Un revisore che verifica la dimostrabilità pone una domanda semplice: dove si trova la prova che questo obbligo è stato rispettato, e chi può mostrarla. Per un'unica entità, questo è spesso ancora gestibile. In un gruppo con più sedi, filiali o organizzazioni nazionali, le prove si disperdono tra sistemi, cartelle e persone che non si conoscono tra loro. Questo non è necessariamente un segno di politiche scadenti. È spesso solo un segno che nessuno ha stabilito dove devono trovarsi le prove, e chi è responsabile del fatto che ci restino.
La prova non è il documento di policy in sé. Un revisore chiede cosa dimostra che la politica è stata anche applicata: una decisione, un'approvazione, una relazione, un registro delle deviazioni, un'e-mail in cui un responsabile ha accertato qualcosa. Cosa conta esattamente varia in base all'obbligo e al momento del processo. Su cosa conta come prova per un obbligo è illustrato quali forme di prova corrispondono a quale tipo di obbligo, e perché una dichiarazione d'intenti senza applicazione di solito non basta.
In un gruppo con più entità, la dispersione si verifica in alcuni punti prevedibili. Ogni entità può gestire una propria amministrazione, in un proprio sistema, con una propria denominazione dei documenti. Un direttore locale può aver preso una decisione che non è mai stata registrata a livello centrale. Una società madre può presumere che una filiale abbia sistemato qualcosa, senza averlo mai verificato. E una sede nazionale può essere soggetta a regole aggiuntive che il gruppo nel suo complesso non conosce, per cui le relative prove non vengono raccolte affatto. Ciò che è obbligatorio in un paese non deve necessariamente esserlo altrove, e viceversa: esempi di ciò si trovano su quali requisiti nazionali aggiuntivi si applicano in Germania e quali requisiti nazionali aggiuntivi si applicano in Francia. Chi guarda solo alla norma europea perde la parte aggiunta a livello locale, e quindi anche la relativa prova.
Una prova a cui nessuno viene assegnato di solito non viene mantenuta, oppure si perde non appena qualcuno cambia funzione. La reperibilità quindi non inizia con un sistema di archiviazione, ma con la domanda su chi sia il titolare di ciascun obbligo: chi si assicura che la prova venga creata, chi la conserva, e chi può mostrarla quando viene richiesta. In un gruppo con più entità, questo raramente è compito di una singola funzione per l'intera organizzazione. Come può presentarsi questa suddivisione, e perché un singolo coordinatore a livello di gruppo di solito non basta, è illustrato su chi è titolare di un obbligo in un gruppo con più entità.
Un revisore che cerca prove non guarda solo se un obbligo è stato messo per iscritto nella politica, ma anche se quella politica è stata seguita. Un gruppo può disporre di un documento di policy eccellente sulla valutazione dei fornitori, mentre in pratica solo una parte delle entità ha mai applicato tale politica. La differenza tra questi due livelli, e come rendere visibile tale differenza invece di lasciarla nascosta, è illustrata su come dimostrare che la politica è anche prassi in un gruppo con più entità. Una prova costituita solo da testi di policy non è sufficiente per un revisore, indipendentemente da quanto attentamente sia stata scritta la politica.
Per rendere le prove reperibili tra più entità, è utile stabilire per ciascun obbligo: chi è il titolare, quale prova è prevista, e quale control dimostra che il processo è ripetibile e non dipende da una singola persona. Questi tre elementi insieme formano una panoramica che un consiglio di amministrazione può consultare senza dover prima chiedere informazioni a ciascuna entità. Cosa comporta una tale matrice, e come può differire per entità senza perdere la coerenza, è illustrato su cosa è una control matrix in un gruppo con più entità.
La Compliance Check mappa quali obblighi si applicano al gruppo, chi ne è titolare, quale prova è appropriata e quale control dimostra che il processo è a punto. Questo non sostituisce un audit, né garantisce che un revisore sia soddisfatto di quanto disponibile. È una struttura che fa in modo che un consiglio di amministrazione sappia dove dovrebbe trovarsi la prova, prima che qualcuno la richieda.
Lo strumento è in fase di realizzazione. Chi desidera utilizzarlo non appena sarà disponibile può iscriversi alla lista d'attesa.
Registrare e mantenere le prove è a sua volta un lavoro: raccogliere documenti, controllare le versioni, mantenere aggiornate le panoramiche tra più entità. Parte di questo lavoro è sufficientemente ripetibile da poter essere supportato con l'IA. La scansione del lavoro di FTE TO AI calcola per ciascuna attività quale parte del lavoro sia idonea a questo scopo, in modo che diventi chiaro dove il tempo viene dedicato alla ricerca delle prove, e dove alla loro effettiva valutazione.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.