Un consiglio di amministrazione che dichiara di essere in control fa un'affermazione. Un organo di controllo, un revisore o un auditor chiede la prova dietro quell'affermazione. Quella prova non consiste in un'intenzione o in un documento di policy da solo. Consiste in una catena: quale obbligo si applica, chi ne è responsabile, quale prova dimostra che si adempie a quell'obbligo, e quale controllo verifica che quella prova continui a essere valida. Se manca un anello, l'affermazione cade.
La domanda "siamo in control" è quindi in realtà quattro domande. Sappiamo quali obblighi si applicano a noi. Qualcuno ne è consapevole di essere il responsabile. Esiste una prova che dimostra che l'obbligo viene rispettato. E c'è un controllo che verifica periodicamente quella prova. Un consiglio di amministrazione che ha una risposta a ciascuna di queste quattro domande può mostrare un fascicolo. Un consiglio di amministrazione che ha una risposta solo alla prima domanda ha un elenco — e un elenco non è dimostrabilità.
Molte organizzazioni dispongono di una panoramica della normativa. Quello che spesso manca è il collegamento per ogni obbligo: chi ne è responsabile, qual è la prova, quale controllo esiste. Senza quel collegamento, un elenco resta una raccolta di punti sparsi. Chi dovrebbe essere responsabile di un obbligo non è a questo riguardo una formalità; senza un responsabile designato, un obbligo si perde tra i reparti, e nessuno se ne accorge finché non viene richiesta la prova.
Una seconda ragione per cui gli elenchi non bastano: policy e prassi divergono. Un'organizzazione può avere formalizzato una procedura senza che quella procedura venga seguita. Qual è la differenza tra policy e prassi tocca il nucleo di ciò che un controllo in realtà verifica: non se esiste un documento, ma se la prassi corrisponde a quanto descritto nel documento. Un percorso di assurance chiede quest'ultimo aspetto, non il primo.
La Compliance Check mappa quali obblighi si applicano e collega a ciascun obbligo un responsabile, una forma di prova e un controllo. Il risultato non è un parere né un giudizio su quanto bene un'organizzazione si comporti. È una struttura: un registro in cui, per ogni obbligo, si vede chi è responsabile di cosa e con cosa ciò può essere dimostrato. Quella struttura è ciò di cui un consiglio di amministrazione ha bisogno per mostrare qualcosa di concreto, quando gli viene richiesto, invece di dare una rassicurazione.
Cosa non fa la Compliance Check: non dice se un obbligo viene effettivamente rispettato. Questo resta compito dell'organizzazione e, dove pertinente, del revisore o del fornitore di assurance. La Check ordina e rende visibile dove mancano prova e controllo; non fornisce essa stessa quella prova. Chi cerca un giudizio sulla qualità della conformità non lo trova qui. Chi cerca una struttura per rendere quella conformità dimostrabile in autonomia, sì.
Questo approccio non sostituisce la consulenza legale su quale soglia, termine o articolo si applichi esattamente. Questi dettagli cambiano, variano da situazione a situazione e dipendono dal testo esatto della normativa così come vige in un determinato momento. Per quel testo attuale e per le condizioni precise, questa pagina rimanda alla fonte stessa, non a una sintesi che può diventare obsoleta.
Un secondo limite: la normativa non è statica. Un registro degli obblighi corretto oggi può risultare incompleto l'anno prossimo. Quanto spesso cambia un registro degli obblighi non è quindi un dettaglio secondario ma parte della dimostrabilità stessa: un registro senza un ritmo di manutenzione è una fotografia istantanea, non una prova di controllo continuativo.
Un terzo limite riguarda specificamente il contesto europeo. La medesima norma europea si applica diversamente in ciascuno Stato membro: soglie diverse, termini diversi, organi di controllo diversi. Un'organizzazione che conosce solo il testo europeo e non la specifica nazionale si perde una parte dell'obbligo. Come tenere traccia delle specifiche nazionali senza una giungla di abbonamenti descrive perché questo aspetto viene sottovalutato più spesso di quanto ci si aspetti, e perché è proprio questo livello nazionale a cogliere di sorpresa gli amministratori.
Quando un revisore o un fornitore di assurance rilascia una dichiarazione sulla conformità agli obblighi di rendicontazione, non chiede un'intenzione ma un fascicolo: documenti di origine, un responsabile designato per ogni argomento, e un meccanismo di controllo che dimostri che il processo è ripetibile, non occasionale. Cosa richiede una dichiarazione di assurance al vostro fascicolo descrive questi requisiti in modo più concreto. Un consiglio di amministrazione che si prepara a questo fa bene a costruire il fascicolo prima che la domanda venga posta, non dopo.
Questo approccio stabilisce cosa deve accadere e chi lo fa. Non dice nulla su quanto tempo ciò richieda, né su quale parte di quel lavoro resti manuale e quale sia automatizzabile. Chi si chiede quanta capacità richieda strutturalmente un registro degli obblighi, la raccolta delle prove e la manutenzione dei controlli, e quale parte di ciò possa essere assunta dall'IA, trova per questo lo scan del lavoro di FTE TO AI: esso calcola, per ogni compito, quale parte del lavoro si presta a ciò, indipendentemente dalla domanda su quali obblighi si applichino esattamente.
La Compliance Check è in fase di sviluppo. Chi desidera utilizzare il risultato non appena sarà disponibile può iscriversi alla lista d'attesa.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.