Uprava može odobriti dokument o politici i istovremeno ne znati provodi li se ta politika i u praksi. To nije iznimka, to je uobičajeno stanje u organizaciji u kojoj se politika piše centralno a provodi decentralizirano. Pitanje koje postavlja revizor nije "imate li politiku", nego "možete li pokazati da ta politika funkcionira". To je drugačija vrsta pitanja i traži drugačiju vrstu odgovora.
Politika je namjera. Opisuje što organizacija želi činiti: kako postupa s dobavljačima, s podacima, s rizicima. Djelovanje je ono što se stvarno događa na radnom mjestu, u sustavu, u odluci koja je donesena prošlog mjeseca. Između to dvoje moguć je razmak koji nitko nije primijetio, jednostavno zato što nitko sustavno nije provjerio je li politika provedena onako kako je zamišljeno.
Dokazivost premošćuje taj razmak. To nije politika sama po sebi, nego trag koji dokazuje da je politika primijenjena: odluka, odobrenje, odstupanje koje je zabilježeno i praćeno. Bez tog traga politika je izjava o namjeri, a ne o provedbi.
Ne svaki dokument koji se odnosi na neku temu je dokaz da je obveza ispunjena. Opis procesa pokazuje kako bi nešto trebalo funkcionirati, ne da je zapravo tako funkcioniralo. Dokaz koji ostaje valjan obično je konkretniji: odobrenje s datumom i imenom, sustavni zapis (log), izvještaj o odstupanju s poduzetim daljnjim korakom. Što se smatra dokazom kod obveze, razrađeno za grupu s više entiteta pokazuje koja razina detalja je potrebna da bi obveza bila dokaziva, a koja razina nije dovoljna.
Ta razlika važnija je nego što se čini. Organizacija koja se ograničava na dokumente o politici i preglede osposobljavanja obično ima više papira nego dokaza. Pitanje nije koliko dokumentacije postoji, nego dokazuje li ta dokumentacija da je određena radnja u određenom trenutku izvršena od strane određene osobe.
U jednom entitetu s jasnom organizacijskom strukturom dokaz je obično moguće pronaći na ograničenom broju mjesta. U grupi s više entiteta, zemalja ili odjela nastaje drugačija slika. Politika se utvrđuje centralno, ali provedba se odvija u društvima kćerima koje imaju svoje sustave, svoje odgovorne osobe i svoje načine bilježenja. Dokaz da politika funkcionira nastaje, dakle, na desetke mjesta istovremeno, bez postojanja središnjeg preglede o tome gdje se taj dokaz točno nalazi.
Gdje se dokaz raspršuje kod grupe s više entiteta opisuje kako ta fragmentacija nastaje i zašto se često otkriva tek u trenutku kada je nekome dokaz stvarno potreban. Taj trenutak najčešće je revizija, dubinska analiza (due diligence) ili upit nadzornog tijela, i to je upravo trenutak u kojem su žurba i nesigurnost najštetnije.
Dokaz koji postoji ali se ne može pronaći u praksi ne funkcionira kao dokaz. Revizor koji tri tjedna mora čekati na odgovor koji je već negdje postojao, iz toga izvlači zaključak o kvaliteti unutarnje kontrole, bez obzira na to je li temeljna politika sadržajno bila u redu. Dokazivost, dakle, ne traži samo dokaz, nego strukturu u kojoj se taj dokaz pojavljuje u razumnom vremenu.
Kako čuvati dokaz tako da ga revizor pronađe, razrađeno za grupu s više entiteta bavi se tom pronalazivošću: gdje se dokaz zapisuje, tko mu ima pristup i kako se sprječava da odgovor na jednostavno pitanje postane tjedni potrage. Uz to ide i jasna dodjela vlasništva: tko je vlasnik obveze kod grupe s više entiteta određuje ne samo tko je odgovoran za provedbu, nego i tko se može pozvati na odgovornost u trenutku kada se dokaz zatraži.
Da bi se politika i praksa doveli u sklad, za svaku obvezu mora biti jasno tko je vlasnik, što se smatra dokazom i koja kontrola dokazuje da se dokaz periodično provjerava. Ta tri elementa zajedno čine control matricu: pregled koji povezuje obvezu, vlasnika i dokaz, tako da uprava ne mora za svako pitanje iznova utvrđivati tko je za što bio odgovoran. Ista struktura, konkretno razrađena za složenost grupne strukture, opisana je u kako dokazati da je politika i praksa kod grupe s više entiteta.
Compliance Check tvrtke csrdcompliance.net je u izradi. Cilj je pregled u kojem su za svaku obvezu zabilježeni vlasnik, dokaz i pripadajuća kontrola, tako da uprava može dokazati da ima nadzor nad situacijom umjesto da to samo mora tvrditi. Tko to želi koristiti čim postane dostupno, može se prijaviti na listu čekanja.
Mapiranje vlasništva i dokaza jedna je strana stvari, a provedba svih tih kontrola i zapisivanja druga je strana. Tko se pita koliki dio tog izvršnog posla stvarno mora ostati ljudski rad, može posjetiti radni sken tvrtke FTE TO AI: taj sken po zadatku izračunava koji dio posla može preuzeti AI, a koji dio zahtijeva prosudbu koja ostaje na čovjeku.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.