Quasi ogni direzione che dichiara di essere stata colta di sorpresa da un obbligo, aveva già in qualche modo sul radar la direttiva europea sottostante. Quello che mancava non era la conoscenza che qualcosa stesse arrivando, ma la visibilità su cosa ne fosse stato fatto nel recepimento nazionale. Una direttiva viene recepita in modo diverso in ogni paese: soglie diverse, termini diversi, organi di controllo diversi. Chi segue solo il testo europeo vede i contorni ma non gli spigoli vivi che variano da paese a paese.
È questo il filo rosso. I recepimenti nazionali vengono strutturalmente sottovalutati, perché l'attenzione si concentra sul livello europeo e si presume che la traduzione nazionale sia solo una formalità. Spesso non è così. Il modo in cui tenete traccia dei recepimenti nazionali senza finire in una giungla di abbonamenti determina in pratica se un obbligo emerge in tempo o diventa visibile solo quando arriva la prima domanda di un'autorità di controllo.
Una seconda spiegazione della sorpresa è più vicina a casa. C'è spesso un documento di policy, un'intenzione, un paragrafo nella relazione annuale. Non c'è sempre una prassi che vi corrisponde nel momento in cui conta davvero. Vale la pena leggere qual è la differenza tra policy e prassi e perché è esattamente in quella differenza che un controllo si blocca. Una policy descrive un'intenzione; un control dimostra che quell'intenzione si realizza, in modo ripetuto e con prove a supporto.
Questa differenza spiega anche perché un'organizzazione si sente spesso più al sicuro di quanto in realtà sia. C'è un documento, in passato è stata presa una decisione, e con ciò il tema viene considerato risolto. Un obbligo che è stato soddisfatto una sola volta e poi non più aggiornato è, in pratica, un obbligo non soddisfatto nel momento in cui viene richiesto.
Una terza ragione della sorpresa è un proprietario poco chiaro. Un obbligo che non appartiene specificamente a nessuno viene seguito un po' da tutti e completamente da nessuno. Nel momento in cui risulta che una scadenza è stata persa o che una relazione non era completa, la domanda su chi avrebbe dovuto segnalarlo resta senza risposta quanto la domanda stessa. È perciò rilevante stabilire chi dovrebbe essere proprietario di un obbligo prima che la domanda diventi urgente, non dopo.
Un proprietario senza prove è del resto altrettanto vulnerabile quanto prove senza proprietario. Entrambi sono necessari, ed entrambi devono corrispondere a ciò che una parte esterna si aspetta effettivamente di vedere.
Un ultimo fattore è il movimento. I registri degli obblighi non sono documenti che si redigono una volta e poi si lasciano da parte. La normativa cambia, i recepimenti nazionali vengono adattati, le soglie vengono rivedute. Con quale frequenza ciò accade e cosa significa per il modo in cui un registro viene mantenuto è descritto nella pagina su quanto spesso cambia un registro degli obblighi. Un registro che era corretto un anno fa non è automaticamente un registro ancora corretto oggi.
Per una direzione è più credibile sapere cosa un metodo non risolve piuttosto che sentirsi dire che tutto è coperto. Questo modo di lavorare stabilisce quali obblighi si applicano, chi ne è proprietario, quali prove sono necessarie e quale control vi corrisponde. Non dice in anticipo quale articolo, quale soglia o quale termine esatto si applichi; ciò dipende dalla situazione specifica e dal testo di legge attuale, che va reperito alla fonte stessa, non in una sintesi che potrebbe essere superata. Non garantisce nemmeno l'approvazione di un'autorità di controllo o di un revisore. Ciò che invece fa è fornire la struttura con cui un consiglio di amministrazione può dimostrare di avere una visione d'insieme e di mantenerla aggiornata.
Si tratta di un tipo di risultato diverso da un rapporto. Un rapporto descrive una situazione in un determinato momento; una struttura che collega proprietà, prove e control resta utilizzabile anche quando la situazione cambia. Perché questa differenza conti proprio in un percorso di assurance è spiegato nella pagina su cosa richiede una dichiarazione di assurance da un dossier, e perché un controllo di compliance è qualcosa di diverso da un rapporto che finisce come documento isolato in un cassetto.
Una volta chiaro quali obblighi si applicano, chi ne è proprietario e quali prove sono necessarie, emerge naturalmente un'altra domanda: chi si occupa della manutenzione necessaria per mantenere tutto aggiornato, e quanta parte di quel lavoro è sufficientemente ripetitiva da poter essere organizzata in modo diverso. La werkscan di FTE TO AI calcola, per ogni attività, quale parte del lavoro può essere svolta dall'IA, ed è quindi un seguito logico non appena il registro degli obblighi è in atto: non per sostituire il controllo, ma per determinare cosa serve strutturalmente per mantenerlo nel tempo.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.