Velvoite, joka on kirjattu paperille, ei ole vielä velvoite, jota on noudatettu. Väliin ‘meillä on käytäntö’ ja ‘osoitamme, että olemme hallinnassa’ jää kerros, joka jää usein huomiotta: todiste. Ja kaikki asiakirjat, jotka löytyvät jostakin, eivät laske todisteeksi.
Käytäntöasiakirja kuvaa aikomuksen. Se kertoo, mitä organisaatio haluaa tehdä, ei mitä on tosiasiassa tapahtunut. Auditoija tai valvoja ei kysy käytännöstä, vaan sen tuloksesta: on riskiarviointi todella tehty, on hyväksyntä kirjattu, on poikkeama ilmoitettu sillä hetkellä kun se ilmeni. Se, miten tämä siirtymä käytännöstä käytäntöön osoitetaan todistettavasti, riippuu velvoitteen tyypistä ja siitä, miten prosessi on järjestetty; miten osoitatte, että käytäntö on myös käytäntöä käsittelee tätä eroa tarkemmin.
Todiste on jälki, joka tallentaa toimenpiteen, päätöksen tai tarkastuksen sillä hetkellä kun se tapahtui, päivämäärän, nimen ja tuloksen kanssa. Sähköposti, jossa riski on ilmoitettu. Pöytäkirjan rivi, jossa hallitus on tehnyt harkinnan. Lokitiedosto, joka osoittaa, että tarkastus on todella suoritettu, ei vain että se oli suunniteltu. Toimittajan allekirjoitettu selvitys. Yhteinen piirre: jälkikäteen voidaan jäljittää, kuka teki mitä ja milloin, kenenkään tarvitsemattaa selittää sitä uudelleen.
Se, lasketaanko jokin todisteeksi, riippuu vahvasti velvoitteesta, jota se koskee. Raportointivelvoite vaatii toisenlaisen jäljen kuin huolellisuusvelvoite, ja huolellisuusvelvoite vaatii jälleen toisenlaisen kuin ilmoitusvelvoite. Ei ole olemassa kiinteää listaa, joka antaisi saman vastauksen jokaiselle velvoitteelle; se, mikä lasketaan, seuraa velvoitteen omasta luonteesta ja siitä, mitä valvoja on siitä kirjannut.
Käytännössä todiste syntyy harvoin yhdessä paikassa. Riskiarviointi on taulukkolaskentatiedostossa ensimmäisellä linjalla. Hyväksyntä on sähköpostikeskustelussa esimiehen kanssa. Lopullinen tarkastus on kolmannen osapuolen järjestelmässä. Kun velvoite täytyy osoittaa toteen, jonkun täytyy etsiä nämä kolme jälkeä taas yhteen — ja se ei aina onnistu. Kun organisaatio kasvaa, sillä on enemmän osastoja tai se työskentelee useampien ulkoisten osapuolten kanssa, kasvaa riski, että todiste on paikassa, jota kukaan ei enää tunne. missä todiste hajaantuu kuvaa yleisimmät kuviot tässä: siirrot osastojen välillä, järjestelmän vaihdokset ja prosessit, jotka on ulkoistettu kolmannelle osapuolelle.
Todiste, jota ei löydä kukaan muu kuin sen tekijä, ei toimi todisteena. Auditoijan, uuden vaatimustenmukaisuudesta vastaavan henkilön tai valvojan täytyy pystyä seuraamaan jälkeä, ilman että alkuperäinen laatija istuu vierellä selittämässä sitä. Tämä asettaa vaatimuksia sille, missä todiste säilytetään ja miten se on merkitty: liitettynä velvoitteeseen, jota se koskee, päivämäärän ja vastuuhenkilön kanssa, paikassa, joka ei ole riippuvainen yhdestä henkilöstä, joka sattuu vielä olemaan palveluksessa. miten säilytätte todisteen niin, että auditoija löytää sen käsittelee tätä järjestelyä.
Jokainen todiste kuuluu velvoitteeseen, ja jokainen velvoite kuuluu henkilölle, joka pystyy selittämään, miksi todiste riittää. Ilman tätä yhteyttä syntyy arkisto asiakirjoista, joista kukaan ei enää tiedä, mitä velvoitetta niiden piti osoittaa toteen tai kuka oli vastuussa niiden laadusta. kuka on velvoitteen omistaja kuvaa, miksi tämä vastuunjako ei ole muodollisuus, vaan linkki, joka tekee todisteesta käyttökelpoisen sillä hetkellä kun sitä kysytään.
Neljän elementin — velvoite, omistaja, todiste, kontrolli — kuuluu olla yhdessä yleiskatsauksessa, ei hajallaan osastojen ja järjestelmien välillä. Tällä yleiskatsauksella on nimi: control matrix. Mitä tämä matriisi täsmälleen sisältää ja miten se rakennetaan, kuvataan sivulla mikä control matrix on. Ryhmässä, jossa on useita yksiköitä tai toimipaikkoja eri maissa, tämä kysymys muuttuu monimutkaisemmaksi, koska todiste ei ole automaattisesti pätevä yhdellä tasolla toisella tasolla; mikä lasketaan todisteeksi velvoitteesta ryhmässä, jossa on useita yksiköitä käsittelee tätä tilannetta erikseen.
Tämä sivu kuvaa, mikä todiste on ja missä se menee pieleen, ei sitä, mikä todiste riittää nimenomaan teidän organisaatiollenne. Se riippuu velvoitteesta, toimialasta ja maasta, jossa yksikkö on sijoittunut — ja tavasta, jolla kansalliset lainsäätäjät ovat toteuttaneet eurooppalaisen säännön. csrdcompliance.net osoittaa tämän eron, mutta ei korvaa oikeudellista neuvontaa eikä anna takuuta lopputuloksesta valvojan kanssa.
Todisteen kartoittaminen ja kuntoon saattaminen vaatii työtä: jälkien kerääminen, liittäminen velvoitteeseen, merkitseminen niin, että toinen löytää ne. Osa tästä työstä on toistettavaa ja seuraa kiinteää kuviota, minkä ansiosta se soveltuu (osittain) automatisoitavaksi. FTE TO AI:n työscan laskee tehtäväkohtaisesti, minkä osan tästä työstä AI voi ottaa hoitaakseen, jotta selviää, missä ihmisiä tarvitaan edelleen arviointiin ja missä todisteen keräämistä ja järjestämistä voidaan tukea. csrdcompliance.net:n Compliance Check on rakenteilla; ken haluaa saada tästä tiedon, voi ilmoittautua jonotuslistalle.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.