Zarząd, który twierdzi, że jest in control, wypowiada twierdzenie. Organ nadzoru, biegły rewident lub audytor pyta o dowód stojący za tym twierdzeniem. Dowód ten nie polega jedynie na intencji czy dokumencie polityki. Składa się z łańcucha: jaki obowiązek obowiązuje, kto za niego odpowiada, jaki dowód wykazuje, że obowiązek jest wypełniany, oraz jaka kontrola sprawdza, czy ten dowód pozostaje aktualny. Jeśli brakuje jednego ogniwa, twierdzenie się rozpada.
Pytanie "czy jesteśmy in control" to więc w istocie cztery pytania. Czy wiemy, jakie obowiązki nas dotyczą. Czy ktoś czuje się za nie odpowiedzialny. Czy istnieje dowód wykazujący, że obowiązek jest wypełniany. I czy istnieje kontrola, która ten dowód okresowo sprawdza. Zarząd, który ma odpowiedź na każde z tych czterech pytań, może przedstawić dokumentację. Zarząd, który ma odpowiedź tylko na pierwsze pytanie, ma listę — a lista to nie wykazywalność.
Wiele organizacji dysponuje przeglądem regulacji. Czego często brakuje, to powiązanie dla każdego obowiązku: kto jest właścicielem, jaki jest dowód, jaka kontrola istnieje. Bez tego powiązania lista pozostaje zbiorem odrębnych punktów. Kto powinien być właścicielem obowiązku nie jest przy tym formalnością; bez wyznaczonego właściciela obowiązek gubi się między działami, a nikt tego nie zauważa, dopóki nie zapyta się o dowód.
Drugi powód, dla którego listy nie wystarczają: polityka i praktyka się rozchodzą. Organizacja może mieć zapisaną procedurę, bez faktycznego jej stosowania. Jaka jest różnica między polityką a praktyką dotyka sedna tego, co kontrola właściwie sprawdza: nie czy dokument istnieje, ale czy praktyka odpowiada temu, co dokument opisuje. Proces assurance pyta o to drugie, nie o pierwsze.
Compliance Check mapuje, jakie obowiązki obowiązują, i przypisuje do każdego obowiązku właściciela, formę dowodu oraz kontrolę. Wynikiem nie jest porada ani ocena tego, jak dobrze organizacja sobie radzi. To struktura: rejestr, w którym dla każdego obowiązku widać, kto za co odpowiada i czym można to wykazać. Ta struktura jest tym, czego zarząd potrzebuje, aby w chwili zapytania pokazać coś konkretnego, a nie udzielać zapewnień.
Czego Compliance Check nie robi: nie mówi, czy obowiązek jest faktycznie wypełniany. To pozostaje zadaniem organizacji oraz, gdzie to istotne, biegłego rewidenta lub dostawcy assurance. Check porządkuje i uwidacznia, gdzie brakuje dowodu i kontroli; sam dowodu nie dostarcza. Kto szuka oceny jakości przestrzegania przepisów, nie znajdzie tu wyroku. Kto szuka struktury, by tę zgodność samodzielnie wykazać, znajdzie ją.
To podejście nie zastępuje porady prawnej co do tego, jaki próg, termin czy artykuł ma dokładnie zastosowanie. Te szczegóły się zmieniają, różnią się zależnie od sytuacji i zależą od precyzyjnego tekstu regulacji obowiązującego w danym momencie. Po aktualny tekst i precyzyjne warunki ta strona odsyła do samego źródła, nie do streszczenia, które może się zdezaktualizować.
Druga granica: regulacje nie są statyczne. Rejestr obowiązków, który dziś jest prawidłowy, może w przyszłym roku być niekompletny. Jak często zmienia się rejestr obowiązków to więc nie kwestia poboczna, lecz część samej wykazywalności: rejestr bez rytmu aktualizacji jest zdjęciem chwili, nie dowodem ciągłej kontroli.
Trzecia granica dotyczy konkretnie kontekstu europejskiego. Ten sam europejski przepis wypada inaczej w każdym państwie członkowskim: inne progi, inne terminy, inne organy nadzoru. Organizacja, która znaTylko tekst europejski, a nie krajowy dodatek, przeoczy część obowiązku. Jak śledzić krajowe dodatki bez dżungli abonamentów opisuje, dlaczego ten punkt jest częściej niedoceniany niż oczekiwano, i dlaczego to właśnie ta krajowa warstwa zaskakuje zarządy.
Gdy biegły rewident lub dostawca assurance wydaje oświadczenie dotyczące przestrzegania obowiązków sprawozdawczych, nie pyta o intencję, lecz o dokumentację: dokumenty źródłowe, zapisanego właściciela dla każdego tematu oraz mechanizm kontrolny wykazujący, że proces jest powtarzalny, nie jednorazowy. Czego oświadczenie assurance wymaga od Twojej dokumentacji opisuje te wymagania bardziej konkretnie. Zarząd, który się do tego przygotowuje, dobrze zrobi, budując dokumentację przed zadaniem pytania, nie po nim.
Ten sposób postępowania określa, co musi się wydarzyć i kto to robi. Nie mówi nic o tym, ile czasu to zajmuje, ani jaka część tej pracy pozostaje manualna, a jaką można zautomatyzować. Kto zastanawia się, ile pojemności strukturalnie wymaga rejestr obowiązków, zbieranie dowodów i utrzymywanie kontroli, oraz jaką część można przejąć za pomocą AI, znajdzie do tego skan pracy FTE TO AI: wylicza on dla każdego zadania, jaka część pracy się do tego kwalifikuje, niezależnie od pytania, jakie obowiązki dokładnie obowiązują.
Compliance Check jest w budowie. Kto chce skorzystać z wyniku, gdy będzie dostępny, może zapisać się na listę oczekujących.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.