Egy vezetőség jóváhagyhat egy szabályzati dokumentumot, és ezzel egyidejűleg nem tudni, hogy azt a szabályzatot valóban alkalmazzák is. Ez nem kivétel, hanem a normál állapot egy olyan szervezetben, ahol a szabályzatot központilag írják, de decentralizáltan hajtják végre. Az auditor által feltett kérdés nem az, hogy "van-e szabályzata", hanem hogy "meg tudja mutatni, hogy ez a szabályzat működik". Ez egy másfajta kérdés, és másfajta választ igényel.
A szabályzat egy szándék. Leírja, mit akar tenni egy szervezet: hogyan viszonyul a beszállítókhoz, az adatokhoz, a kockázatokhoz. A működés az, ami valóban megtörténik a munkahelyen, egy rendszerben, egy döntésben, amelyet múlt hónapban hoztak. E kettő között lehet olyan eltérés, amelyet senki nem vett észre, egyszerűen azért, mert senki sem nézte meg szisztematikusan, hogy a szabályzatot a szándéknak megfelelően végrehajtották-e.
A bizonyíthatóság hidat képez e különbség felett. Nem a szabályzat maga, hanem az a nyomvonal, amely bizonyítja, hogy a szabályzatot alkalmazták: egy döntés, egy jóváhagyás, egy eltérés, amelyet jeleztek és amelyre reagáltak. Ez a nyomvonal nélkül a szabályzat a szándék, nem a végrehajtás nyilatkozata.
Nem minden dokumentum, amely egy témáról szól, bizonyítja, hogy a kötelezettséget betartották. Egy folyamatleírás azt mutatja meg, hogyan kellene valaminek működnie, nem azt, hogy valóban így működött. A bizonyíték, amely megáll a lábán, általában konkrétabb: egy dátummal és névvel ellátott jóváhagyás, egy rendszernapló, egy eltérési jelentés a megtett további lépéssel. Mi számít bizonyítéknak egy kötelezettségnél, kidolgozva egy több entitásból álló csoport számára megmutatja, milyen szintű részletesség szükséges ahhoz, hogy egy kötelezettség bizonyíthatóvá váljon, és milyen szint az, amely nem elegendő.
Ez a megkülönböztetés fontosabb, mint amilyennek látszik. Egy szervezet, amely megelégszik szabályzati dokumentumokkal és képzési áttekintésekkel, általában több papírral rendelkezik, mint bizonyítékkal. A kérdés nem az, mennyi dokumentáció van, hanem hogy az a dokumentáció bizonyítja-e, hogy egy adott cselekedetet egy adott pillanatban egy adott személy végzett el.
Egy egyetlen entitásban, átlátható szervezettel, a bizonyíték rendszerint korlátozott számú helyen található meg. Egy több entitásból, országból vagy részlegből álló csoportnál más kép alakul ki. A szabályzatot központilag határozzák meg, de a végrehajtás olyan leányvállalatoknál zajlik, amelyeknek saját rendszereik, saját felelőseik és saját rögzítési módjaik vannak. A bizonyíték, hogy a szabályzat működik, tehát egyszerre több tucat helyen keletkezik, anélkül, hogy központi áttekintés lenne arról, hol is található pontosan az a bizonyíték.
Hol szóródik szét a bizonyíték egy több entitásból álló csoportnál leírja, hogyan alakul ki ez a szétaprózódás, és miért mutatkozik meg gyakran csak akkor, amikor valakinek tényleg szüksége van a bizonyítékra. Ez a pillanat általában egy audit, egy átvilágítás vagy egy felügyeleti kérdés, és pontosan ez az a pillanat, amikor a sietség és a bizonytalanság a legkárosabb.
A bizonyíték, amely létezik, de nem található meg, a gyakorlatban nem funkcionál bizonyítékként. Egy auditor, akinek három hetet kell várnia egy válaszra, amely már valahol máshol is rendelkezésre állt, ebből következtetést von le a belső kontroll minőségéről, függetlenül attól, hogy az alapul szolgáló szabályzat tartalmilag rendben volt-e. A bizonyíthatóság tehát nem csak bizonyítékot igényel, hanem egy struktúrát, amelyben ez a bizonyíték elfogadható időn belül felszínre kerül.
Hogyan tárolja a bizonyítékot úgy, hogy egy auditor megtalálja, kidolgozva egy több entitásból álló csoport számára kitér erre a fellelhetőségre: hol rögzítik a bizonyítékot, ki fér hozzá, és hogyan kerülhető el, hogy egy egyszerű kérdésre adott válasz heteken át tartó keresésbe torkolljon. Ehhez tartozik a felelősség egyértelmű kijelölése is: ki a felelőse egy kötelezettségnek egy több entitásból álló csoportnál ugyanis nem csak azt határozza meg, ki felel a végrehajtásért, hanem azt is, kit lehet megkérdezni abban a pillanatban, amikor a bizonyítékot igénylik.
Ahhoz, hogy a szabályzat és a gyakorlat összekapcsolódjon, minden kötelezettségnél egyértelműnek kell lennie, ki a felelős, mi számít bizonyítéknak, és melyik kontroll bizonyítja, hogy a bizonyítékot rendszeresen ellenőrzik. Ez a három elem együtt alkot egy kontrollmátrixot: egy áttekintést, amely összekapcsolja a kötelezettséget, a felelőst és a bizonyítékot, így egy vezetőségnek nem kell minden kérdésnél újra összeraknia, ki miért volt felelős. Ugyanez a struktúra, kifejezetten egy csoportstruktúra összetettségére kidolgozva, le van írva itt: hogyan bizonyítja, hogy a szabályzat egyben gyakorlat is egy több entitásból álló csoportnál.
A csrdcompliance.net Compliance Check-je fejlesztés alatt áll. A cél egy olyan áttekintés, amelyben minden kötelezettségnél rögzítve van a felelős, a bizonyíték és a hozzá tartozó kontroll, így egy vezetőség bizonyítani tudja, hogy irányítása alatt tartja a folyamatokat, ahelyett hogy csak állítania kellene ezt. Aki ezt szeretné használni, amint elérhető lesz, feliratkozhat a várólistára.
A felelősség és a bizonyíték feltérképezése az érem egyik oldala, az összes ellenőrzés és rögzítés végrehajtása a másik. Aki azon gondolkodik, mekkora részének kell valóban emberi munkának maradnia ebből a végrehajtó munkából, az FTE TO AI munkascanjéhez fordulhat: az feladatonként kiszámolja, mekkora részét lehet AI-ra átruházni a munkának, és mekkora rész igényel olyan megítélést, amely embernél marad.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.