Un auditeur qui contrôle la démonstrabilité pose une question simple : où se trouve la preuve que cette obligation a été respectée, et qui peut la montrer. Pour une seule entité, cela reste souvent gérable. Pour un groupe avec plusieurs établissements, filiales ou organisations nationales, les preuves se retrouvent dispersées entre systèmes, dossiers et personnes qui ne se connaissent pas entre elles. Ce n'est pas nécessairement le signe d'une mauvaise politique. C'est souvent simplement le signe que personne n'a défini où la preuve doit se trouver, ni qui est responsable de veiller à ce qu'elle y reste.
La preuve n'est pas le document de politique lui-même. Un auditeur demande ce qui démontre que la politique a également été appliquée : une décision, une approbation, un rapport, un journal d'écarts, un e-mail dans lequel un responsable a constaté quelque chose. Ce qui compte précisément varie selon l'obligation et selon le moment du processus. Sur ce qui compte comme preuve pour une obligation, vous trouverez le détail des formes de preuve associées à chaque type d'obligation, et pourquoi une déclaration d'intention sans application ne suffit généralement pas.
Dans un groupe comptant plusieurs entités, la dispersion se produit à un certain nombre d'endroits prévisibles. Chaque entité peut tenir sa propre administration, dans son propre système, avec sa propre nomenclature de documents. Un directeur local peut avoir pris une décision qui n'a été consignée nulle part de manière centralisée. Une société mère peut supposer qu'une filiale a réglé quelque chose, sans jamais l'avoir vérifié. Et un établissement national peut être soumis à des règles supplémentaires que le groupe dans son ensemble ne connaît pas, si bien que la preuve correspondante n'est pas collectée du tout. Ce qui est obligatoire dans un pays ne l'est pas nécessairement ailleurs, et inversement : des exemples figurent sur quelles clauses nationales s'appliquent en Allemagne et quelles clauses nationales s'appliquent en France. Celui qui ne regarde que la règle européenne manque la partie ajoutée localement, et donc aussi la preuve qui en découle.
Une preuve dont personne n'est désigné responsable n'est généralement pas tenue à jour, ou se perd dès qu'une personne change de fonction. La traçabilité ne commence donc pas par un système d'archivage, mais par la question de savoir qui est le responsable de chaque obligation : qui veille à ce que la preuve soit créée, qui la conserve, et qui peut la présenter si on la demande. Dans un groupe avec plusieurs entités, il ne s'agit rarement d'une seule fonction pour l'ensemble de l'organisation. La manière dont cette répartition peut se présenter, et pourquoi un seul coordinateur au niveau du groupe ne suffit généralement pas, est expliquée sur qui est responsable d'une obligation dans un groupe avec plusieurs entités.
Un auditeur qui recherche des preuves ne vérifie pas seulement si une obligation a été consignée dans une politique, mais si cette politique a également été suivie. Un groupe peut disposer d'un excellent document de politique sur l'évaluation des fournisseurs, alors que dans la pratique, seule une partie des entités a jamais appliqué cette politique. La différence entre ces deux niveaux, et la manière de la rendre visible plutôt que de la laisser cachée, est détaillée sur comment démontrer que la politique est aussi appliquée dans la pratique au sein d'un groupe avec plusieurs entités. Une preuve qui ne consiste qu'en des textes de politique est insuffisante pour un auditeur, quelle que soit la minutie avec laquelle la politique a été rédigée.
Pour rendre la preuve traçable entre plusieurs entités, il est utile de consigner, pour chaque obligation : qui en est le responsable, quelle preuve est attendue, et quel contrôle démontre que le processus est reproductible et ne dépend pas d'une seule personne. Ces trois éléments réunis forment un aperçu qu'un conseil d'administration peut consulter sans devoir d'abord interroger chaque entité. Ce que recouvre une telle matrice, et comment elle peut varier selon l'entité sans perdre sa cohérence, est expliqué sur ce qu'est une matrice de contrôle dans un groupe avec plusieurs entités.
Le Compliance Check cartographie les obligations applicables au groupe, qui en est responsable, quelle preuve leur correspond et quel contrôle démontre que le processus est en place. Il ne s'agit pas d'un substitut à un audit, ni d'une garantie qu'un auditeur sera satisfait de ce qui est présenté. C'est une structure qui permet à un conseil d'administration de savoir où la preuve devrait se trouver, avant que quelqu'un ne la demande.
L'outil est en cours de développement. Toute personne souhaitant l'utiliser dès qu'il sera disponible peut s'inscrire sur la liste d'attente.
Consigner et tenir à jour les preuves représente également un travail en soi : rassembler des documents, vérifier des versions, maintenir des aperçus à jour sur plusieurs entités. Une partie de ce travail est suffisamment répétitive pour être soutenue par l'IA. Le scan de travail de FTE TO AI calcule, par tâche, quelle part du travail s'y prête, afin de clarifier où le temps est consacré à la recherche de preuves, et où il est consacré à leur évaluation effective.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.