Kennisbank

Co matryca kontroli precyzyjnie ustala

Zarząd, od którego wymaga się wykazania, że sprawuje kontrolę, nie może poprzestać na stwierdzeniu, że polityka istnieje. Musi istnieć struktura, która dla każdego obowiązku pokazuje, kto jest odpowiedzialny, jaki dowód istnieje oraz jaki mechanizm kontrolny zapewnia, że ten dowód pozostaje prawidłowy. Ta struktura nazywa się matrycą kontroli. Nie jest to forma raportowania ani szablon wypełniany dla audytora; to sposób, w jaki organizacja może sama sobie wyjaśnić, co się dzieje i dlaczego jest to wystarczające.

Trzy kolumny, które naprawdę się liczą

Matryca kontroli to więcej niż lista obowiązków. Dla każdego obowiązku ustalone są przynajmniej trzy rzeczy: kto jest właścicielem, jaki jest dowód spełnienia tego obowiązku oraz jaki mechanizm kontrolny czuwa nad tym, by ten dowód pozostał aktualny i prawidłowy. Bez właściciela obowiązek nie jest zadaniem nikogo. Bez dowodu obowiązek jest intencją. Bez mechanizmu kontrolnego dowód jest zdjęciem sytuacji, które starzeje się w chwili, gdy organizacja się zmienia. Kto jest właścicielem obowiązku w grupie z wieloma jednostkami nie jest więc szczegółem, który wypełnia się później, ale pierwszą rzeczą, którą trzeba ustalić, zanim matryca zacznie coś znaczyć.

Co liczy się jako dowód, różni się w zależności od obowiązku i kraju, w którym ten obowiązek obowiązuje. Przepis europejski, który w tekście podstawowym wydaje się jednoznaczny, w krajowej transpozycji jest często ujmowany inaczej: inna forma dowodu, inna częstotliwość, inny organ, który musi go ustalić. Matryca, która nie pozostawia na to miejsca, wygląda kompletnie, choć nie jest. Precyzyjne rozwinięcie tego, co w konkretnym przypadku liczy się jako dowód, znajduje się na stronie co liczy się jako dowód dla obowiązku w grupie z wieloma jednostkami - to jest punkt wyjścia, nie ta strona.

Dlaczego dowód rozpada się na części

W grupie z wieloma jednostkami, wieloma krajami lub wieloma działami dowód rzadko powstaje w jednym miejscu. Polityka leży w dziale prawnym, wykonanie w lokalnej jednostce, raportowanie w dziale finansowym, a zatwierdzenie u zarządu, który nie widzi całości na co dzień. Matryca kontroli, która tego nie mapuje, skrywa fakt, że rozdrobnienie jest właściwym ryzykiem. Nie brak polityki, lecz niemożność odnalezienia dowodu, że polityka została również zastosowana. Gdzie to dokładnie się nie udaje i dlaczego przy strukturach grupowych zdarza się to częściej niż przy jednej jednostce, jest opisane na stronie gdzie dowód rozprasza się w grupie z wieloma jednostkami.

Matryca nie rozwiązuje tego rozdrobnienia poprzez zebranie wszystkiego w jednym miejscu — to często jest niewykonalne, a i niepotrzebne. Co matryca robi, to wskazanie, gdzie znajduje się każdy fragment dowodu i kto może na niego wskazać w chwili, gdy zostanie o niego poproszony. To inny cel niż centralizacja: chodzi o możliwość odnalezienia, nie o zbieranie.

Polityka nie jest tym samym co praktyka

Częstym błędem w matrycy kontroli jest to, że dowodem jest sam dokument polityki. Dokument polityki wykazuje, że organizacja coś postanowiła, nie że to się dzieje. Audytor lub organ nadzoru, który dopytuje, chce wiedzieć, jak polityka przekłada się na konkretne, powtarzalne działanie: zatwierdzenie, które zostało odnotowane, kontrolę, która została przeprowadzona, odstępstwo, które zostało zauważone i wyjaśnione. Jak to rozróżnienie działa w praktyce, jest objaśnione na stronie jak wykazać, że polityka jest również praktyką w grupie z wieloma jednostkami. Matryca kontroli, która nie robi tego rozróżnienia, daje fałszywe poczucie bezpieczeństwa: na papierze kompletna, w praktyce nieobronna.

Możliwość odnalezienia jako wymóg, nie kwestia poboczna

Wartość matrycy kontroli nie zależy od tego, jak kompletna jest w chwili jej sporządzania, lecz od tego, jak dobrze się broni w chwili, gdy ktoś z zewnątrz o nią zapyta. To oznacza, że dowód nie tylko musi istnieć, ale musi być również przechowywany w sposób, który audytor bez wcześniejszej wiedzy o organizacji może śledzić. Matryca, która odwołuje się do dowodu, którego nikt już nie może odnaleźć, jest w praktyce puste matrycą. To, co jest do tego potrzebne w zakresie przechowywania i struktury, jest opisane na stronie jak przechowywać dowód, aby audytor go znalazł w grupie z wieloma jednostkami. W grupie z wieloma jednostkami jest to odrębny punkt uwagi, ponieważ dowód przechowywany lokalnie rzadko jest sam z siebie widoczny dla tych, którzy odpowiadają na poziomie grupy. Więcej o budowie samej matrycy w takiej strukturze znajduje się na stronie czym jest matryca kontroli w grupie z wieloma jednostkami.

Od matrycy do wykonania

Matryca kontroli pokazuje, kto musi zbierać jaki dowód, utrzymywać go w aktualności i być w stanie go pokazać. To jest praca, która się powtarza: ta sama kontrola, to samo zbieranie, ta sama weryfikacja, wciąż na nowo, często w wielu jednostkach i krajach jednocześnie. Gdy ta powtarzalność staje się widoczna, powstaje pytanie, która część tego jest zadaniem, które ktoś musi wykonywać każdorazowo na nowo, a która część jest wystarczająco systematyczna, aby zorganizować ją inaczej. Skan pracy FTE TO AI wylicza dla każdego zadania, jaka jego część może zostać przejęta przez AI, na podstawie zadań tak, jak zostały już opisane w matrycy kontroli.