Quase todas as direções que dizem ter sido surpreendidas por uma obrigação já tinham a diretiva europeia subjacente algures no radar. O que faltava não era o conhecimento de que algo estava a caminho, mas a visão sobre aquilo em que isso se traduzia na implementação nacional. Uma diretiva é transposta de forma diferente em cada país: outros limiares, outros prazos, outras entidades que exercem a supervisão. Quem apenas segue o texto europeu vê os contornos, mas não as arestas afiadas que variam de país para país.
Aí está o fio condutor. Os cabeçalhos nacionais são estruturalmente subestimados, porque a atenção se dirige ao nível europeu e se assume que a tradução nacional será apenas uma formalidade. Muitas vezes essa tradução não é uma formalidade. A forma como acompanha os cabeçalhos nacionais sem cair numa selva de subscrições determina, na prática, se uma obrigação é identificada a tempo ou só se torna visível quando chega a primeira pergunta de uma entidade reguladora.
Uma segunda explicação para a surpresa está mais próxima de casa. Há frequentemente um documento de política, uma intenção, um parágrafo no relatório anual. Nem sempre há uma prática que corresponda a isso no momento em que é preciso. Vale a pena ler qual é a diferença entre política e prática e por que razão essa diferença é precisamente onde uma verificação encontra o seu ponto de falha. A política descreve uma intenção; um control demonstra que essa intenção também se cumpre, repetidamente e com prova.
Essa diferença também explica por que uma organização se sente frequentemente mais segura do que realmente está. Existe um documento, foi tomada uma decisão em determinado momento, e com isso o assunto é considerado resolvido. Uma obrigação que foi cumprida uma única vez e depois nunca mais acompanhada é, na prática, uma obrigação não cumprida no momento em que é questionada.
Uma terceira razão para a surpresa é um proprietário pouco claro. Uma obrigação que não pertence especificamente a ninguém é acompanhada um pouco por todos e integralmente por nenhum. Quando se descobre que um prazo foi perdido ou que um relatório não estava completo, a pergunta sobre quem deveria ter sinalizado isto fica tão sem resposta como a própria questão. Por isso, é relevante determinar quem deveria ser o proprietário de uma obrigação antes de essa questão se tornar urgente, não depois.
Além disso, um proprietário sem prova é tão vulnerável como prova sem proprietário. Ambos são necessários, e ambos devem corresponder ao que uma parte externa efetivamente espera ver.
Um último fator é o movimento. Os registos de obrigações não são documentos que se elaboram uma vez e depois se deixam ficar. A legislação muda, as implementações nacionais são ajustadas, os limiares são revistos. A frequência com que isso acontece e o que isso significa para a forma como um registo é mantido está descrito na página sobre com que frequência muda um registo de obrigações. Um registo que estava correto há um ano não é automaticamente um registo que ainda está correto hoje.
É mais credível para uma direção saber o que um método não resolve do que ouvir que tudo está coberto. Este método de trabalho estabelece quais as obrigações aplicáveis, quem é o proprietário, que prova é necessária e a que control isso corresponde. Não indica de antemão qual artigo, qual limiar ou qual prazo se aplica exatamente; isso depende da situação exata e do texto legal atual, que deve ser consultado na própria fonte, não num resumo que pode estar desatualizado. Também não garante a aprovação por parte de uma entidade reguladora ou auditor. O que faz é fornecer a estrutura com a qual uma administração pode demonstrar que tem uma visão de conjunto e que mantém essa visão de conjunto atualizada.
Esse é um tipo de resultado diferente de um relatório. Um relatório descreve uma situação num determinado momento; uma estrutura que liga entre si a titularidade, a prova e o control permanece utilizável quando a situação muda. Por que razão essa diferença é precisamente importante num processo de assurance, é explicado na página sobre o que uma declaração de assurance exige de um dossiê, e por que razão uma verificação de conformidade é algo diferente de um relatório que desaparece numa gaveta como documento isolado.
Quando está claro quais as obrigações aplicáveis, quem é o proprietário e que prova é necessária, surge naturalmente outra pergunta: quem faz a manutenção necessária para manter isto atualizado, e que parte desse trabalho é suficientemente repetitiva para ser organizada de outra forma. A werkscan da FTE TO AI calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, sendo por isso um seguimento lógico depois de o registo de obrigações estar estabelecido: não para substituir o controlo, mas para determinar o que é estruturalmente necessário para manter esse controlo.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.