Une obligation est rarement respectée par un seul service. La politique est rédigée par le service juridique, exécutée par le métier, contrôlée par la finance et parfois réévaluée par une partie externe. Chacune de ces étapes laisse une trace : un document, un e-mail, une approbation, un journal. Cette trace, c'est la preuve. Le problème ne vient pas de l'absence de preuve, mais du fait que personne ne sait précisément où elle se trouve.
La plupart des organisations travaillent avec une combinaison de systèmes qui n'ont pas été conçus à cet effet : un intranet pour la politique, un système RH pour les formations, un système d'achat pour les déclarations de fournisseurs, une boîte mail pour la correspondance avec une autorité de contrôle. Chaque système conserve sa propre partie de l'histoire. Aucun de ces systèmes ne montre l'ensemble. Qui doit démontrer qu'une obligation a été respectée doit donc d'abord déterminer dans quel système se trouve la preuve pertinente, puis vérifier si cette preuve est encore actuelle.
Pour une entité unique, c'est déjà un défi. Pour un groupe comportant plusieurs entités, sites ou pays, le problème s'accroît d'autant. Une obligation confiée au niveau du groupe doit souvent être démontrée localement, et inversement. Ce que cela signifie concrètement est développé dans ce qui compte comme preuve pour une obligation au sein d'un groupe comportant plusieurs entités, qui dépend de la structure du groupe et de l'entité qui soumet quel rapport. La même question sur la dispersion elle-même revient dans où la preuve se disperse au sein d'un groupe comportant plusieurs entités, où la structure du groupe devient elle-même un facteur.
Une preuve qui existe mais qui est introuvable fonctionne, lors d'un contrôle, comme une preuve qui n'existe pas. Un auditeur, une autorité de contrôle ou le conseil d'administration lui-même doit pouvoir vérifier qui était responsable de quoi et où se trouve la justification. Cela exige un emplacement fixe par obligation, et non une recherche à travers les services au moment où la question est posée. La manière dont cette repérabilité est organisée en pratique est décrite dans comment conserver la preuve pour qu'un auditeur la retrouve.
Désigner un responsable par obligation ne résout pas automatiquement le problème de la preuve dispersée, mais le rend visible. Un responsable qui sait qu'il est comptable va rechercher la preuve liée à sa tâche, et découvre alors souvent qu'elle est répartie entre plusieurs systèmes ou collègues. C'est à ce moment que la dispersion devient un problème que l'on peut résoudre, plutôt qu'un problème qui reste inaperçu. Ce que recouvre précisément la notion de responsabilité et pourquoi elle est distincte de qui exécute la tâche est abordé dans qui est responsable d'une obligation.
Un autre point où la preuve se disperse : l'existence d'une politique ne dit rien de sa mise en œuvre. Un document décrivant comment un processus devrait se dérouler ne constitue pas la preuve que le processus se déroule effectivement ainsi. Cela demande un autre type de preuve, à savoir une exécution démontrable : journaux, échantillons, rapports d'écarts. La différence entre ces deux niveaux de preuve, et la manière de les mettre en regard, est expliquée dans comment démontrer que la politique est aussi une pratique.
Pour rendre la preuve dispersée maîtrisable, il faut une vue d'ensemble fixe : par obligation, le responsable, la preuve et le contrôle qui démontre que le processus fonctionne. Sans cette structure, la preuve reste dispersée jusqu'à ce que quelqu'un en ait besoin, et il est alors souvent trop tard pour la rassembler entièrement. La manière dont une telle vue d'ensemble est construite et ce qu'un contrôle y ajoute sont décrits sur ce qu'est une control matrix.
La question de savoir si une organisation est en control ne trouve pas de réponse dans une déclaration, mais dans une preuve repérable au bon moment. Tant que cette preuve reste dispersée entre des services et des systèmes qui conservent chacun leur propre part, cette question ne peut être tranchée avec certitude. Réunir le responsable, la preuve et le contrôle par obligation est l'étape qui le rend possible.
Rassembler cette preuve et la maintenir à jour représente en soi un travail, réparti sur de nombreuses petites tâches : demander des documents, vérifier des versions, mettre à jour des synthèses. Le scan de travail de FTE TO AI calcule, par tâche, quelle part peut être reprise par l'IA, afin de faire apparaître clairement quelle part de ce travail relève de l'automatisation et quelle part requiert encore un contrôle humain.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.