Un obbligo scritto su carta non è ancora un obbligo che è stato rispettato. Tra 'abbiamo una policy' e 'dimostriamo di avere il controllo' c'è uno strato che viene spesso saltato: la prova. E non ogni documento che si trova da qualche parte conta come prova.
Un documento di policy descrive un'intenzione. Dice cosa un'organizzazione vuole fare, non cosa è effettivamente accaduto. Un auditor o un'autorità di controllo non chiede la policy, ma il suo risultato: la valutazione del rischio è stata effettivamente fatta, l'approvazione è stata registrata, la deviazione è stata segnalata nel momento in cui si è verificata. Il modo in cui questo passaggio dalla policy alla pratica viene rendicontato dipende dal tipo di obbligo e dal modo in cui è organizzato un processo; come dimostrare che la policy è anche pratica approfondisce questa distinzione.
La prova è una traccia che registra un'azione, una decisione o un controllo nel momento in cui è avvenuto, con una data, un nome e un risultato. Un'email in cui è stato segnalato un rischio. Una riga di verbale in cui un consiglio ha fatto una valutazione. Un file di log che mostra che un controllo è stato effettivamente eseguito, non solo che era pianificato. Una dichiarazione firmata da un fornitore. La caratteristica comune: è possibile ricostruire a posteriori chi ha fatto cosa e quando, senza che qualcuno debba raccontarlo di nuovo.
Se qualcosa conta come prova dipende fortemente dall'obbligo a cui si riferisce. Un obbligo di rendicontazione richiede un tipo di traccia diverso da un dovere di diligenza, e un dovere di diligenza richiede ancora qualcosa di diverso da un obbligo di segnalazione. Non esiste un elenco fisso che dia la stessa risposta per ogni obbligo; ciò che conta deriva dalla natura dell'obbligo stesso e da ciò che un'autorità di controllo ha stabilito in merito.
Nella pratica, la prova raramente nasce in un solo posto. Una valutazione del rischio si trova in un foglio di calcolo della prima linea. L'approvazione si trova in uno scambio di email con un responsabile. Il controllo finale si trova in un sistema di terze parti. Quando un obbligo deve essere dimostrato, qualcuno deve ritrovare e ricomporre queste tre tracce — e non sempre ci si riesce. Con la crescita di un'organizzazione, con più reparti o con più partner esterni, aumenta la probabilità che la prova si trovi in un luogo che nessuno più conosce. dove la prova si disperde descrive i pattern più frequenti in questo senso: passaggi tra reparti, cambi di sistema e processi affidati a un partner esterno.
Una prova che non è reperibile per nessuno se non per chi l'ha creata non funziona come prova. Un auditor, un nuovo compliance officer o un'autorità di controllo deve poter seguire una traccia senza che l'estensore originale sia presente per spiegarla. Questo impone requisiti su dove viene conservata la prova e come è etichettata: collegata all'obbligo a cui si riferisce, con una data e un responsabile, in un luogo che non dipende da una sola persona che per caso è ancora in servizio. come conservare le prove in modo che un auditor le trovi approfondisce questa organizzazione.
Ogni prova appartiene a un obbligo, e ogni obbligo appartiene a qualcuno che può spiegare perché la prova è sufficiente. Senza questo collegamento si crea un archivio di documenti di cui nessuno sa più più quale obbligo dovessero dimostrare, o chi fosse responsabile della loro qualità. chi è il proprietario di un obbligo descrive perché questa attribuzione non è una formalità, ma l'anello che rende utilizzabile la prova nel momento in cui viene richiesta.
I quattro elementi — obbligo, proprietario, prova, controllo — dovrebbero stare insieme in un unico quadro d'insieme, non dispersi tra reparti e sistemi. Questo quadro ha un nome: una control matrix. Cosa contiene esattamente questa matrice e come viene costruita è descritto in cos'è una control matrix. In un gruppo con più entità o sedi in diversi paesi questa questione diventa più complessa, perché la prova a un livello non è automaticamente valida a un altro livello; cosa conta come prova per un obbligo all'interno di un gruppo con più entità approfondisce specificamente questa situazione.
Questa pagina descrive cos'è la prova e dove le cose vanno storte, non quale prova sia sufficiente specificamente per la vostra organizzazione. Questo dipende dall'obbligo, dal settore e dal paese in cui è stabilita un'entità — e dal modo in cui i legislatori nazionali hanno recepito una norma europea. csrdcompliance.net segnala questa differenza, ma non sostituisce una consulenza legale e non fornisce alcuna garanzia sull'esito presso un'autorità di controllo.
Mappare e metterla in ordine la prova richiede lavoro: raccogliere tracce, collegarle a un obbligo, etichettarle affinché un altro le possa ritrovare. Una parte di questo lavoro è ripetibile e segue uno schema fisso, il che lo rende adatto a essere (parzialmente) automatizzato. La scansione del lavoro di FTE TO AI calcola, per ogni compito, quale parte di questo lavoro può essere svolta dall'AI, così che risulti chiaro dove le persone restano necessarie per la valutazione e dove la raccolta e l'ordinamento delle prove possono essere supportati. Il Compliance Check di csrdcompliance.net è in fase di realizzazione; chi desidera essere informato al riguardo può iscriversi alla lista d'attesa.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.