Zarząd może zatwierdzić dokument polityki i jednocześnie nie wiedzieć, czy ta polityka jest również stosowana. To nie jest wyjątek, to normalny stan rzeczy w organizacji, w której polityka jest pisana centralnie, a wykonywana zdecentralizowanie. Pytanie, które stawia audytor, nie brzmi "czy ma pan/pani politykę", ale "czy może pan/pani wykazać, że ta polityka działa". To inny rodzaj pytania i wymaga innego rodzaju odpowiedzi.
Polityka jest intencją. Opisuje, co organizacja chce robić: jak postępuje z dostawcami, z danymi, z ryzykiem. Funkcjonowanie to to, co faktycznie się dzieje na hali produkcyjnej, w systemie, w decyzji podjętej w zeszłym miesiącu. Między tymi dwiema rzeczami może istnieć różnica, którą nikt nie zauważył, po prostu dlatego, że nikt systematycznie nie sprawdził, czy polityka została wykonana tak, jak zamierzono.
Wykazywalność pomostuje tę różnicę. Nie jest to sama polityka, lecz ślad, który dowodzi, że polityka została zastosowana: decyzja, zatwierdzenie, odchylenie, które zostało zasygnalizowane i było przedmiotem działań następczych. Bez tego śladu polityka jest deklaracją intencji, nie wykonania.
Nie każdy dokument dotyczący danego tematu jest dowodem, że obowiązek został spełniony. Opis procesu pokazuje, jak coś powinno działać, nie że tak działało. Dowód, który się utrzyma, jest zazwyczaj bardziej konkretny: zatwierdzenie z datą i nazwiskiem, log systemowy, raport o odchyleniu z podjętym krokiem następczym. Co liczy się jako dowód przy obowiązku, opracowane dla grupy z wieloma podmiotami pokazuje, jaki poziom szczegółowości jest potrzebny, aby uczynić obowiązek wykazywalnym, a jaki poziom jest niewystarczający.
To rozróżnienie jest ważniejsze, niż się wydaje. Organizacja, która ogranicza się do dokumentów polityki i przeglądów szkoleń, ma zazwyczaj więcej papieru niż dowodów. Pytanie nie brzmi, ile jest dokumentacji, ale czy ta dokumentacja dowodzi, że konkretna czynność w konkretnym momencie została wykonana przez konkretną osobę.
W jednym podmiocie z przejrzystą organizacją dowód można zazwyczaj znaleźć w ograniczonej liczbie miejsc. W grupie z wieloma podmiotami, krajami lub działami powstaje inny obraz. Polityka jest ustalana centralnie, ale wykonanie odbywa się w spółkach zależnych, które mają własne systemy, własne osoby odpowiedzialne i własne sposoby dokumentowania. Dowód, że polityka działa, powstaje więc w dziesiątkach miejsc jednocześnie, bez centralnego przeglądu tego, gdzie ten dowód się dokładnie znajduje.
Gdzie dowód się rozprasza w grupie z wieloma podmiotami opisuje, jak powstaje ta fragmentacja i dlaczego często wychodzi na jaw dopiero w momencie, gdy ktoś faktycznie potrzebuje tego dowodu. Ten moment to zazwyczaj audyt, due diligence lub pytanie organu nadzorczego, i to jest właśnie moment, w którym pośpiech i niepewność są najbardziej szkodliwe.
Dowód, który istnieje, ale nie jest do znalezienia, w praktyce nie funkcjonuje jako dowód. Audytor, który musi czekać trzy tygodnie na odpowiedź, która gdzie indziej już leżała, wyciąga z tego wniosek dotyczący jakości kontroli wewnętrznej, niezależnie od pytania, czy sama polityka była merytorycznie w porządku. Wykazywalność wymaga więc nie tylko dowodu, ale struktury, w której ten dowód pojawia się w rozsądnym czasie.
Jak przechowywać dowód, aby audytor go znalazł, opracowane dla grupy z wieloma podmiotami omawia tę wykrywalność: gdzie dowód jest rejestrowany, kto ma do niego dostęp i jak zapobiec temu, aby odpowiedź na proste pytanie stała się wielotygodniowym poszukiwaniem. Do tego należy również jasne przypisanie własności: kto jest właścicielem obowiązku w grupie z wieloma podmiotami określa nie tylko, kto jest odpowiedzialny za wykonanie, ale również kto może zostać zapytany w momencie, gdy dowód jest wymagany.
Aby połączyć politykę i praktykę, dla każdego obowiązku musi być jasne, kto jest właścicielem, co liczy się jako dowód i jaka kontrola dowodzi, że dowód jest okresowo sprawdzany. Te trzy elementy razem tworzą matrycę kontroli: przegląd łączący obowiązek, właściciela i dowód, dzięki czemu zarząd nie musi przy każdym pytaniu rekonstruować, kto był za co odpowiedzialny. Ta sama struktura, opracowana specjalnie dla złożoności struktury grupowej, jest opisana w jak wykazać, że polityka jest również praktyką w grupie z wieloma podmiotami.
Compliance Check firmy csrdcompliance.net jest w budowie. Celem jest przegląd, w którym dla każdego obowiązku zapisani są właściciel, dowód i odpowiadająca mu kontrola, dzięki czemu zarząd może wykazać, że ma sytuację pod kontrolą, zamiast musieć to twierdzić. Kto chce skorzystać z tego narzędzia, gdy będzie dostępne, może zapisać się na listę oczekujących.
Zmapowanie własności i dowodów to jedna strona sprawy, wykonanie wszystkich tych kontroli i rejestracji to druga. Kto zastanawia się, jaka część tej pracy wykonawczej faktycznie musi pozostać pracą ludzką, może skorzystać ze skanu pracy FTE TO AI: oblicza on dla każdego zadania, jaka część pracy może zostać przejęta przez AI, a jaka część wymaga oceny, która pozostaje w gestii człowieka.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.