. Kun omistajuus on selvä, seuraava kysymys ei ole vielä yksi dokumentti lisää, vaan rakenne, joka yhdistää velvoitteen, omistajan ja todisteen toisiinsa. Tätä rakennetta kutsutaan tavallisesti control matrixiksi, ja se, mitä tämä matriisi ratkaisee ja mitä ei, on selvitetty sivulla mikä control matrix on.
Aantoonbaarheid'in kohdalla reaktio on usein: kirjatkaa enemmän, arkistoikaa enemmän, luokaa enemmän kansioita. Se ei ratkaise ongelmaa. Auditoija, jonka on käytävä läpi kolme järjestelmää tarkistaakseen yhden velvoitteen, ei koe sitä hallinnassa olemisena, vaikka todiste todellisuudessa olisikin olemassa. Kysymys ei ole siitä, kuinka paljon todistetta on, vaan siitä, onko se jäljitettävissä: velvoitteesta omistajaan, omistajasta todisteeseen, todisteesta tarkastukseen, joka osoittaa, että asia on tapahtunut. Ilman tätä jäljitettävyyttä todiste jää hajautettuna, vaikka se paperilla olisikin täydellinen.
Tämä pätee sitä vahvemmin, mitä suurempi ja monimutkaisempi organisaatio on. Saman eurooppalaisen säännön kansalliset toteutukset poikkeavat toisistaan maittain: eri määräajat, eri viranomaiset, eri odotukset siitä, mikä lasketaan todisteeksi. Se, mikä on riittävää yhdessä maassa, ei automaattisesti riitä toisessa. Tämä tekee keskitetystä, jäljitettävästä todisteiden rakenteesta paitsi siisteyskysymyksen myös edellytyksen sille, että pysytte kartalla siitä, mitä maittain, yksiköittäin ja velvoitteittain todellisuudessa on kirjattu.
Todisteiden kirjaaminen, ylläpito ja löydettäväksi tekeminen on itsessään työtä: dokumenttien järjestäminen, viittausten luominen, sen tarkistaminen, että dossier on täydellinen ennen kuin auditoija kysyy sitä. Osa tästä työstä on toistuvaa ja seuraa kiinteää kaavaa velvoitteittain. Kuka haluaa tietää, mikä osa tästä työstä voidaan siirtää AI:lle ja mikä osa jää riippuvaiseksi inhimillisestä arviosta, voi laskea sen FTE TO AI:n werkscanilla, joka osoittaa tehtäväkohtaisesti, kuinka paljon tilaa automatisoinnille on.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.