Um documento de política descreve o que uma organização quer. Um controlo descreve o que realmente acontece. Entre os dois há espaço, e nesse espaço vivem as perguntas que um auditor, um supervisor ou um novo administrador faz em primeiro lugar. Não: tem uma política? Mas: pode demonstrar que a política é também a prática?
Um documento de política pode ser completo, atual e bem escrito, e ainda assim não dizer nada sobre o que acontece no terreno. Política é uma promessa. Prática é o que foi cumprido. A diferença está na questão de quem executa a política, como isso acontece e o que foi registado a esse respeito. Sem esses três elementos, um documento de política é uma declaração de intenções, não uma prova.
Essa distinção é precisamente aquilo em que se baseia um registo de obrigações. Não: qual regra se aplica, mas: quem é o responsável pelo cumprimento, que prova disso existe e que controlo demonstra que o processo é repetível. Sem um responsável, uma obrigação permanece no papel. Quem deve ser o responsável por uma obrigação não é, por isso, uma questão administrativa, mas sim a questão que faz a diferença entre política e prática.
A prova não é o documento de política em si. A prova é o rasto que a execução dessa política deixa: um formulário aprovado, um registo de log, um e-mail com uma decisão, um relatório entregue numa data fixa. A prova só existe quando é registada no momento em que aconteceu, não reconstruída posteriormente.
É aqui que muitas organizações tropeçam. A política existe, a intenção é genuína, mas a prova é fragmentada ou só passa a existir depois de ser solicitada. Um processo de assurance expõe essa diferença sem piedade. O que uma declaração de assurance exige exatamente de um dossiê é, por isso, uma questão à parte: o que exige uma declaração de assurance do seu dossiê mostra que a fasquia é mais alta do que uma coleção de documentos numa pasta.
O Compliance Check torna visível onde a política e a prática se afastam. Essa visibilidade não é o mesmo que a solução. O método indica qual obrigação não tem responsável, qual controlo está em falta e qual prova ainda não existe. Não executa o controlo nem escreve a política. Fornece uma estrutura com a qual uma organização pode constatar por si mesma onde a prática fica atrás da promessa, e isso é uma prestação diferente de colmatar essa lacuna.
Também não é um retrato momentâneo que permanece correto. As obrigações mudam, os responsáveis trocam de função, e o que hoje conta como prova pode ser insuficiente amanhã. Com que frequência um registo de obrigações realmente precisa de ajustes é uma questão que muitas organizações subestimam: com que frequência muda um registo de obrigações descreve por que isto não é um exercício único.
A diferença entre política e prática torna-se maior à medida que mais partes estão envolvidas na execução, e isso aplica-se especialmente a organizações com filiais em vários países. Uma regra europeia recebe uma interpretação própria em cada país, e a política escrita ao nível da sede não se alinha automaticamente com o que é mantido localmente. A prática numa filial pode divergir fortemente da prática noutra, enquanto o documento de política é idêntico em ambos os casos.
Isso faz da manutenção dessas particularidades nacionais uma tarefa recorrente em vez de uma verificação única. Como fazer isso sem cair numa selva de subscrições e ferramentas locais dispersas está descrito em como manter as particularidades nacionais sob controlo sem uma selva de subscrições.
Um relatório descreve uma situação num determinado momento. A diferença entre política e prática, no entanto, muda constantemente, e um retrato momentâneo envelhece logo que ocorre a primeira alteração. É por isso que um compliance check, como método, visa algo diferente de um relatório: trata-se de um registo vivo no qual a responsabilidade, a prova e o controlo permanecem ligados entre si, em vez de um documento que fica desatualizado logo após ser entregue.
Os custos de não saber a que regime uma organização está sujeita tornam-se geralmente visíveis apenas no momento em que um supervisor, um banco ou um grande cliente pede uma comprovação e esta não existe. O que pode significar ficar sem resposta nesse momento está explicado em quanto custa não saber a que regime está sujeito.
Determinar a diferença entre política e prática dá origem, naturalmente, a uma pergunta seguinte: quem, na organização, tem realmente o tempo para reunir essa prova, mantê-la atualizada e revê-la sempre que uma obrigação muda. Isso é uma questão de capacidade, e é independente da questão de saber se a organização sabe o que precisa de acontecer. A FTE TO AI trabalha a partir dessa pergunta seguinte com um scan de trabalho que calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, tornando claro onde as pessoas ficam com tempo disponível para o trabalho que um computador não consegue fazer: avaliar, decidir e prestar contas.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.