Kennisbank

Cosa fissa esattamente una control-matrix

Un organo di amministrazione al quale viene chiesto di dimostrare di essere in control non può limitarsi a comunicare che esiste una politica. Deve esistere una struttura che mostri, per ogni obbligo, chi ne è responsabile, quale prova esiste e quale controllo garantisce che tale prova continui a essere corretta. Questa struttura si chiama control-matrix. Non è una forma di rendicontazione né un modello da compilare per un revisore; è il modo in cui un'organizzazione può spiegare a se stessa cosa avviene e perché ciò è sufficiente.

Le tre colonne che contano davvero

Una control-matrix consiste in più di un elenco di obblighi. Per ogni obbligo devono essere fissati almeno tre elementi: chi è il responsabile, qual è la prova che dimostra che l'obbligo è stato soddisfatto, e quale controllo verifica che tale prova rimanga aggiornata e corretta. Senza un responsabile, un obbligo non è compito di nessuno. Senza una prova, un obbligo è un'intenzione. Senza un controllo, la prova è una fotografia di un momento che invecchia non appena l'organizzazione cambia. Chi è responsabile di un obbligo in un gruppo con più entità non è quindi un dettaglio da compilare in seguito, ma il primo elemento che deve essere fissato prima che una matrice abbia un significato.

Ciò che conta come prova varia in base all'obbligo e al paese in cui l'obbligo si applica. Una norma europea che nel testo di base appare univoca viene spesso attuata diversamente nel recepimento nazionale: forma di prova diversa, frequenza diversa, organo diverso che deve stabilirla. Una matrice che non lascia spazio a questo aspetto appare completa ma non lo è. Per un'elaborazione precisa di ciò che, in un caso concreto, conta come prova, cosa conta come prova per un obbligo in un gruppo con più entità è il punto di partenza, non questa pagina.

Perché la prova si disperde

In un gruppo con più entità, più paesi o più reparti, la prova raramente nasce in un unico luogo. La politica è presso l'ufficio legale, l'attuazione presso una sede locale, la rendicontazione presso finance, e l'approvazione presso un organo di amministrazione che non vede l'insieme quotidianamente. Una control-matrix che non mappa questo aspetto nasconde il fatto che la frammentazione è il vero rischio. Non l'assenza di una politica, ma l'impossibilità di ritrovare la prova che la politica sia stata effettivamente applicata. Dove ciò va esattamente storto e perché nelle strutture di gruppo accade più spesso che in una singola entità, è illustrato in dove la prova si disperde in un gruppo con più entità.

Una matrice non risolve questa frammentazione raccogliendo tutto in un unico luogo — spesso non è praticabile e nemmeno necessario. Ciò che la matrice fa, invece, è indicare dove si trova ciascun elemento di prova e chi può indicarlo nel momento in cui viene richiesto. Questo è un obiettivo diverso dalla centralizzazione: si tratta di reperibilità, non di raccolta.

La politica non è la stessa cosa della prassi

Un errore frequente in una control-matrix è che la prova consista nel documento di policy stesso. Un documento di policy dimostra che un'organizzazione ha deciso qualcosa, non che ciò avvenga. Un revisore o un'autorità di controllo che approfondisce vuole sapere come la politica si traduce in un'azione concreta e ripetibile: un'approvazione registrata, un controllo eseguito, una deviazione segnalata e seguita. Come funziona questa distinzione nella prassi è illustrato in come si dimostra che la politica è anche prassi in un gruppo con più entità. Una control-matrix che non fa questa distinzione dà una falsa sicurezza: completa sulla carta, non difendibile nella prassi.

La reperibilità come requisito, non come aspetto secondario

Il valore di una control-matrix non dipende dal grado di completezza al momento della sua redazione, ma da quanto bene resiste nel momento in cui qualcuno dall'esterno lo richiede. Ciò significa che la prova non deve solo esistere, ma anche essere conservata in un modo che un revisore senza conoscenza preliminare dell'organizzazione possa seguire. Una matrice che rinvia a una prova che nessuno riesce più a ritrovare è, nella prassi, una matrice vuota. Ciò che è necessario in termini di conservazione e struttura è illustrato in come conservare la prova affinché un revisore la trovi in un gruppo con più entità. In un gruppo con più entità questo è un punto di attenzione a parte, poiché la prova conservata a livello locale raramente è automaticamente visibile per chi rende conto a livello di gruppo. Ulteriori informazioni sulla struttura della matrice stessa in tale contesto sono disponibili in cos'è una control-matrix in un gruppo con più entità.

Dalla matrice all'esecuzione

Una control-matrix rende visibile chi deve raccogliere quale prova, mantenerla aggiornata e poterla mostrare. È un lavoro che si ripete: lo stesso controllo, la stessa raccolta, la stessa verifica, ripetuti volta dopo volta, spesso su più entità e paesi contemporaneamente. Non appena questa ripetizione diventa visibile, sorge la domanda su quale parte di essa sia un compito che qualcuno deve svolgere ogni volta da capo, e quale parte sia sufficientemente sistematica da poter essere organizzata in modo diverso. La werkscan di FTE TO AI calcola, per ogni compito, quale parte di quel lavoro può essere svolta dall'IA, sulla base dei compiti come già descritti in una control-matrix.