Numa empresa isolada, a pergunta sobre quem é responsável por quê é normalmente respondida com rapidez. Num grupo com múltiplas entidades — empresa-mãe, filiais, talvez uma joint venture ou uma entidade noutro país — essa evidência desaparece. Uma obrigação pode ter sido estabelecida a nível de grupo, mas a execução fica a cargo de uma filial que nunca foi explicitamente encarregada disso. Ou o inverso: cada entidade pensa que outra entidade se encarrega disso.
Um organograma mostra quem reporta a quem. Não mostra quem é responsável por fornecer os dados, quem tem de traduzir a política numa prática local, e quem consegue demonstrar que isso foi feito. Estas três responsabilidades podem estar em três pessoas ou departamentos diferentes, mesmo dentro de uma única entidade. Com múltiplas entidades, esse problema multiplica-se: a mesma obrigação pode estar a cargo do CFO no país A e de um gestor operacional no país B, sem que ninguém a nível de grupo tenha registado essa diferença.
Além disso, algumas obrigações não se aplicam de forma uniforme. O que um grupo tem de demonstrar com base numa regra europeia pode diferir por país assim que a legislação nacional reforça ou interpreta essa regra de forma diferente. Quem quiser saber quais são os requisitos nacionais adicionais na Alemanha ou quais são os requisitos nacionais adicionais na França constata, portanto, que a titularidade não é apenas uma questão organizacional, mas também jurídica: a própria obrigação pode variar por entidade.
A titularidade só é demonstrável quando está registada, não quando é assumida. Isto significa: um nome ou função associado a uma obrigação específica, uma descrição do que essa pessoa ou departamento deve entregar, e um rasto que comprove que isso efetivamente aconteceu. Sem esse rasto, a pergunta "quem é o titular disto" não pode ser respondida com um documento numa auditoria, apenas com uma suposição que ninguém consegue verificar.
A questão do que efetivamente conta como prova — um documento de política, uma aprovação, um conjunto de dados, um relatório — está desenvolvida na página que descreve o que conta como prova numa obrigação. Para um grupo com múltiplas entidades aplica-se ainda um requisito adicional: a prova tem de ser rastreável até à entidade onde a obrigação efetivamente se aplica, não apenas ao grupo como um todo.
Numa empresa única, a prova costuma estar concentrada num número limitado de locais. Num grupo, dispersa-se por administrações separadas, sistemas de TI separados, consultores locais e equipas que não comunicam entre si. Uma filial noutro país pode guardar prova numa língua e num sistema que a empresa-mãe não consulta. Quem tem de demonstrar, a nível de grupo, que uma obrigação foi cumprida, precisa não só de saber que a prova existe, mas também onde exatamente se encontra e quem tem acesso a ela.
Esta fragmentação é um dos riscos mais subestimados em grupos com múltiplas entidades, e está desenvolvida na página sobre onde a prova se dispersa. Sem uma visão central de onde se encontra determinada prova, existe um risco real de uma obrigação estar atribuída no papel, mas não ser sustentável na prática no momento em que isso é necessário.
Um grupo pode estabelecer uma política clara a nível central e, ainda assim, não a ver refletida na prática de cada entidade. Uma filial pode não conhecer a política, interpretá-la mal, ou seguir uma abordagem diferente por razões locais. A diferença entre uma política estabelecida e uma política aplicada é precisamente onde a titularidade se torna visível: quem é responsável por identificar essa lacuna, e quem tem de conseguir demonstrar que essa lacuna não existe ou foi resolvida.
A forma como essa demonstrabilidade funciona dentro de uma estrutura de grupo encontra-se na página que explica como demonstrar que a política também é prática num grupo com múltiplas entidades. A resposta depende fortemente de como o grupo está organizado e de quais obrigações se aplicam a que nível.
Uma forma de reunir titularidade, prova e controlo é uma matriz na qual se registe, por obrigação, quem é o titular, que prova é esperada e que controlo lhe está associado. Não é um instrumento jurídico nem uma garantia de que tudo está coberto — é uma estrutura que torna visível onde está a responsabilidade e onde ainda existe uma lacuna. O que essa matriz implica num grupo com múltiplas entidades está descrito na página sobre o que é uma matriz de controlo num grupo com múltiplas entidades.
Atribuir titularidade e reunir prova não é apenas uma questão organizacional, é também trabalho: alguém tem de recolher dados, verificar documentos, controlar versões e elaborar relatórios, repetidamente, por entidade. Quem quiser ter uma visão de que parte dessas tarefas recorrentes pode ser assumida pela IA e que parte continua a ser trabalho humano, pode calculá-lo com o scan de trabalho da FTE TO AI.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.