Uma obrigação que está no papel ainda não é uma obrigação cumprida. Entre 'temos uma política' e 'demonstramos que estamos em controlo' existe uma camada que muitas vezes é ignorada: a prova. E nem todo o documento que se encontra em algum lugar conta como prova.
Um documento de política descreve uma intenção. Diz o que uma organização quer fazer, não o que aconteceu. Um auditor ou um supervisor não pergunta pela política, mas pelo seu resultado: a avaliação de risco foi efetivamente feita, a aprovação foi registada, o desvio foi comunicado no momento em que ocorreu. A forma como esse passo, de política para prática, se torna demonstrável depende do tipo de obrigação e da forma como um processo está organizado; como demonstra que a política também é prática aborda essa distinção.
Prova é um rasto que regista uma ação, uma decisão ou um controlo no momento em que este ocorreu, com uma data, um nome e um resultado. Um e-mail em que um risco foi comunicado. Uma linha de ata em que um conselho fez uma ponderação. Um ficheiro de registo que mostra que um controlo foi efetivamente executado, não apenas que estava planeado. Uma declaração assinada por um fornecedor. A característica comum: é possível reconstruir posteriormente quem fez o quê e quando, sem que ninguém tenha de o voltar a explicar.
Se algo conta como prova depende fortemente da obrigação a que se refere. Uma obrigação de reporte exige um tipo de rasto diferente de um dever de cuidado, e um dever de cuidado exige, por sua vez, algo diferente de um dever de notificação. Não existe uma lista fixa que dê a mesma resposta para cada obrigação; o que conta decorre da natureza da própria obrigação e do que um supervisor tenha estabelecido sobre isso.
Na prática, a prova raramente surge num único local. Uma avaliação de risco encontra-se numa folha de cálculo na primeira linha. A aprovação encontra-se numa troca de e-mails com um responsável. O controlo final encontra-se num sistema de terceiros. Quando é preciso demonstrar uma obrigação, alguém tem de voltar a reunir estes três rastos — e isso nem sempre é possível. À medida que uma organização cresce, tem mais departamentos ou trabalha com mais partes externas, aumenta a probabilidade de a prova estar num local que já ninguém conhece. onde a prova se dispersa descreve os padrões mais comuns nesse processo: transferências entre departamentos, mudanças de sistema e processos delegados a uma parte externa.
Uma prova que não é encontrável por outra pessoa além de quem a criou não funciona como prova. Um auditor, um novo responsável de compliance ou um supervisor tem de conseguir seguir um rasto sem que o autor original esteja ao lado a explicá-lo. Isso impõe exigências sobre onde a prova é guardada e como é identificada: associada à obrigação a que se refere, com uma data e um responsável, num local que não depende de uma única pessoa que por acaso ainda esteja ao serviço. como guarda a prova de forma a que um auditor a encontre aborda essa organização.
Cada elemento de prova pertence a uma obrigação, e cada obrigação pertence a alguém que consegue explicar por que motivo a prova é suficiente. Sem essa ligação, cria-se um arquivo de documentos do qual já ninguém sabe que obrigação deviam demonstrar, ou quem era responsável pela sua qualidade. quem é o responsável de uma obrigação descreve por que motivo essa atribuição não é uma formalidade, mas o elo que torna a prova utilizável no momento em que é solicitada.
Os quatro elementos — obrigação, responsável, prova, controlo — devem constar juntos de um único quadro, e não dispersos por departamentos e sistemas. Esse quadro tem um nome: uma control matrix. O que essa matriz contém exatamente e como é construída está descrito em o que é uma control matrix. Num grupo com múltiplas entidades ou estabelecimentos em diferentes países, esta questão torna-se mais complexa, porque a prova a um nível não é automaticamente válida a outro nível; o que conta como prova de uma obrigação num grupo com múltiplas entidades aborda especificamente essa situação.
Esta página descreve o que é a prova e onde é que corre mal, não que prova é especificamente suficiente para a sua organização. Isso depende da obrigação, do setor e do país onde uma entidade está estabelecida — e da forma como os legisladores nacionais interpretaram uma norma europeia. csrdcompliance.net indica essa diferença, mas não substitui aconselhamento jurídico e não dá qualquer garantia sobre um resultado perante um supervisor.
Mapear e organizar a prova dá trabalho: reunir rastos, associá-los a uma obrigação, identificá-los de forma a que outra pessoa os consiga encontrar. Parte desse trabalho é repetível e segue um padrão fixo, o que o torna adequado para ser (parcialmente) automatizado. A werkscan da FTE TO AI calcula, por tarefa, que parte desse trabalho pode ser assumida pela IA, tornando claro onde as pessoas continuam a ser necessárias para a avaliação e onde a recolha e organização de prova pode ser apoiada. O Compliance Check da csrdcompliance.net está em construção; quem quiser receber informação sobre isto pode inscrever-se na lista de espera.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.