Um grupo com múltiplas entidades raramente tem um único local onde a prova de conformidade se reúne. Uma filial mantém as políticas num sistema de qualidade local, outra numa unidade partilhada, uma terceira na cabeça de um único colaborador que há anos elabora o mesmo relatório. Enquanto ninguém questiona, isso funciona. No momento em que um auditor, uma entidade reguladora ou a própria administração quer ver em que consiste uma obrigação e como esta é cumprida, verifica-se que a prova está fragmentada, desatualizada ou apenas transmissível oralmente.
Um documento de política não é prova de conformidade. É uma intenção. Prova é aquilo que demonstra que essa intenção também foi executada: um procedimento assinado, um registo de controlos efetuados, um e-mail em que um desvio foi reportado e acompanhado, um relatório que corresponde aos dados subjacentes. Num grupo com múltiplas entidades, a questão não é apenas o que é prova, mas também onde deve estar guardada e quem é responsável por ela. Sem essa resposta, é o acaso que determina quem consegue encontrar a prova, e isso não é base para a administração declarar que a organização tem a situação sob controlo.
A prova dispersa-se ao longo das linhas pelas quais o próprio grupo está dividido: por entidade, por país, por função. Uma empresa-mãe pode estabelecer uma política a nível de grupo, enquanto cada filial a executa e documenta à sua maneira, ou não a documenta de todo porque localmente ninguém sabe que é obrigatória. A isto acresce a camada nacional. A mesma obrigação europeia pode ter sido transposta de forma diferente por país, com prazos próprios, entidades competentes próprias ou requisitos adicionais próprios. O que num país é considerado prova suficiente, noutro não o é. Quem olha apenas para a regra a nível de grupo não percebe que que exigências nacionais adicionais se aplicam na Alemanha é uma questão diferente de que exigências nacionais adicionais se aplicam na França, e que a prova deve, portanto, também ser construída e conservada de forma diferente por país.
Também a nível funcional a prova se dispersa. O jurídico guarda contratos, o financeiro guarda relatórios, os recursos humanos guardam registos de formação, e nenhum dos três tem a visão completa. Numa fusão, aquisição ou reorganização, esse problema agrava-se: a prova que estava numa entidade não se transfere automaticamente quando a responsabilidade muda.
A questão de quem deve conseguir encontrar a prova está relacionada com a questão de quem é o proprietário de uma obrigação. Num grupo com múltiplas entidades, esse proprietário não é automaticamente a pessoa mais próxima do assunto; pode ser a empresa-mãe, um diretor local, ou uma função designada a nível de grupo. Sem uma resposta registada a quem é o proprietário de uma obrigação num grupo com múltiplas entidades, surge uma situação em que todos assumem que outra pessoa gere a prova, até ao momento em que esta é solicitada e ninguém a consegue apresentar.
Um auditor que solicita prova não tem em conta a estrutura organizacional interna do grupo. Pede a prova relativa à obrigação, não ao departamento onde esta se encontra por acaso armazenada. Isto significa que a forma como a prova é conservada deve ser independente do local onde surgiu por acaso. Como isto funciona na prática, e que escolhas isso implica, está descrito em como conservar a prova de forma a que um auditor a encontre num grupo com múltiplas entidades.
Uma segunda forma de fragmentação surge quando a política e a prática se afastam sem que ninguém o note. Um documento de política a nível de grupo pode ser totalmente aplicado numa entidade e existir apenas no papel noutra. Essa diferença só se torna visível se existir uma forma sistemática de constatar que o que foi acordado também foi executado. Demonstrar isso é um passo separado, distinto do estabelecimento da própria política, e está explicado em como demonstrar que a política também é prática num grupo com múltiplas entidades.
Para evitar que cada entidade desenvolva a sua própria versão de prova e de responsabilidade, trabalha-se frequentemente com um panorama em que obrigações, proprietários e prova são reunidos. Esse panorama é conhecido na prática como control matrix, e a sua construção determina se um grupo consegue mais tarde demonstrar o que foi feito ou apenas relatar o que se pretendia fazer. Os princípios de tal matriz, e a razão pela qual esta assume uma forma diferente num grupo com múltiplas entidades em comparação com uma única empresa, estão descritos em o que é uma control matrix num grupo com múltiplas entidades.
O Compliance Check reúne estes elementos: que obrigações se aplicam, quem é o proprietário, o que conta como prova e que controlo lhe está associado. Não como substituto da própria regulamentação, mas como a camada que torna visível se uma administração consegue demonstrar que tem a situação sob controlo, mesmo quando a prova está dispersa por múltiplas entidades e países.
Reunir prova dispersa é, em grande parte, trabalho reconhecível e repetitivo: verificar onde está um documento, confirmar se está atualizado, ligá-lo à obrigação e ao proprietário corretos. É exatamente este tipo de tarefa que o werkscan da FTE TO AI calcula, determinando que parte pode ser assumida pela IA, tornando claro quanto do trabalho de reunir e organizar prova permanece manual e quanto pode ser fornecido de forma automatizada.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.