Uma obrigação raramente é cumprida por um único departamento. A política é escrita pelo jurídico, executada pelo negócio, controlada pelo financeiro e por vezes reavaliada por uma parte externa. Cada uma dessas etapas deixa um rasto: um documento, um e-mail, uma aprovação, um registo. Esse rasto é a evidência. O problema não surge por falta de evidência, mas porque ninguém sabe exatamente onde ela se encontra.
A maioria das organizações trabalha com uma combinação de sistemas que não foram criados para este fim: uma intranet para políticas, um sistema de RH para formações, um sistema de compras para declarações de fornecedores, uma caixa de correio para correspondência com um órgão regulador. Cada sistema guarda a sua própria parte da história. Nenhum desses sistemas mostra o todo. Quem precisa de demonstrar que uma obrigação foi cumprida tem, portanto, de descobrir primeiro em que sistema se encontra a evidência relevante, e depois se essa evidência ainda está atualizada.
Numa única entidade, isto já é um desafio. Num grupo com várias entidades, filiais ou países, o problema cresce na mesma proporção. Uma obrigação atribuída a nível de grupo tem muitas vezes de ser demonstrada localmente, e vice-versa. O que isto significa concretamente para o que conta como evidência numa obrigação dentro de um grupo com várias entidades, depende de como o grupo está estruturado e de qual entidade apresenta qual relatório. A mesma questão sobre a dispersão em si é retomada em onde a evidência se dispersa num grupo com várias entidades, onde a própria estrutura do grupo se torna um fator.
A evidência que existe mas não é localizável funciona, numa auditoria, como evidência que não existe. Um auditor, um órgão regulador ou a própria administração deve conseguir verificar quem era responsável por quê e onde se encontra a fundamentação. Isso exige um local fixo por obrigação, e não uma busca pelos departamentos no momento em que a pergunta é feita. A forma como essa localizabilidade é organizada na prática está descrita em como guardar evidência para que um auditor a encontre.
Designar um responsável por obrigação não resolve automaticamente o problema da evidência dispersa, mas torna-o visível. Um responsável que sabe que é responsável procura a evidência relacionada com a sua tarefa e frequentemente descobre que ela está dispersa por vários sistemas ou colegas. É nesse momento que a dispersão se torna um problema que pode ser resolvido, em vez de um problema que passa despercebido. O que a responsabilidade implica exatamente, e por que razão está separada de quem executa a tarefa, é abordado em quem é o responsável por uma obrigação.
Outro ponto em que a evidência se dispersa: a existência de uma política não diz nada sobre a sua execução. Um documento que descreve como um processo deveria decorrer não é prova de que o processo decorre realmente assim. Isso exige outro tipo de evidência, nomeadamente a execução demonstrável: registos, amostragens, relatórios de desvios. A diferença entre estas duas camadas de evidência, e como as colocar lado a lado, está explicada em como demonstrar que a política também é prática.
Para tornar a evidência dispersa gerível, é necessária uma visão geral fixa: por obrigação, o responsável, a evidência e o controlo que demonstra que o processo funciona. Sem essa estrutura, a evidência permanece dispersa até alguém precisar dela, e nessa altura já é frequentemente tarde para a reunir por completo. A forma como essa visão geral é construída e o que um controlo lhe acrescenta está descrito em o que é uma control matrix.
A questão de saber se uma organização está em control não se responde com uma declaração, mas com evidência que é localizável no momento certo. Enquanto essa evidência estiver dispersa por departamentos e sistemas que cada um guarda a sua própria parte, essa questão não pode ser respondida com certeza. Reunir o responsável, a evidência e o controlo por obrigação é o passo que torna isso possível.
Reunir e manter essa evidência atualizada é, também, um trabalho em si, disperso por muitas pequenas tarefas: solicitar documentos, verificar versões, atualizar visões gerais. O werkscan da FTE TO AI calcula, por tarefa, qual a parte que pode ser assumida pela IA, tornando claro qual a parte deste trabalho que a automatização consegue tratar e qual a parte que continua a exigir avaliação humana.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.