Dokument dotyczący polityki opisuje to, czego organizacja chce. Kontrola opisuje to, co faktycznie się dzieje. Między tymi dwoma rzeczami znajduje się przestrzeń, a w tej przestrzeni mieszkają pytania, które audytor, organ nadzoru lub nowy członek zarządu stawia jako pierwsze. Nie: czy mają Państwo politykę? Ale: czy mogą Państwo pokazać, że ta polityka jest również praktyką?
Dokument dotyczący polityki może być pełny, aktualny i dobrze napisany, a mimo to nic nie mówić o tym, co dzieje się w praktyce. Polityka to obietnica. Praktyka to to, co zostało spełnione. Różnica leży w pytaniu, kto realizuje politykę, jak to się dzieje i co z tego zostało udokumentowane. Bez tych trzech elementów dokument dotyczący polityki jest deklaracją intencji, a nie dowodem.
To rozróżnienie jest właśnie tym, na czym zbudowany jest rejestr obowiązków. Nie: jaka reguła obowiązuje, ale: kto jest właścicielem przestrzegania przepisów, jaki dowód na to istnieje i jaka kontrola wykazuje, że proces jest powtarzalny. Bez właściciela obowiązek pozostaje na papierze. Kto powinien być właścicielem obowiązku nie jest więc pytaniem administracyjnym, lecz pytaniem, które decyduje o różnicy między polityką a praktyką.
Dowodem nie jest sam dokument dotyczący polityki. Dowodem jest ślad, który pozostawia po sobie wykonanie tej polityki: zatwierdzony formularz, dane z logu, e-mail z decyzją, raport dostarczony w ustalonym terminie. Dowód istnieje tylko wtedy, gdy został zarejestrowany w momencie, kiedy coś się wydarzyło, a nie zrekonstruowany później.
Właśnie tu wiele organizacji się potyka. Polityka istnieje, intencja jest szczera, ale dowód jest fragmentaryczny lub powstaje dopiero po tym, jak o niego zapytano. Proces assurance bezlitośnie ujawnia tę różnicę. To, czego dokładnie wymaga oświadczenie assurance od dokumentacji, jest więc odrębnym pytaniem: czego wymaga oświadczenie assurance od Państwa dokumentacji pokazuje, że próg jest wyższy niż zbiór dokumentów w folderze.
Compliance Check ukazuje, gdzie polityka i praktyka się rozchodzą. Ta widoczność nie jest tym samym co rozwiązanie. Metoda wskazuje, który obowiązek nie ma właściciela, jaka kontrola jest brakująca i jaki dowód jeszcze nie istnieje. Nie wykonuje kontroli i nie pisze polityki. Dostarcza strukturę, za pomocą której organizacja może samodzielnie stwierdzić, gdzie praktyka pozostaje w tyle za obietnicą, a to jest inne osiągnięcie niż zamknięcie tej przepaści.
Nie jest to też zdjęcie sytuacji, które pozostaje aktualne. Obowiązki się zmieniają, właściciele zmieniają funkcje, a to, co dziś liczy się jako dowód, jutro może być niewystarczające. To, jak często rejestr obowiązków właściwie wymaga aktualizacji, jest pytaniem, które wiele organizacji niedoszacowuje: jak często zmienia się rejestr obowiązków opisuje, dlaczego nie jest to jednorazowe ćwiczenie.
Różnica między polityką a praktyką staje się większa, gdy w realizację zaangażowanych jest więcej stron, a to dotyczy zwłaszcza organizacji z placówkami w wielu krajach. Europejska regulacja otrzymuje w każdym kraju własną interpretację, a polityka napisana na poziomie siedziby głównej nie łączy się automatycznie z tym, co jest utrzymywane lokalnie. Praktyka w jednej placówce może znacznie różnić się od praktyki w innej, podczas gdy dokument dotyczący polityki w obu przypadkach jest identyczny.
To sprawia, że utrzymywanie tych krajowych nagłówków staje się zadaniem powtarzającym się, a nie jednorazową kontrolą. Jak to robić bez wpadania w gąszcz oddzielnych abonamentów i lokalnych narzędzi, opisano na jak utrzymywać krajowe nagłówki bez dżungli abonamentów.
Raport opisuje stan w danym momencie. Różnica między polityką a praktyką jednak nieustannie się zmienia, a zdjęcie sytuacji starzeje się w momencie pierwszej zmiany. Właśnie dlatego compliance check jako metoda ma na celu coś innego niż raport: chodzi o żywy rejestr, w którym własność, dowód i kontrola są trwale ze sobą połączone, w przeciwieństwie do dokumentu, który po dostarczeniu jest natychmiast przestarzały.
Koszty nieznajomości tego, jakim przepisom podlega organizacja, stają się zwykle widoczne w momencie, gdy organ nadzoru, bank lub duży klient prosi o wykazywalność, która nie istnieje. To, co może to oznaczać, gdy w takim momencie nie ma odpowiedzi, wyjaśniono na ile kosztuje nieznajomość tego, jakim przepisom Państwo podlegają.
Określenie różnicy między polityką a praktyką samo w sobie wywołuje pytanie następcze: kto w organizacji ma faktycznie czas, aby zbierać ten dowód, utrzymywać go i zmieniać, gdy zmienia się obowiązek. To jest pytanie o zdolność operacyjną, i jest ono niezależne od pytania, czy organizacja wie, co musi się wydarzyć. FTE TO AI działa wychodząc od tego pytania następczego, wykorzystując skan pracy, który dla każdego zadania obliczają, jaka część pracy może zostać przejęta przez AI, dzięki czemu staje się jasne, gdzie ludzie zyskują czas na pracę, której komputer nie może wykonać: ocenianie, podejmowanie decyzji i odpowiadanie za nie.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.