Un gruppo con più entità ha raramente un unico luogo in cui confluiscono le prove di conformità. Una filiale tiene le politiche in un sistema di qualità locale, un'altra in un'unità condivisa, una terza nella testa di un unico collaboratore che da anni redige lo stesso rapporto. Finché nessuno lo chiede, funziona. Nel momento in cui un revisore, un'autorità di controllo o il consiglio di amministrazione stesso vuole vedere in cosa consiste un obbligo e come viene rispettato, risulta che le prove sono frammentate, datate o trasmissibili solo verbalmente.
Un documento di policy non è una prova di conformità. È un'intenzione. La prova è ciò che dimostra che tale intenzione è stata anche attuata: una procedura firmata, un registro dei controlli eseguiti, un'e-mail in cui è stata segnalata e seguita una deviazione, un rapporto che corrisponde ai dati sottostanti. In un gruppo con più entità, la domanda non è solo cosa costituisce una prova, ma anche dove debba trovarsi e chi ne sia responsabile. Senza questa risposta, è il caso a determinare chi può trovare la prova, e questo non è una base sufficiente per un consiglio di amministrazione che deve dichiarare che l'organizzazione è sotto controllo.
Le prove si disperdono lungo le linee lungo le quali un gruppo stesso è suddiviso: per entità, per paese, per funzione. Una società madre può stabilire una politica valida per tutto il gruppo, mentre ogni filiale la attua e la documenta a modo suo, oppure non la documenta affatto perché a livello locale nessuno sa che è obbligatoria. A ciò si aggiunge il livello nazionale. Lo stesso obbligo europeo può essere recepito in modo diverso da paese a paese, con termini propri, autorità competenti proprie o requisiti aggiuntivi propri. Ciò che in un paese vale come prova sufficiente, non vale in un altro. Chi guarda solo alla regola valida per tutto il gruppo, non si accorge che quali requisiti nazionali aggiuntivi si applicano in Germania è una domanda diversa da quali requisiti nazionali aggiuntivi si applicano in Francia, e che quindi anche le prove devono essere costruite e conservate diversamente per ciascun paese.
Anche a livello funzionale le prove si disperdono. L'ufficio legale conserva i contratti, la finanza conserva i rapporti, le risorse umane conservano i registri delle formazioni, e nessuno dei tre ha una visione completa. In caso di fusione, acquisizione o riorganizzazione, questo problema si aggrava: le prove che si trovavano presso un'entità non si trasferiscono automaticamente quando la responsabilità si sposta.
La domanda su chi debba poter trovare le prove è legata alla domanda su chi sia titolare di un obbligo. In un gruppo con più entità, questo titolare non è automaticamente la persona più vicina all'argomento; può essere la società madre, un direttore locale, oppure una funzione designata a livello di gruppo. Senza una risposta stabilita a chi è titolare di un obbligo in un gruppo con più entità, si crea una situazione in cui tutti presumono che qualcun altro gestisca le prove, finché non vengono richieste e nessuno riesce a produrle.
Un revisore che richiede prove non tiene conto della struttura organizzativa interna del gruppo. Chiede la prova relativa all'obbligo, non al reparto in cui questa si trova per caso conservata. Ciò significa che il modo in cui le prove vengono conservate deve essere indipendente da dove sono nate per caso. Come funziona questo in pratica, e quali scelte comporta, è descritto in come conservare le prove affinché un revisore le trovi in un gruppo con più entità.
Una seconda forma di frammentazione nasce quando politica e prassi si allontanano senza che nessuno se ne accorga. Un documento di policy valido per tutto il gruppo può essere applicato integralmente in un'entità ed esistere solo sulla carta in un'altra. Questa differenza diventa visibile solo se esiste un metodo sistematico per verificare che ciò che è stato concordato sia anche stato effettivamente attuato. Dimostrarlo è un passo distinto, separato dalla definizione della politica stessa, e viene illustrato in come dimostrare che la politica è anche prassi in un gruppo con più entità.
Per evitare che ogni entità sviluppi una propria versione delle prove e delle responsabilità, si lavora spesso con un quadro riepilogativo in cui obblighi, titolari e prove sono riuniti insieme. Questo quadro è comunemente chiamato control matrix, e la sua struttura determina se un gruppo potrà in seguito dimostrare cosa è stato fatto o potrà solo raccontare cosa era previsto. I principi di una tale matrice, e il motivo per cui in un gruppo con più entità assume una forma diversa rispetto a una singola impresa, sono descritti in cos'è una control matrix in un gruppo con più entità.
La Compliance Check riunisce questi elementi: quali obblighi si applicano, chi ne è titolare, cosa conta come prova e quale controllo vi è associato. Non come sostituto della normativa stessa, ma come il livello che rende visibile se un consiglio di amministrazione può dimostrare di essere sotto controllo, anche quando le prove sono disperse su più entità e paesi.
Riunire prove disperse è in gran parte un lavoro riconoscibile e ripetibile: verificare dove si trova un documento, controllare se è aggiornato, collegarlo all'obbligo e al titolare corretti. Questo è esattamente il tipo di compito per cui la werkscan di FTE TO AI calcola quale parte può essere assunta dall'IA, in modo da chiarire quanta parte della raccolta e dell'organizzazione delle prove rimane lavoro manuale e quanta parte può essere fornita in modo automatizzato.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.