Kennisbank

Prove che un auditor può trovare

Un obbligo è dimostrato solo quando esiste qualcosa che un altro può verificare senza doverlo chiedere a voi. Questo è il nucleo della dimostrabilità: non ciò che voi sapete essere accaduto, ma ciò che un auditor, un'autorità di controllo o un nuovo responsabile compliance può ritrovare senza che voi lo dobbiate spiegare. Molte aziende scoprono solo durante un audit che la prova esiste sì, ma non è reperibile.

Cosa conta come prova

Una prova non è la stessa cosa di una politica. Un documento di policy dice quale sia l'intenzione; la prova dimostra che tale intenzione è stata anche eseguita. Si pensi a una decisione approvata con data e nome di chi ha approvato, uno scambio di email da cui emerge una valutazione, un registro di un controllo effettivamente eseguito, o un rapporto che corrisponde ai dati sottostanti. Ciò che conta esattamente come prova sufficiente varia in base all'obbligo, e cosa conta come prova per un obbligo in un gruppo con più entità mostra come questa domanda si acuisca non appena entrano in gioco più sedi o filiali. Il filo conduttore è che la distinzione tra politica e prassi viene costantemente sottovalutata: un documento che appare ben fatto non è prova che qualcuno abbia anche agito di conseguenza. Come rendere visibile questa differenza è illustrato in come dimostrare che la politica è anche prassi.

Da dove proviene la prova

La prova solitamente non nasce nel luogo dove alla fine è necessaria. Una valutazione del rischio viene effettuata da un team operativo, un'approvazione avviene in un'email, un controllo viene registrato in un foglio di calcolo che si trova solo su un disco locale. Nel momento in cui un auditor chiede di dimostrare che un obbligo è stato rispettato, qualcuno deve ritrovare quella prova. Per una singola entità questo è già complicato; per un gruppo con più sedi, paesi o filiali diventa una vera e propria ricerca. Ogni entità ha potenzialmente un proprio archivio, un proprio sistema, un proprio modo di registrare. Dove esattamente le cose vanno storte e perché non si tratti solo di una questione di disciplina è descritto in dove le prove si disperdono in un gruppo con più entità. Per le strutture di gruppo in particolare esiste un approfondimento della stessa domanda affrontata in questa pagina, incentrato su quella situazione: come conservare le prove affinché un auditor le trovi in un gruppo.

Chi deve essere in grado di trovarla

La reperibilità inizia con la titolarità. Una prova che non ha un titolare da nessuna parte non viene tenuta da nessuna parte e quindi non viene nemmeno conservata in un luogo dove qualcuno possa trovarla. Per ogni obbligo esiste qualcuno che alla fine può spiegare cosa è stato fatto e perché; chi sia questa persona non è sempre evidente all'interno di un'organizzazione con più reparti o entità. Come si stabilisce tale titolarità e perché non spetti automaticamente al reparto compliance è illustrato in chi è titolare di un obbligo. Una volta chiarita tale titolarità, la domanda successiva non è un ulteriore documento, ma una struttura che collega obbligo, titolare e prova tra loro. Tale struttura viene solitamente chiamata control matrix, e cosa questa matrice risolve e cosa non risolve è spiegato in cosa è una control matrix.

Conservare non è una questione di archiviare di più

La reazione istintiva davanti alla dimostrabilità è spesso: registrare di più, archiviare di più, creare più cartelle. Questo non risolve il problema. Un auditor che deve consultare tre sistemi per verificare un unico obbligo non percepisce questo come essere in control, anche se la prova esiste effettivamente. La domanda non è quanta prova esista, ma se sia ricostruibile: dall'obbligo al titolare, alla prova, al controllo che dimostra che è stato fatto. Senza questa ricostruibilità, la prova resta dispersa, anche se sulla carta è completa.

Questo vale in misura maggiore quanto più un'organizzazione è grande e complessa. Le recepimenti nazionali di una stessa norma europea risultano diversi da paese a paese, con termini diversi, autorità diverse e aspettative diverse su cosa valga come prova. Ciò che in un paese è sufficiente, non lo è automaticamente in un altro. Questo fa sì che una struttura centrale e ricostruibile per le prove non sia una questione di ordine, ma una condizione per mantenere una visione d'insieme su cosa sia stato effettivamente documentato per paese, per entità e per obbligo.

Dove questo porta

Registrare, tenere aggiornate e rendere reperibili le prove è di per sé una forma di lavoro: ordinare documenti, stabilire riferimenti, verificare se un fascicolo è completo prima che un auditor lo richieda. Una parte di questo lavoro è ripetitiva e segue uno schema fisso per obbligo. Chi desidera sapere quale parte di questo lavoro può essere ripresa dall'IA e quale parte resta dipendente dal giudizio umano, può farlo calcolare con la scansione del lavoro di FTE TO AI, che indica per ogni compito quanto spazio ci sia per l'automazione.