Un consiglio di amministrazione può approvare un documento di policy e al tempo stesso non sapere se quella politica venga effettivamente applicata. Non è un'eccezione, è la condizione normale in un'organizzazione dove le politiche vengono scritte a livello centrale ed eseguite a livello decentrale. La domanda che pone un revisore non è "avete una politica", ma "potete dimostrare che questa politica funziona". È un tipo di domanda diverso, e richiede un tipo di risposta diverso.
La politica è un'intenzione. Descrive ciò che un'organizzazione intende fare: come gestisce i fornitori, i dati, i rischi. Il funzionamento è ciò che accade realmente sul campo, in un sistema, in una decisione presa il mese scorso. Tra questi due elementi può esistere una differenza che nessuno ha notato, semplicemente perché nessuno ha verificato in modo sistematico se la politica sia stata effettivamente attuata come previsto.
La dimostrabilità colma quella differenza. Non è la politica in sé, ma la traccia che dimostra che la politica è stata applicata: una decisione, un'approvazione, una deviazione segnalata e seguita. Senza quella traccia, la politica è una dichiarazione d'intenti, non di esecuzione.
Non ogni documento che tratta un argomento costituisce una prova che l'obbligo sia stato rispettato. Una descrizione di processo mostra come qualcosa dovrebbe funzionare, non che abbia funzionato così. Una prova che regge, in genere, è più concreta: un'approvazione con data e nome, un registro di sistema, un rapporto di deviazione con l'azione correttiva adottata. Cosa vale come prova per un obbligo, illustrato per un gruppo con più entità mostra quale livello di dettaglio è necessario per rendere dimostrabile un obbligo, e quale livello risulta insufficiente.
Questa distinzione è più importante di quanto sembri. Un'organizzazione che si limita a documenti di policy e panoramiche di formazione ha di solito più carta che prove. La domanda non è quanta documentazione esista, ma se quella documentazione dimostri che un'azione specifica sia stata compiuta in un momento specifico da una persona specifica.
In un'unica entità con un'organizzazione ben strutturata, le prove si trovano di solito in un numero limitato di luoghi. In un gruppo con più entità, paesi o dipartimenti emerge un quadro diverso. La politica viene stabilita a livello centrale, ma l'esecuzione avviene nelle società figlie, che hanno propri sistemi, propri responsabili e proprie modalità di registrazione. La prova che la politica funzioni nasce quindi in decine di luoghi contemporaneamente, senza che esista una visione centrale di dove esattamente si trovi quella prova.
Dove si disperde la prova in un gruppo con più entità descrive come si crea questa frammentazione e perché spesso si manifesta solo nel momento in cui qualcuno ha effettivamente bisogno della prova. Quel momento è di solito un audit, una due diligence, o una domanda di un'autorità di controllo, ed è esattamente il momento in cui la fretta e l'incertezza sono più dannose.
Una prova che esiste ma non è reperibile, nella pratica non funziona come prova. Un revisore che deve attendere tre settimane per una risposta che era già disponibile altrove, ne trae una conclusione sulla qualità del controllo interno, indipendentemente dal fatto che la politica sottostante fosse sostanzialmente in ordine. La dimostrabilità richiede quindi non solo la prova, ma una struttura in cui quella prova emerga entro un tempo ragionevole.
Come conservare le prove affinché un revisore le trovi, illustrato per un gruppo con più entità approfondisce questa reperibilità: dove viene registrata la prova, chi ha accesso ad essa, e come si evita che la risposta a una domanda semplice diventi una ricerca di settimane. A questo si aggiunge anche una chiara attribuzione della responsabilità: chi è responsabile di un obbligo in un gruppo con più entità determina infatti non solo chi è responsabile dell'esecuzione, ma anche chi può essere interpellato nel momento in cui viene richiesta la prova.
Per riunire politica e prassi, per ciascun obbligo deve essere chiaro chi ne è il responsabile, cosa vale come prova, e quale controllo dimostra che la prova viene verificata periodicamente. Questi tre elementi insieme costituiscono una control matrix: una panoramica che collega obbligo, responsabile e prova, in modo che un consiglio di amministrazione non debba ricostruire ogni volta chi fosse responsabile di cosa. La stessa struttura, elaborata specificamente per la complessità di una struttura di gruppo, è descritta in come dimostrare che la politica è anche prassi in un gruppo con più entità.
La Compliance Check di csrdcompliance.net è in fase di costruzione. L'obiettivo è una panoramica in cui, per ciascun obbligo, siano registrati il responsabile, la prova e il relativo controllo, in modo che un consiglio di amministrazione possa dimostrare di essere in controllo invece di doverlo semplicemente affermare. Chi desidera utilizzarla non appena sarà disponibile, può iscriversi alla lista d'attesa.
Mappare responsabilità e prove è un aspetto della questione, eseguire tutti quei controlli e quelle registrazioni è l'altro. Chi si chiede quanta parte di questo lavoro esecutivo debba effettivamente rimanere lavoro umano, può rivolgersi alla werkscan di FTE TO AI: questa calcola, per ciascun compito, quale parte del lavoro può essere svolta dall'AI, e quale parte richiede invece una valutazione che resta compito di una persona.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.