Um auditor que verifica a demonstrabilidade coloca uma pergunta simples: onde está a prova de que esta obrigação foi cumprida, e quem consegue mostrá-la. Numa única entidade, isso costuma ainda ser controlável. Num grupo com várias filiais, subsidiárias ou organizações por país, as provas ficam dispersas por sistemas, pastas e pessoas que não se conhecem entre si. Isso não é necessariamente sinal de má política. Muitas vezes é apenas sinal de que ninguém definiu onde as provas devem estar, e quem é responsável por garantir que permaneçam lá.
A prova não é o próprio documento de política. Um auditor pergunta pelo que demonstra que a política também foi aplicada: uma decisão, uma aprovação, um relatório, um registo de desvios, um e-mail em que um responsável constatou algo. O que exatamente conta varia por obrigação e por momento no processo. Em o que conta como prova numa obrigação está desenvolvido quais formas de prova correspondem a que tipo de obrigação, e por que uma declaração de intenções sem aplicação normalmente não é suficiente.
Num grupo com várias entidades, a dispersão surge em vários pontos previsíveis. Cada entidade pode ter a sua própria administração, num sistema próprio, com uma nomenclatura própria para documentos. Um diretor local pode ter tomado uma decisão que nunca foi registada centralmente. Uma empresa-mãe pode assumir que uma subsidiária resolveu algo, sem nunca ter confirmado isso. E uma filial nacional pode estar sujeita a regras adicionais que o grupo como um todo desconhece, o que faz com que as provas correspondentes nem sequer sejam recolhidas. O que é obrigatório num país não tem de o ser noutro, e vice-versa: exemplos disso estão em quais requisitos nacionais adicionais se aplicam na Alemanha e quais requisitos nacionais adicionais se aplicam na França. Quem olha apenas para a regra europeia, perde a parte que foi adicionada a nível local, e portanto também a prova correspondente.
Uma prova que não é atribuída a ninguém normalmente não é mantida, ou perde-se quando alguém muda de função. A localizabilidade não começa, portanto, num sistema de arquivo, mas na pergunta de quem é o titular de cada obrigação: quem garante que a prova é criada, quem a guarda, e quem a pode mostrar quando isso é pedido. Num grupo com várias entidades, isso raramente é uma única função para toda a organização. Como pode ser essa divisão, e por que um único coordenador a nível de grupo normalmente não basta, está em quem é o titular de uma obrigação num grupo com várias entidades.
Um auditor que procura provas não verifica apenas se uma obrigação foi escrita numa política, mas se essa política também foi seguida. Um grupo pode ter um excelente documento de política sobre avaliação de fornecedores, enquanto na prática apenas parte das entidades a aplicou alguma vez. A diferença entre essas duas camadas, e como tornar essa diferença visível em vez de a deixar escondida, está desenvolvida em como demonstra que a política também é prática num grupo com várias entidades. Uma prova que consiste apenas em textos de política é insuficiente para um auditor, independentemente do cuidado com que a política tenha sido escrita.
Para tornar as provas localizáveis entre várias entidades, ajuda registar por obrigação: quem é o titular, que prova é esperada, e que controlo demonstra que o processo é repetível e não depende de uma única pessoa. Estes três elementos juntos formam uma visão geral que uma administração pode consultar sem ter de contactar primeiro cada entidade individualmente. O que essa matriz implica, e como pode variar por entidade sem perder a coerência, está em o que é uma matriz de controlos num grupo com várias entidades.
O Compliance Check mapeia quais as obrigações que se aplicam ao grupo, quem é o titular de cada uma, que prova corresponde a cada uma e que controlo demonstra que o processo está estabelecido. Isto não substitui uma auditoria, nem garante que um auditor ficará satisfeito com o que está disponível. É uma estrutura que faz com que uma administração saiba onde a prova deveria estar, antes de alguém perguntar por ela.
A ferramenta está em desenvolvimento. Quem quiser utilizá-la assim que estiver disponível pode inscrever-se na lista de espera.
Registar e manter provas é, também, em si mesmo, trabalho: recolher documentos, verificar versões, manter visões gerais atualizadas entre várias entidades. Parte desse trabalho é suficientemente repetível para ser apoiado com IA. O werkscan da FTE TO AI calcula, por tarefa, que parte do trabalho é elegível para isso, tornando claro onde o tempo é gasto a procurar provas, e onde é gasto a efetivamente avaliá-las.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.