Un documento di policy descrive ciò che un'organizzazione vuole. Un controllo descrive ciò che effettivamente accade. Tra questi due elementi c'è uno spazio, e in quello spazio abitano le domande che un revisore, un'autorità di controllo o un nuovo amministratore pone per primo. Non: avete una policy? Ma: potete dimostrare che la policy corrisponde anche alla prassi?
Un documento di policy può essere completo, attuale e ben scritto, e tuttavia non dire nulla su ciò che accade sul campo. La politica è una promessa. La prassi è ciò che è stato realmente rispettato. La differenza sta nella domanda su chi esegue la politica, come ciò avviene e cosa ne è stato documentato. Senza questi tre elementi, un documento di policy è una dichiarazione di intenti, non una prova.
È proprio su questa distinzione che si fonda un registro degli obblighi. Non: quale regola si applica, ma: chi è responsabile della conformità, quale prova ne esiste e quale control dimostra che il processo è ripetibile. Senza un responsabile, un obbligo resta sulla carta. Chi dovrebbe essere il responsabile di un obbligo non è quindi una questione amministrativa, ma la domanda che fa la differenza tra politica e prassi.
Una prova non è il documento di policy in sé. Una prova è la traccia che l'esecuzione di quella politica lascia: un modulo approvato, un dato di log, un'e-mail con una decisione, un rapporto consegnato a una data fissa. Una prova esiste solo se è stata registrata nel momento in cui l'evento è accaduto, non ricostruita successivamente.
È qui che molte organizzazioni si arenano. La politica esiste, l'intenzione è sincera, ma la prova è frammentaria o esiste solo dopo che è stata richiesta. Un percorso di assurance mette questa differenza spietatamente a nudo. Cosa richiede esattamente una dichiarazione di assurance a un dossier è quindi una domanda a parte: cosa richiede una dichiarazione di assurance al vostro dossier mostra che il livello richiesto è più alto di una semplice raccolta di documenti in una cartella.
La Compliance Check rende visibile dove politica e prassi si discostano. Questa visibilità non equivale alla soluzione. Il metodo indica quale obbligo non ha un responsabile, quale control manca e quale prova non esiste ancora. Non esegue il control e non scrive la politica. Fornisce una struttura con cui un'organizzazione può constatare autonomamente dove la prassi resta indietro rispetto alla promessa, e questo è un risultato diverso dal colmare quel divario.
Non è nemmeno una fotografia statica che resta valida nel tempo. Gli obblighi cambiano, i responsabili cambiano funzione, e ciò che oggi vale come prova domani potrebbe non essere più sufficiente. Quanto spesso un registro degli obblighi necessiti effettivamente di aggiornamento è una domanda che molte organizzazioni sottovalutano: quanto spesso cambia un registro degli obblighi descrive perché non si tratta di un esercizio unico.
La differenza tra politica e prassi si amplia quanto più parti sono coinvolte nell'esecuzione, e questo vale in particolare per le organizzazioni con sedi in più paesi. Una regola europea riceve un'applicazione propria in ciascun paese, e la politica scritta a livello di sede centrale non si collega automaticamente a ciò che viene tenuto localmente. La prassi in una sede può differire notevolmente da quella in un'altra, mentre il documento di policy in entrambi i casi è identico.
Ciò rende la manutenzione di queste specifiche nazionali un compito ricorrente piuttosto che una verifica unica. Come farlo senza finire in una giungla di abbonamenti sparsi e strumenti locali è descritto in come tenere aggiornate le specifiche nazionali senza una giungla di abbonamenti.
Un rapporto descrive uno stato in un dato momento. La differenza tra politica e prassi, tuttavia, cambia continuamente, e una fotografia statica diventa obsoleta non appena si verifica la prima modifica. Ecco perché una compliance check come metodo mira a qualcosa di diverso da un rapporto: si tratta di un registro vivente in cui responsabilità, prova e control restano costantemente collegati tra loro, invece di un documento che, una volta consegnato, è immediatamente datato.
I costi del non sapere a quali obblighi un'organizzazione è soggetta diventano solitamente visibili solo nel momento in cui un'autorità di controllo, una banca o un grande cliente chiede una dimostrazione e questa non risulta esistere. Cosa può significare trovarsi senza risposta in quel momento è illustrato in quanto costa non sapere a cosa siete soggetti.
Stabilire la differenza tra politica e prassi solleva spontaneamente una domanda successiva: chi, all'interno dell'organizzazione, ha effettivamente il tempo di raccogliere quella prova, mantenerla aggiornata e rivederla non appena un obbligo cambia. Si tratta di una questione di capacità, e questa è indipendente dal fatto che l'organizzazione sappia cosa deve accadere. FTE TO AI lavora a partire da questa domanda successiva con una scansione del lavoro che calcola, per ciascuna attività, quale parte del lavoro può essere svolta dall'IA, in modo che risulti chiaro dove le persone recuperano tempo per il lavoro che un computer non può svolgere: valutare, decidere e rendere conto.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.