Um conselho de administração pode aprovar um documento de política e, ao mesmo tempo, não saber se essa política também é aplicada. Isso não é uma excepção, é o estado normal das coisas numa organização onde a política é escrita de forma centralizada e executada de forma descentralizada. A pergunta que um auditor faz não é "tem uma política", mas sim "pode demonstrar que esta política funciona". Este é um tipo de pergunta diferente, e exige um tipo de resposta diferente.
Política é uma intenção. Descreve o que uma organização quer fazer: como lida com fornecedores, com dados, com riscos. Funcionamento é o que efetivamente acontece no dia a dia, num sistema, numa decisão tomada no mês passado. Entre estes dois pode existir uma diferença que ninguém notou, simplesmente porque ninguém verificou de forma sistemática se a política foi também executada como previsto.
A demonstrabilidade preenche essa diferença. Não é a política em si, mas o rasto que demonstra que a política foi aplicada: uma decisão, uma aprovação, um desvio que foi identificado e acompanhado. Sem esse rasto, a política é uma declaração de intenção, não de execução.
Nem todos os documentos relacionados com um tema são prova de que a obrigação foi cumprida. Uma descrição de processo mostra como algo deveria funcionar, não que funcionou assim. A prova que resiste ao escrutínio é geralmente mais concreta: uma aprovação com data e nome, um registo de sistema, um relatório de desvio com a medida de acompanhamento tomada. O que conta como prova numa obrigação, desenvolvido para um grupo com várias entidades mostra que nível de detalhe é necessário para tornar uma obrigação demonstrável, e que nível fica curto.
Essa distinção é mais importante do que parece. Uma organização que se contenta com documentos de política e resumos de formação tem geralmente mais papel do que prova. A questão não é quanta documentação existe, mas se essa documentação demonstra que uma ação específica foi realizada num momento específico por uma pessoa específica.
Numa única entidade com uma organização clara, a prova costuma encontrar-se num número limitado de locais. Num grupo com várias entidades, países ou departamentos, surge um cenário diferente. A política é definida de forma centralizada, mas a execução ocorre em subsidiárias que têm os seus próprios sistemas, os seus próprios responsáveis e as suas próprias formas de registo. A prova de que a política funciona surge, assim, em dezenas de locais ao mesmo tempo, sem que exista uma visão central de onde exatamente essa prova se encontra.
Onde a prova se dispersa num grupo com várias entidades descreve como surge essa fragmentação e por que razão só se torna evidente no momento em que alguém realmente precisa da prova. Esse momento é geralmente uma auditoria, uma due diligence, ou uma pergunta de um supervisor, e é precisamente nesse momento que a pressa e a incerteza são mais prejudiciais.
A prova que existe mas não é encontrável não funciona, na prática, como prova. Um auditor que tem de esperar três semanas por uma resposta que já existia noutro lugar tira daí uma conclusão sobre a qualidade do controlo interno, independentemente de a política subjacente estar ou não substancialmente em ordem. A demonstrabilidade exige, portanto, não só prova, mas uma estrutura na qual essa prova surja dentro de um prazo razoável.
Como guardar a prova para que um auditor a encontre, desenvolvido para um grupo com várias entidades aborda essa capacidade de ser encontrada: onde a prova é registada, quem tem acesso a ela, e como se evita que a resposta a uma pergunta simples se torne uma busca de semanas. Isto inclui também uma atribuição clara de responsabilidade: quem é o responsável por uma obrigação num grupo com várias entidades determina não só quem é responsável pela execução, mas também quem pode ser interpelado no momento em que a prova é solicitada.
Para juntar a política e a prática, é preciso que, por obrigação, esteja claro quem é o responsável, o que conta como prova, e qual o controlo que demonstra que a prova é verificada periodicamente. Estes três elementos juntos formam uma matriz de controlo: uma visão que liga obrigação, responsável e prova, de modo a que um conselho de administração não tenha de reconstruir, a cada pergunta, quem era responsável por quê. A mesma estrutura, desenvolvida especificamente para a complexidade de uma estrutura de grupo, está descrita em como demonstrar que a política também é prática num grupo com várias entidades.
O Compliance Check da csrdcompliance.net está em construção. O objetivo é criar uma visão em que, por obrigação, estejam registados o responsável, a prova e o respetivo controlo, para que um conselho de administração possa demonstrar que está no controlo em vez de ter de o afirmar. Quem quiser utilizar isto assim que estiver disponível pode inscrever-se na lista de espera.
Mapear a responsabilidade e a prova é um lado da questão, executar todos esses controlos e registos é o outro. Quem se pergunta quanto desse trabalho de execução deve realmente continuar a ser feito por pessoas pode consultar a análise de trabalho da FTE TO AI: esta calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, e que parte exige uma avaliação que continua a caber a uma pessoa.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.