Uma obrigação só está demonstrada quando existe algo que outra pessoa pode verificar sem lhe perguntar a si. É essa a essência da demonstrabilidade: não o que o senhor sabe que aconteceu, mas o que um auditor, um órgão de fiscalização ou um novo responsável de compliance consegue encontrar sem que o senhor tenha de o explicar. Muitas empresas só descobrem durante uma auditoria que a prova existe, mas não é localizável.
Prova não é o mesmo que política. Um documento de política diz qual é a intenção; a prova mostra que essa intenção também foi executada. Pense numa decisão aprovada com data e nome de quem aprovou, uma troca de e-mails da qual resulta uma ponderação, um registo de um controlo que foi efetivamente realizado, ou um relatório que corresponde aos dados subjacentes. O que exatamente conta como prova suficiente varia por obrigação, e o que conta como prova numa obrigação num grupo com várias entidades mostra como essa questão se torna mais específica quando entram em jogo várias filiais ou subsidiárias. O fio condutor é sempre o mesmo: a distinção entre política e prática é frequentemente subestimada — um documento com bom aspeto não é prova de que alguém também agiu em conformidade com ele. Como tornar essa diferença visível está explicado em como demonstra que a política também é prática.
A prova geralmente não surge no local onde acaba por ser necessária. Uma avaliação de risco é feita por uma equipa operacional, uma aprovação acontece num e-mail, um controlo fica registado numa folha de cálculo que só existe num disco local. Quando um auditor pede para demonstrar que uma obrigação foi cumprida, alguém tem de voltar a localizar essa prova. Numa única entidade isso já é difícil; num grupo com várias filiais, países ou subsidiárias, torna-se uma verdadeira caça ao tesouro. Cada entidade pode ter o seu próprio arquivo, o seu próprio sistema, a sua própria forma de registar. Onde exatamente isto corre mal e por que motivo não é apenas uma questão de disciplina está descrito em onde a prova se dispersa num grupo com várias entidades. Especificamente para estruturas de grupo, existe um desenvolvimento da mesma questão desta página, aplicado a essa situação: como guarda provas para que um auditor as encontre num grupo.
A localizabilidade começa com a titularidade. Uma prova que não tem um responsável em lado nenhum não é mantida em lugar nenhum e, por isso, também não é guardada num local onde alguém a possa encontrar. Para cada obrigação existe alguém que, em última instância, pode explicar o que foi feito e porquê; quem é essa pessoa nem sempre é evidente numa organização com várias divisões ou entidades. Como se determina essa titularidade e por que motivo não recai automaticamente sobre o departamento de compliance está explicado em quem é o titular de uma obrigação. Uma vez esclarecida essa titularidade, a próxima questão não é mais um documento, mas uma estrutura que liga entre si a obrigação, o titular e a prova. Essa estrutura costuma chamar-se control matrix, e o que essa matriz resolve e não resolve está explicado em o que é uma control matrix.
O reflexo em matéria de demonstrabilidade é, muitas vezes: registar mais, arquivar mais, criar mais pastas. Isso não resolve o problema. Um auditor que tenha de percorrer três sistemas para verificar uma única obrigação não sente que a situação está sob controlo, mesmo que a prova exista de facto. A questão não é quanta prova existe, mas se é possível rastreá-la: da obrigação ao titular, à prova, ao controlo que demonstra que aconteceu. Sem essa rastreabilidade, a prova continua dispersa, mesmo que esteja completa no papel.
Isto aplica-se com maior intensidade quanto maior e mais complexa for uma organização. As transposições nacionais de uma mesma regra europeia diferem de país para país, com prazos diferentes, entidades diferentes e expectativas diferentes sobre o que conta como prova. O que é suficiente num país não é automaticamente suficiente noutro. Isso faz com que uma estrutura central e rastreável para provas não seja uma questão de organização, mas uma condição para manter uma visão de conjunto sobre o que foi efetivamente registado por país, por entidade e por obrigação.
Registar, manter e tornar localizável a prova é, em si mesmo, uma forma de trabalho: organizar documentos, estabelecer referências, verificar se um dossiê está completo antes de um auditor o solicitar. Parte desse trabalho é repetitivo e segue um padrão fixo por obrigação. Quem quiser saber que parte desse trabalho pode ser assumida pela IA e que parte continua a depender de julgamento humano pode calculá-lo com a werkscan da FTE TO AI, que indica, por tarefa, quanto espaço existe para a automatização.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.