Kennisbank

Dowód, który audytor może znaleźć

Obowiązek jest wykazany dopiero wtedy, gdy istnieje coś, co inna osoba może zweryfikować bez konieczności pytania o to. To jest istota wykazywalności: nie to, co pan/pani wie, że się wydarzyło, ale to, co audytor, organ nadzoru lub nowy compliance officer może odnaleźć bez konieczności uzyskiwania wyjaśnień. Wiele firm odkrywa dopiero w trakcie audytu, że dowód wprawdzie istnieje, ale nie da się go znaleźć.

Co liczy się jako dowód

Dowód nie jest tym samym co polityka. Dokument polityki mówi, jaka jest intencja; dowód pokazuje, że ta intencja została również zrealizowana. Chodzi na przykład o zatwierdzoną decyzję z datą i nazwiskiem osoby zatwierdzającej, wymianę e-maili, z której wynika dokonana analiza, dziennik kontroli, która faktycznie została przeprowadzona, lub raport, który jest zgodny z danymi źródłowymi. To, co dokładnie liczy się jako wystarczający dowód, różni się w zależności od obowiązku, a co liczy się jako dowód przy obowiązku w grupie z wieloma podmiotami pokazuje, jak to pytanie się zaostrza, gdy w grę wchodzi kilka lokalizacji lub spółek zależnych. Wspólnym motywem jest to, że rozróżnienie między polityką a praktyką jest często niedoceniane: dokument, który dobrze wygląda, nie jest dowodem, że ktoś według niego postępował. Jak uwidocznić tę różnicę, opisano na stronie jak wykazać, że polityka to również praktyka.

Skąd pochodzi dowód

Dowód najczęściej nie powstaje w miejscu, w którym jest ostatecznie potrzebny. Ocena ryzyka jest dokonywana przez zespół operacyjny, zatwierdzenie odbywa się w e-mailu, kontrola zostaje zapisana w arkuszu kalkulacyjnym, który znajduje się jedynie na lokalnym dysku. Do czasu, gdy audytor zapyta o wykazanie, że obowiązek został wypełniony, ktoś musi ten dowód ponownie odnaleźć. Przy jednym podmiocie jest to już trudne; przy grupie z wieloma lokalizacjami, krajami lub spółkami zależnymi staje się to prawdziwym poszukiwaniem. Każdy podmiot może mieć własne archiwum, własny system, własny sposób rejestrowania. Gdzie to dokładnie się nie udaje i dlaczego nie jest to jedynie kwestia dyscypliny, opisano na stronie gdzie dowód ulega rozproszeniu w grupie z wieloma podmiotami. Dla struktur grupowych istnieje osobne omówienie tego samego pytania, co na tej stronie, dostosowane do tej sytuacji: jak przechowywać dowody tak, aby audytor je znalazł w grupie.

Kto musi być w stanie to znaleźć

Znajdowalność zaczyna się od własności (ownership). Dowód, który nigdzie nie ma właściciela, nigdzie nie jest utrzymywany, a więc też nie jest przechowywany w miejscu, w którym ktoś mógłby go znaleźć. Dla każdego obowiązku istnieje ktoś, kto ostatecznie może wyjaśnić, co zostało zrobione i dlaczego; kto to jest, nie jest zawsze oczywiste w organizacji z wieloma działami lub podmiotami. Jak ustala się to ownership i dlaczego nie leży ono automatycznie w dziale compliance, opisano na stronie kto jest właścicielem obowiązku. Gdy ta własność jest już jasna, kolejnym pytaniem nie jest kolejny dokument, lecz struktura, która łączy obowiązek, właściciela i dowód. Taka struktura nazywana jest zazwyczaj control matrix, a co ta matryca rozwiązuje, a czego nie, wyjaśniono na stronie co to jest control matrix.

Przechowywanie to nie kwestia większej ilości pamięci

Odruchem przy wykazywalności jest często: rejestrować więcej, archiwizować więcej, tworzyć więcej folderów. To nie rozwiązuje problemu. Audytor, który musi przeszukać trzy systemy, aby zweryfikować jeden obowiązek, nie odbiera tego jako bycia in control, nawet jeśli dowód faktycznie istnieje. Pytanie nie brzmi, ile jest dowodów, ale czy można je odtworzyć: od obowiązku do właściciela, do dowodu, do kontroli, która wykazuje, że coś się wydarzyło. Bez tej możliwości odtworzenia dowód pozostaje rozproszony, nawet jeśli na papierze jest kompletny.

Dotyczy to tym silniej, im większa i bardziej złożona jest organizacja. Krajowe implementacje tej samej europejskiej regulacji wypadają różnie w różnych krajach, z innymi terminami, innymi instytucjami i innymi oczekiwaniami co do tego, co liczy się jako dowód. To, co w jednym kraju jest wystarczające, nie jest automatycznie wystarczające w drugim. To sprawia, że centralna, odtwarzalna struktura dla dowodów nie jest kwestią porządku, lecz warunkiem zachowania przeglądu tego, co faktycznie zostało zarejestrowane w każdym kraju, każdym podmiocie i przy każdym obowiązku.

Do czego to prowadzi

Rejestrowanie, utrzymywanie i sprawianie, że dowody są odnajdywalne, samo w sobie jest formą pracy: porządkowanie dokumentów, tworzenie odniesień, sprawdzanie, czy dokumentacja jest kompletna, zanim audytor o to zapyta. Część tej pracy jest powtarzalna i przebiega według ustalonego wzorca dla każdego obowiązku. Kto chce wiedzieć, jaką część tej pracy może przejąć AI, a jaka część pozostaje zależna od ludzkiej oceny, może to sprawdzić za pomocą werkscan od FTE TO AI, który dla każdego zadania wskazuje, ile jest przestrzeni na automatyzację.