Une obligation qui figure sur papier n'est pas encore une obligation qui a été respectée. Entre « nous avons une politique » et « nous démontrons que nous maîtrisons la situation » se trouve une couche souvent négligée : la preuve. Et tout document qui se trouve quelque part ne compte pas comme preuve.
Un document de politique décrit une intention. Il indique ce qu'une organisation veut faire, pas ce qui s'est passé. Un auditeur ou un régulateur ne demande pas la politique, mais son résultat : l'évaluation des risques a-t-elle réellement été effectuée, l'approbation a-t-elle été enregistrée, l'écart a-t-il été signalé au moment où il s'est produit. La manière de démontrer ce passage de la politique à la pratique dépend du type d'obligation et de la façon dont un processus est organisé ; comment vous démontrez que la politique est aussi une pratique aborde cette distinction.
Une preuve est une trace qui enregistre une action, une décision ou un contrôle au moment où celui-ci a eu lieu, avec une date, un nom et un résultat. Un e-mail dans lequel un risque a été signalé. Une ligne de procès-verbal dans laquelle un conseil a fait un arbitrage. Un fichier journal qui montre qu'un contrôle a effectivement été exécuté, pas seulement qu'il était planifié. Une déclaration signée d'un fournisseur. Le point commun : il est possible de reconstituer après coup qui a fait quoi et quand, sans que quelqu'un doive le raconter à nouveau.
Le fait qu'une chose compte comme preuve dépend fortement de l'obligation à laquelle elle se rapporte. Une obligation de reporting requiert un type de trace différent d'un devoir de vigilance, et un devoir de vigilance requiert encore autre chose qu'une obligation de signalement. Il n'existe pas de liste fixe qui donne la même réponse pour chaque obligation ; ce qui compte découle de la nature même de l'obligation et de ce qu'un régulateur a établi à ce sujet.
Dans la pratique, la preuve naît rarement en un seul endroit. Une évaluation des risques se trouve dans un tableau au niveau de la première ligne. L'approbation se trouve dans un échange d'e-mails avec un responsable. Le contrôle final se trouve dans un système d'un tiers. Lorsqu'une obligation doit être démontrée, quelqu'un doit rassembler ces trois traces — et cela ne réussit pas toujours. Plus une organisation grandit, compte de départements ou travaille avec des tiers, plus la probabilité augmente qu'une preuve se trouve à un endroit que plus personne ne connaît. où la preuve se disperse décrit les schémas les plus fréquents à cet égard : les transferts entre départements, les changements de système et les processus confiés à un tiers.
Une preuve qui n'est pas trouvable pour quelqu'un d'autre que son créateur ne fonctionne pas comme une preuve. Un auditeur, un nouveau responsable de la conformité ou un régulateur doit pouvoir suivre une trace sans que le rédacteur original soit présent pour l'expliquer. Cela impose des exigences quant à l'endroit où la preuve est conservée et à la manière dont elle est étiquetée : liée à l'obligation à laquelle elle se rapporte, avec une date et un responsable, à un endroit qui ne dépend pas d'une seule personne qui se trouve encore, par hasard, en poste. comment vous conservez une preuve de sorte qu'un auditeur la trouve aborde cette organisation.
Chaque élément de preuve se rapporte à une obligation, et chaque obligation appartient à quelqu'un qui peut expliquer pourquoi la preuve est suffisante. Sans ce lien, on obtient une archive de documents dont plus personne ne sait quelle obligation ils devaient démontrer, ni qui était responsable de leur qualité. qui est propriétaire d'une obligation décrit pourquoi cette attribution n'est pas une formalité, mais le maillon qui rend la preuve utilisable au moment où on la demande.
Les quatre éléments — obligation, propriétaire, preuve, contrôle — doivent figurer ensemble dans un seul aperçu, et non être dispersés entre départements et systèmes. Cet aperçu porte un nom : une matrice de contrôle. Ce que contient précisément cette matrice et comment elle est construite est décrit sur ce qu'est une matrice de contrôle. Pour un groupe comptant plusieurs entités ou établissements dans différents pays, cette question devient plus complexe, car une preuve valable à un niveau ne l'est pas automatiquement à un autre ; ce qui compte comme preuve pour une obligation au sein d'un groupe comptant plusieurs entités aborde spécifiquement cette situation.
Cette page décrit ce qu'est une preuve et où cela dérape, pas quelle preuve suffit précisément pour votre organisation. Cela dépend de l'obligation, du secteur et du pays dans lequel une entité est établie — et de la manière dont les législateurs nationaux ont transposé une règle européenne. csrdcompliance.net signale cette différence, mais ne remplace pas un avis juridique et ne donne aucune garantie sur un résultat auprès d'un régulateur.
Cartographier et mettre en ordre les preuves demande du travail : rassembler des traces, les relier à une obligation, les étiqueter pour qu'une autre personne les retrouve. Une partie de ce travail est répétable et suit un schéma fixe, ce qui le rend adapté à une automatisation (partielle). Le scan de travail de FTE TO AI calcule, par tâche, quelle part de ce travail peut être reprise par l'IA, afin de clarifier où les personnes restent nécessaires pour l'évaluation et où la collecte et l'organisation des preuves peuvent être soutenues. Le Compliance Check de csrdcompliance.net est en construction ; toute personne souhaitant en être informée peut s'inscrire sur la liste d'attente.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.