Un document de politique décrit ce qu'une organisation souhaite. Un contrôle décrit ce qui se passe réellement. Entre les deux, il existe un espace, et c'est dans cet espace que se logent les questions qu'un auditeur, un régulateur ou un nouveau dirigeant pose en premier lieu. Pas : avez-vous une politique ? Mais : pouvez-vous démontrer que cette politique correspond aussi à la pratique ?
Un document de politique peut être complet, actuel et bien rédigé, et pourtant ne rien dire de ce qui se passe sur le terrain. La politique est une promesse. La pratique est ce qui a été tenu. La différence réside dans la question de savoir qui exécute la politique, comment cela se fait, et ce qui en a été consigné. Sans ces trois éléments, un document de politique est une déclaration d'intention, pas une pièce probante.
Cette distinction est précisément le fondement d'un registre des obligations. Pas : quelle règle s'applique, mais : qui est propriétaire de la conformité, quelle preuve en existe, et quel contrôle démontre que le processus est reproductible. Sans propriétaire, une obligation reste sur papier. Savoir qui devrait être propriétaire d'une obligation n'est donc pas une question administrative, mais la question qui fait la différence entre politique et pratique.
Une preuve n'est pas le document de politique lui-même. Une preuve est la trace que laisse l'exécution de cette politique : un formulaire approuvé, une donnée de journalisation, un e-mail contenant une décision, un rapport livré à une date fixe. Une preuve n'existe que si elle a été consignée au moment où l'événement s'est produit, et non reconstituée après coup.
C'est là que de nombreuses organisations trébuchent. La politique existe, l'intention est sincère, mais la preuve est fragmentaire ou n'existe qu'après qu'on l'ait demandée. Une mission d'assurance met ce décalage à nu sans concession. Ce qu'une déclaration d'assurance exige exactement d'un dossier est donc une question à part : ce qu'une déclaration d'assurance exige de votre dossier montre que la barre est plus haute qu'une simple collection de documents dans un classeur.
Le Compliance Check rend visible là où politique et pratique divergent. Cette visibilité n'équivaut pas à la solution. La méthode indique quelle obligation n'a pas de propriétaire, quel contrôle manque et quelle preuve n'existe pas encore. Elle n'exécute pas le contrôle et elle ne rédige pas la politique. Elle fournit une structure permettant à une organisation de constater elle-même où la pratique reste en retard sur la promesse, et c'est une prestation différente de celle consistant à combler cet écart.
Ce n'est pas non plus une photographie instantanée qui reste valable dans le temps. Les obligations changent, les propriétaires changent de fonction, et ce qui vaut comme preuve aujourd'hui peut s'avérer insuffisant demain. La fréquence à laquelle un registre des obligations a réellement besoin d'être ajusté est une question que beaucoup d'organisations sous-estiment : à quelle fréquence un registre des obligations change-t-il explique pourquoi il ne s'agit pas d'un exercice ponctuel.
La différence entre politique et pratique s'accroît à mesure que davantage de parties sont impliquées dans l'exécution, et cela vaut particulièrement pour les organisations disposant d'établissements dans plusieurs pays. Une règle européenne reçoit une interprétation propre à chaque pays, et la politique rédigée au niveau du siège ne correspond pas automatiquement à ce qui est suivi localement. La pratique dans un établissement peut fortement différer de la pratique dans un autre, alors que le document de politique est identique dans les deux cas.
Cela transforme le suivi de ces déclinaisons nationales en une tâche récurrente plutôt qu'un contrôle ponctuel. Comment procéder sans se retrouver dans un enchevêtrement d'abonnements séparés et d'outils locaux est décrit sur comment suivre les déclinaisons nationales sans jungle d'abonnements.
Un rapport décrit un état à un instant donné. La différence entre politique et pratique évolue cependant en permanence, et une photographie instantanée devient obsolète dès la première modification. C'est pourquoi un compliance check, comme méthode, vise autre chose qu'un rapport : il s'agit d'un registre vivant dans lequel la responsabilité, la preuve et le contrôle restent constamment reliés entre eux, plutôt que d'un document qui devient daté dès sa livraison.
Le coût de ne pas savoir de quoi relève une organisation ne devient généralement visible qu'au moment où un régulateur, une banque ou un grand client exige une démonstration qui s'avère alors inexistante. Ce que cela peut signifier de se trouver sans réponse à ce moment-là est expliqué sur ce que coûte le fait de ne pas savoir de quoi vous relevez.
Établir la différence entre politique et pratique fait naturellement surgir une question de suivi : qui, au sein de l'organisation, a réellement le temps de collecter cette preuve, de la maintenir à jour et de la réviser dès qu'une obligation change. C'est une question de capacité, distincte de la question de savoir si l'organisation sait ce qui doit être fait. FTE TO AI travaille à partir de cette question de suivi avec un scan de travail qui calcule, tâche par tâche, quelle part du travail peut être reprise par l'IA, afin de faire apparaître clairement où les collaborateurs disposent de temps pour le travail qu'un ordinateur ne peut pas accomplir : évaluer, décider et rendre des comptes.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.