Prawie każdy zarząd, który mówi, że został zaskoczony jakimś obowiązkiem, miał już gdzieś na radarze odpowiednią europejską dyrektywę. Tym, czego brakowało, nie była wiedza, że coś nadchodzi, lecz wglądu w to, co z tego zrobiono w krajowej implementacji. Dyrektywa jest w każdym kraju wdrażana inaczej: inne progi, inne terminy, inne instytucje sprawujące nadzór. Kto śledzi jedynie tekst europejski, widzi zarysy, ale nie ostre krawędzie, które różnią się w zależności od kraju.
W tym leży wspólny motyw. Krajowe odmienności są strukturalnie niedoceniane, ponieważ uwaga skupia się na poziomie europejskim, a przyjmuje się, że krajowe tłumaczenie będzie tylko formalnością. Często nie jest to formalność. Sposób, w jaki śledzi Pan/Pani krajowe odmienności bez wpadania w dżunglę abonamentów, decyduje w praktyce o tym, czy obowiązek zostanie zauważony na czas, czy stanie się widoczny dopiero wtedy, gdy nadejdzie pierwsze pytanie od organu nadzorczego.
Drugie wyjaśnienie zaskoczenia jest bliżej domu. Często istnieje dokument polityki, intencja, paragraf w raporcie rocznym. Nie zawsze istnieje praktyka, która temu odpowiada w chwili, gdy naprawdę o to chodzi. Warto przeczytać jaka jest różnica między polityką a praktyką i dlaczego właśnie ta różnica jest miejscem, w którym kontrola się załamuje. Polityka opisuje intencję; kontrola (control) dowodzi, że ta intencja rzeczywiście się realizuje, wielokrotnie i z dowodami.
Ta różnica wyjaśnia też, dlaczego organizacja często czuje się bezpieczniej, niż jest w rzeczywistości. Istnieje dokument, kiedyś podjęto decyzję, i na tej podstawie temat uznaje się za zamknięty. Obowiązek, który został wypełniony jednorazowo i potem nie był już aktualizowany, jest w praktyce obowiązkiem niewypełnionym w momencie, gdy o niego zapytają.
Trzecim powodem zaskoczenia jest niejasny właściciel. Obowiązek, który nie należy konkretnie do nikogo, jest przez wszystkich śledzony trochę, a przez nikogo w pełni. Gdy okazuje się, że termin został przekroczony albo raport nie był kompletny, pytanie, kto powinien to zasygnalizować, jest już równie bez odpowiedzi jak samo pytanie. Warto więc ustalić, kto powinien być właścicielem obowiązku, zanim to pytanie stanie się nagłe, a nie po fakcie.
Właściciel bez dowodów jest zresztą równie narażony jak dowody bez właściciela. Potrzebne jest jedno i drugie, i obie te rzeczy muszą odpowiadać temu, czego rzeczywiście oczekuje strona zewnętrzna.
Ostatnim czynnikiem jest ruch. Rejestry obowiązków nie są dokumentami, które tworzy się jednorazowo i potem odkłada na bok. Przepisy się zmieniają, krajowe implementacje są aktualizowane, progi są rewidowane. Jak często to się dzieje i co to oznacza dla sposobu, w jaki rejestr jest utrzymywany, opisano na stronie o tym, jak często zmienia się rejestr obowiązków. Rejestr, który był prawidłowy rok temu, nie jest automatycznie rejestrem, który jest prawidłowy dzisiaj.
Dla zarządu bardziej wiarygodne jest wiedzieć, czego metoda nie rozwiązuje, niż usłyszeć, że wszystko jest zabezpieczone. Ten sposób pracy ustala, jakie obowiązki mają zastosowanie, kto jest właścicielem, jakie dowody są potrzebne i jaka kontrola do tego przynależy. Nie mówi z góry, który konkretnie artykuł, próg czy termin ma zastosowanie; to zależy od dokładnej sytuacji i od aktualnego tekstu prawnego, który należy sprawdzić u źródła, a nie w streszczeniu, które może być nieaktualne. Nie gwarantuje też zatwierdzenia przez organ nadzorczy czy audytora. To, co robi, to dostarczenie struktury, za pomocą której zarząd może wykazać, że ma przegląd sytuacji i że ten przegląd również utrzymuje.
To inny rodzaj rezultatu niż raport. Raport opisuje sytuację w danym momencie; struktura, która łączy własność, dowody i kontrolę, pozostaje użyteczna, gdy sytuacja się zmienia. Dlaczego właśnie ta różnica ma znaczenie w procesie assurance, wyjaśniono na stronie o tym, czego oświadczenie assurance wymaga od dokumentacji, oraz dlaczego kontrola zgodności (compliance check) jest czymś innym niż raport, który jako samodzielny dokument znika w szufladzie.
Gdy jasne jest, jakie obowiązki mają zastosowanie, kto jest właścicielem i jakie dowody są potrzebne, samo wynika kolejne pytanie: kto zajmie się utrzymaniem potrzebnym do tego, by to było aktualne, i jaka część tej pracy jest wystarczająco powtarzalna, by ją inaczej zorganizować. Skan pracy FTE TO AI wylicza dla każdego zadania, jaką część pracy można przekazać AI, i jest w ten sposób logicznym następnym krokiem, gdy rejestr obowiązków już istnieje: nie po to, by zastąpić kontrolę, lecz by ustalić, co strukturalnie trzeba dodać, aby tę kontrolę utrzymać.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.