Audytor, który kontroluje wykazywalność, stawia proste pytanie: gdzie znajduje się dowód, że ten obowiązek został wypełniony, i kto może to pokazać. W przypadku jednego podmiotu to zwykle jeszcze da się ogarnąć. W grupie z wieloma oddziałami, spółkami zależnymi lub organizacjami krajowymi dowody rozpraszają się po systemach, folderach i osobach, które się nie znają. To nie musi być oznaka słabej polityki. Często jest to tylko oznaka, że nikt nie ustalił, gdzie dowody powinny się znajdować i kto jest odpowiedzialny za to, żeby tam pozostały.
Dowodem nie jest sam dokument polityki. Audytor pyta o to, co potwierdza, że polityka została również zastosowana: decyzję, zatwierdzenie, raport, rejestr odstępstw, e-mail, w którym osoba odpowiedzialna coś ustaliła. Co dokładnie się liczy, różni się w zależności od obowiązku i momentu w procesie. Na stronie co liczy się jako dowód przy danym obowiązku wyjaśniono, jakie formy dowodów odpowiadają jakiemu typowi obowiązku, i dlaczego deklaracja intencji bez zastosowania w praktyce zwykle nie jest wystarczająca.
W grupie z wieloma podmiotami rozproszenie powstaje w kilku przewidywalnych miejscach. Każdy podmiot może prowadzić własną administrację, we własnym systemie, z własnym nazewnictwem dokumentów. Lokalny dyrektor może podjąć decyzję, która nigdzie nie została odnotowana centralnie. Firma macierzysta może zakładać, że spółka zależna coś uregulowała, bez nigdy tego nie sprawdziwszy. A krajowy oddział może podlegać dodatkowym przepisom, których grupa jako całość nie zna, w wyniku czego dowody na to wcale nie są zbierane. Co jest obowiązkowe w jednym kraju, nie musi być obowiązkowe gdzie indziej, i odwrotnie: przykłady tego znajdują się na stronach jakie krajowe wymogi obowiązują w Niemczech oraz jakie krajowe wymogi obowiązują we Francji. Kto patrzy tylko na przepis europejski, przeoczy część, która została dodana lokalnie, a więc i dowody, które do niej należą.
Dowody, których nikt nie otrzyma jako przypisane zadanie, zwykle nie są prowadzone lub gubią się, gdy ktoś zmienia funkcję. Wykrywalność zaczyna się więc nie od systemu archiwizacji, ale od pytania, kto jest właścicielem każdego obowiązku: kto dba o powstanie dowodu, kto go przechowuje, i kto może go pokazać, gdy zostanie o to poproszony. W grupie z wieloma podmiotami rzadko jest to jedna funkcja dla całej organizacji. Jak taki podział może wyglądać i dlaczego jeden koordynator na poziomie grupy zwykle nie wystarcza, opisano na stronie kto jest właścicielem obowiązku w grupie z wieloma podmiotami.
Audytor szukający dowodów sprawdza nie tylko, czy obowiązek został zapisany w polityce, ale czy ta polityka była też stosowana. Grupa może mieć doskonały dokument polityki dotyczący oceny dostawców, podczas gdy w praktyce tylko część podmiotów kiedykolwiek zastosowała tę politykę. Różnica między tymi dwoma warstwami, i jak uczynić tę różnicę widoczną, a nie skrytą, opisano na stronie jak wykazać, że polityka jest również praktyką w grupie z wieloma podmiotami. Dowody składające się jedynie z tekstów polityki są dla audytora niewystarczające, niezależnie od tego, jak starannie ta polityka została napisana.
Aby uczynić dowody możliwymi do znalezienia w wielu podmiotach, pomaga ustalenie dla każdego obowiązku: kto jest właścicielem, jakie dowody są wymagane, oraz jaka kontrola potwierdza, że proces jest powtarzalny i nie zależy od jednej osoby. Te trzy elementy razem tworzą przegląd, do którego zarząd może zajrzeć bez konieczności wcześniejszego zapytania każdego podmiotu. Co obejmuje taka matryca i jak może się różnić w zależności od podmiotu bez utraty spójności, opisano na stronie co to jest matryca kontroli w grupie z wieloma podmiotami.
Compliance Check mapuje, jakie obowiązki obowiązują grupę, kto jest ich właścicielem, jakie dowody do nich pasują i jaka kontrola potwierdza, że proces działa. Nie jest to zamiennik audytu, ani gwarancja, że audytor będzie zadowolony z tego, co zostanie przedstawione. Jest to struktura, która pozwala zarządowi wiedzieć, gdzie dowody powinny się znajdować, zanim ktoś o to zapyta.
Narzędzie jest w budowie. Kto chce z niego skorzystać, gdy będzie dostępne, może zapisać się na listę oczekujących.
Ustalanie i prowadzenie dowodów samo w sobie jest również pracą: zbieranie dokumentów, sprawdzanie wersji, utrzymywanie aktualnych przeglądów w wielu podmiotach. Część tej pracy jest wystarczająco powtarzalna, aby wspierać ją za pomocą AI. Skan pracy FTE TO AI obliczoa dla każdego zadania, jaka część pracy się do tego kwalifikuje, dzięki czemu staje się jasne, gdzie czas jest poświęcany na poszukiwanie dowodów, a gdzie na ich faktyczną ocenę.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.