Egy kötelezettség csak akkor van igazoltan bizonyítva, ha van olyan dolog, amit valaki más ellenőrizni tud anélkül, hogy Öntől kellene megkérdeznie. Ez az igazolhatóság lényege: nem az, amit Ön tud, hogy megtörtént, hanem az, amit egy auditor, egy felügyeleti szerv vagy egy új compliance officer visszatalál anélkül, hogy Önnek kellene elmagyaráznia. Sok vállalat csak egy audit során fedezi fel, hogy a bizonyíték ugyan létezik, de nem megtalálható.
A bizonyíték nem ugyanaz, mint a szabályzat. Egy szabályzati dokumentum azt mondja meg, mi a szándék; a bizonyíték azt mutatja meg, hogy ezt a szándékot valóban végrehajtották is. Gondoljon egy jóváhagyott döntésre dátummal és a jóváhagyó nevével, egy e-mail-váltásra, amelyből egy mérlegelés kiderül, egy ellenőrzés naplójára, amelyet valóban elvégeztek, vagy egy jelentésre, amely megfelel az alapul szolgáló adatoknak. Az, hogy pontosan mi számít elegendő bizonyítéknak, kötelezettségenként eltér, és mi számít bizonyítéknak egy kötelezettségnél egy több entitásból álló csoportnál megmutatja, hogyan élesedik ki ez a kérdés, amint több telephely vagy leányvállalat is a képbe kerül. A vezérfonal mindig az, hogy a szabályzat és a gyakorlat közötti különbséget gyakran alábecsülik: egy dokumentum, amely jól néz ki, nem bizonyítja, hogy valaki valóban az alapján cselekedett. Hogy ezt a különbséget hogyan lehet láthatóvá tenni, azt hogyan bizonyítja, hogy a szabályzat a gyakorlatban is működik oldalon dolgoztuk ki.
A bizonyíték rendszerint nem azon a helyen keletkezik, ahol végül szükség lesz rá. Egy kockázatfelmérést egy operatív csapat végez el, egy jóváhagyás egy e-mailben történik, egy ellenőrzést egy táblázatban rögzítenek, amely csak egy helyi meghajtón létezik. Mire egy auditor azt kéri, hogy igazolják egy kötelezettség betartását, valakinek újra fel kell kutatnia ezt a bizonyítékot. Egy entitásnál ez már nehéz; egy több telephellyel, országgal vagy leányvállalattal rendelkező csoportnál ez önmagában egy kutatássá válik. Minden entitásnak esetleg saját archívuma, saját rendszere, saját rögzítési módja van. Hogy pontosan hol megy ez félre, és miért nem csak fegyelem kérdése, azt hol szóródik szét a bizonyíték egy több entitásból álló csoportnál oldalon írjuk le. Csoportstruktúrákra kifejezetten létezik ennek a kérdésnek egy kidolgozott változata, ami erre a helyzetre szabott: hogyan őrzi meg a bizonyítékot úgy, hogy egy auditor megtalálja egy csoportnál.
A megtalálhatóság a tulajdonlásnál kezdődik. Az a bizonyíték, amelynek sehol sincs tulajdonosa, sehol sem lesz nyomon követve, és így nem is olyan helyen kerül megőrzésre, ahol valaki megtalálhatja. Minden kötelezettségnél van valaki, aki végül el tudja magyarázni, mit tettek és miért; hogy ki ez, nem mindig egyértelmű egy több osztályból vagy entitásból álló szervezetnél. Hogy ezt a tulajdonlást hogyan lehet megállapítani, és miért nem automatikusan a compliance-osztályé, azt ki a tulajdonosa egy kötelezettségnek oldalon írjuk le. Amint ez a tulajdonlás tisztázott, a következő kérdés nem egy újabb dokumentum, hanem egy struktúra, amely a kötelezettséget, a tulajdonost és a bizonyítékot egymáshoz kapcsolja. Ezt a struktúrát rendszerint control matrixnak nevezik, és hogy ez a mátrix mit old meg és mit nem, azt mi az a control matrix oldalon fejtjük ki.
Az igazolhatósággal kapcsolatos reflex gyakran ez: több rögzítés, több archiválás, több mappa létrehozása. Ez nem oldja meg a problémát. Egy auditor, akinek három rendszert kell átkutatnia ahhoz, hogy egy kötelezettséget ellenőrizzen, ezt nem érzi kontroll alatt tartottnak, még ha a bizonyíték valójában létezik is. A kérdés nem az, mennyi bizonyíték van, hanem hogy visszavezethető-e: a kötelezettségtől a tulajdonosig, a bizonyítékig, az ellenőrzésig, amely igazolja, hogy megtörtént. E visszavezethetőség hiányában a bizonyíték szétszórva marad, még ha papíron teljes is.
Ez még erősebben érvényes, amint egy szervezet nagyobbá és összetettebbé válik. Ugyanazon európai szabály nemzeti átvételei országonként eltérően alakulnak, más határidőkkel, más hatóságokkal és más elvárásokkal arra vonatkozóan, mi számít bizonyítéknak. Amit az egyik országban elegendőnek tartanak, az a másikban nem automatikusan elegendő. Ez teszi a bizonyítékra vonatkozó központi, visszavezethető struktúrát nem csak rendszerezettségi kérdéssé, hanem feltétellé ahhoz, hogy áttekintés maradjon afelett, mi van valójában rögzítve országonként, entitásonként és kötelezettségenként.
A bizonyíték rögzítése, nyomon követése és visszakereshetővé tétele önmagában is egy munkaforma: dokumentumok rendezése, hivatkozások elhelyezése, annak ellenőrzése, hogy egy dosszié teljes-e, mielőtt egy auditor rákérdez. E munka egy része ismétlődő és kötelezettségenként állandó mintát követ. Aki szeretné megtudni, mely része ennek a munkának vehető át AI által, és mely rész marad függő az emberi megítéléstől, azt az FTE TO AI munkaszkennerével kiszámíttathatja, amely feladatonként megadja, mennyi tér van az automatizálásra.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.