In un'impresa singola, la domanda su chi sia responsabile di cosa trova solitamente una risposta rapida. In un gruppo con più entità — società madre, filiali, forse una joint venture o un'entità in un altro paese — questa evidenza scompare. Un obbligo può essere stabilito a livello di gruppo, ma l'esecuzione spetta a una filiale che non ne è mai stata esplicitamente incaricata. Oppure, al contrario: ogni entità pensa che se ne occupi un'altra entità.
Un organigramma mostra chi riporta a chi. Non mostra chi è responsabile della fornitura dei dati, chi deve tradurre la politica in una pratica locale, e chi può dimostrare che ciò sia avvenuto. Questi tre aspetti possono ricadere su tre persone o reparti diversi, anche all'interno di un'unica entità. In presenza di più entità, questo problema si moltiplica: lo stesso obbligo può ricadere sul CFO nel paese A e su un manager operativo nel paese B, senza che nessuno a livello di gruppo abbia documentato questa differenza.
A ciò si aggiunge che alcuni obblighi non si applicano in modo uniforme. Ciò che un gruppo deve dimostrare in base a una norma europea, può risultare diverso a livello di paese non appena la legislazione nazionale inasprisce o interpreta diversamente quella norma. Chi vuole sapere quali requisiti nazionali aggiuntivi si applicano in Germania o quali requisiti nazionali aggiuntivi si applicano in Francia, constata quindi che la titolarità non è solo una questione organizzativa, ma anche giuridica: l'obbligo stesso può differire per entità.
La titolarità è dimostrabile solo se è stata documentata, non se viene semplicemente presunta. Ciò significa: un nome o una funzione collegata a un obbligo specifico, una descrizione di ciò che quella persona o reparto deve fornire, e una traccia che dimostri che ciò sia effettivamente avvenuto. Senza questa traccia, la domanda "chi ne è titolare" non può essere risolta in sede di controllo con un documento, ma solo con un'ipotesi che nessuno può verificare.
La domanda su cosa conti effettivamente come prova — un documento di politica, un'approvazione, un dataset, un verbale — è approfondita nella pagina che descrive cosa conta come prova per un obbligo. Per un gruppo con più entità vale inoltre un requisito supplementare: la prova deve essere riconducibile all'entità in cui l'obbligo effettivamente si applica, non solo al gruppo nel suo insieme.
In un'impresa singola, le prove si trovano solitamente in un numero limitato di luoghi. In un gruppo, si disperdono tra amministrazioni separate, sistemi IT separati, consulenti locali e team che non comunicano tra loro. Una filiale in un altro paese può conservare le prove in una lingua e in un sistema che la società madre non consulta. Chi deve dimostrare a livello di gruppo che un obbligo è stato rispettato, deve quindi non solo sapere che la prova esiste, ma anche dove esattamente si trova e chi ne ha accesso.
Questa dispersione è uno dei rischi più sottovalutati nei gruppi con più entità, ed è approfondita nella pagina su dove la prova si disperde. Senza una panoramica centrale di dove si trovi quale prova, esiste un rischio concreto che un obbligo, formalmente assegnato, non risulti dimostrabile nella pratica nel momento in cui è necessario.
Un gruppo può stabilire a livello centrale una politica chiara e non vederla comunque riflessa nella pratica di ogni entità. Una filiale può non conoscere la politica, interpretarla male, o seguire un approccio diverso per ragioni locali. La differenza tra una politica stabilita e una politica applicata è esattamente il punto in cui la titolarità diventa visibile: chi è responsabile di segnalare quella lacuna, e chi deve poter dimostrare che tale lacuna non esiste o è stata colmata.
Come funziona questa dimostrabilità all'interno di una struttura di gruppo è illustrato nella pagina che spiega come dimostrare che la politica è anche pratica in un gruppo con più entità. La risposta dipende fortemente da come è strutturato il gruppo e da quali obblighi si applicano a quale livello.
Un modo per riunire titolarità, prove e controlli è una matrice in cui, per ogni obbligo, si stabilisce chi ne è titolare, quale prova è prevista e quale controllo vi si applica. Non è uno strumento giuridico né una garanzia che tutto sia coperto — è una struttura che rende visibile dove ricade la responsabilità e dove resta ancora una lacuna. Cosa comporti una simile matrice in un gruppo con più entità è descritto nella pagina su cosa sia una control matrix in un gruppo con più entità.
Assegnare la titolarità e raccogliere le prove non è solo una questione organizzativa, è anche lavoro: qualcuno deve raccogliere dati, controllare documenti, tenere traccia delle versioni e redigere rapporti, ripetutamente, per ogni entità. Chi desidera avere un quadro chiaro di quale parte di questi compiti ricorrenti possa essere assunta dall'AI e quale parte resti lavoro umano, può farlo calcolare con la werkscan di FTE TO AI.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.