Obowiązek rzadko jest realizowany przez jeden dział. Polityka jest pisana przez dział prawny, wdrażana przez biznes, kontrolowana przez finanse i czasem ponownie oceniana przez zewnętrzną stronę. Każdy z tych kroków pozostawia po sobie ślad: dokument, e-mail, zatwierdzenie, wpis w dzienniku. Ten ślad to dowód. Problem nie polega na tym, że dowodu nie ma, lecz na tym, że nikt nie wie precyzyjnie, gdzie się on znajduje.
Większość organizacji korzysta z kombinacji systemów, które nie zostały zbudowane do tego celu: intranetu na potrzeby polityki, systemu HR na potrzeby szkoleń, systemu zakupowego na potrzeby oświadczeń dostawców, skrzynki mailowej na potrzeby korespondencji z organem nadzoru. Każdy system przechowuje swoją część historii. Żaden z tych systemów nie pokazuje całości. Kto musi wykazać, że obowiązek został spełniony, musi więc najpierw ustalić, w którym systemie znajduje się odpowiedni dowód, a następnie czy ten dowód jest wciąż aktualny.
W przypadku jednej jednostki jest to już wyzwanie. W przypadku grupy z wieloma jednostkami, lokalizacjami lub krajami problem narasta wraz z nią. Obowiązek nałożony na poziomie grupy często musi być wykazany lokalnie, i odwrotnie. Co to oznacza konkretnie dla tego, co liczy się jako dowód przy obowiązku w grupie z wieloma jednostkami, zależy od struktury grupy i tego, która jednostka składa jakie sprawozdanie. To samo pytanie dotyczące samego rozproszenia powraca w tekście o tym, gdzie dowody rozpraszają się w grupie z wieloma jednostkami, gdzie sama struktura grupy staje się czynnikiem.
Dowód, który istnieje, ale nie jest odnajdywalny, podczas kontroli funkcjonuje jak dowód, który nie istnieje. Audytor, organ nadzoru lub sam zarząd musi być w stanie sprawdzić, kto za co odpowiadał i gdzie znajduje się uzasadnienie. To wymaga stałego miejsca dla każdego obowiązku, a nie poszukiwań po działach w momencie, gdy pytanie zostaje zadane. Jak taka odnajdywalność jest w praktyce zorganizowana, opisano w tekście o tym, jak przechowywać dowody, by audytor je znalazł.
Wyznaczenie właściciela dla każdego obowiązku nie rozwiązuje automatycznie problemu rozproszonego dowodu, ale czyni go widocznym. Właściciel, który wie, że jest odpowiedzialny, zaczyna szukać dowodu związanego z jego zadaniem i wtedy często odkrywa, że jest on rozproszony po wielu systemach lub współpracownikach. To jest moment, w którym rozproszenie staje się problemem, który można rozwiązać, a nie problemem, który pozostaje niezauważony. Co dokładnie oznacza odpowiedzialność i czym różni się od tego, kto wykonuje zadanie, opisano w tekście o tym, kto jest właścicielem obowiązku.
Inny punkt, w którym dowód się rozpada: istnienie polityki nic nie mówi o jej wdrożeniu. Dokument opisujący, jak proces powinien przebiegać, nie jest dowodem, że proces faktycznie tak przebiega. To wymaga innego rodzaju dowodu, a mianowicie wykazanego wykonania: logów, próbek kontrolnych, raportów odchyleń. Różnica między tymi dwiema warstwami dowodu i sposób ich porównania opisano w tekście o tym, jak wykazać, że polityka jest też praktyką.
Aby rozproszony dowód uczynić zarządzalnym, potrzebny jest stały przegląd: dla każdego obowiązku właściciel, dowód i kontrola wykazująca, że proces działa. Bez tej struktury dowód pozostaje rozproszony, aż ktoś go potrzebuje, a wtedy jest zwykle już za późno, żeby zebrać go w całości. Jak taki przegląd jest skonstruowany i co dodaje do niego kontrola, opisano na stronie co to jest matryca kontroli.
Odpowiedź na pytanie, czy organizacja ma kontrolę nad sytuacją, nie jest udzielana za pomocą deklaracji, lecz za pomocą dowodu, który można odnaleźć w odpowiednim momencie. Dopóki ten dowód jest rozproszony po działach i systemach, z których każdy przechowuje swoją własną część, na to pytanie nie można odpowiedzieć z pewnością. Połączenie właściciela, dowodu i kontroli dla każdego obowiązku to krok, który to umożliwia.
Zbieranie i utrzymywanie aktualności tego dowodu jest samo w sobie pracą, rozproszoną po wielu drobnych zadaniach: pobieraniu dokumentów, sprawdzaniu wersji, aktualizowaniu przeglądów. Skan pracy FTE TO AI wylicza dla każdego zadania, jaka jego część może zostać przejęta przez AI, dzięki czemu staje się jasne, jaka część tej pracy może być zautomatyzowana, a jaka wciąż wymaga oceny człowieka.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.