Un consiliu de administrație poate aproba un document de politică și, în același timp, să nu știe dacă acea politică este și aplicată. Aceasta nu este o excepție, este starea normală a lucrurilor într-o organizație unde politica este scrisă central și executată descentralizat. Întrebarea pe care o pune un auditor nu este „aveți o politică”, ci „puteți arăta că această politică funcționează”. Aceasta este un alt tip de întrebare, care necesită un alt tip de răspuns.
Politica este o intenție. Ea descrie ce dorește o organizație să facă: cum gestionează relația cu furnizorii, cu datele, cu riscurile. Funcționarea este ceea ce se întâmplă efectiv la locul de muncă, într-un sistem, într-o decizie luată luna trecută. Între aceste două poate exista o diferență pe care nimeni nu a observat-o, pur și simplu pentru că nimeni nu a verificat sistematic dacă politica a fost și executată așa cum a fost intenționată.
Demonstrabilitatea face legătura între aceste două. Nu este politica în sine, ci traseul care demonstrează că politica a fost aplicată: o decizie, o aprobare, o abatere care a fost semnalată și urmată. Fără acest traseu, politica este o declarație de intenție, nu de execuție.
Nu orice document care se referă la un subiect este dovada că obligația a fost respectată. O descriere de proces arată cum ar trebui să funcționeze ceva, nu că a funcționat efectiv așa. Dovada care rezistă este de regulă mai concretă: o aprobare cu dată și nume, un log de sistem, un raport de abatere cu pasul de urmărire întreprins. Ce contează ca dovadă la o obligație, detaliat pentru un grup cu mai multe entități arată ce nivel de detaliu este necesar pentru a face o obligație demonstrabilă și ce nivel este insuficient.
Această distincție este mai importantă decât pare. O organizație care se limitează la documente de politică și liste de instruiri are de regulă mai multă hârtie decât dovadă. Întrebarea nu este cât de multă documentație există, ci dacă acea documentație demonstrează că o acțiune specifică a fost efectuată la un moment specific de o persoană specifică.
Într-o singură entitate cu o organizare clară, dovada se găsește de regulă într-un număr limitat de locuri. Într-un grup cu mai multe entități, țări sau departamente apare o imagine diferită. Politica este stabilită central, dar execuția are loc în filiale care au propriile sisteme, propriile persoane responsabile și propriile modalități de înregistrare. Dovada că politica funcționează apare astfel simultan în zeci de locuri, fără să existe o privire de ansamblu centrală asupra locului exact în care se află această dovadă.
Unde se dispersează dovada la un grup cu mai multe entități descrie cum apare această fragmentare și de ce ea se manifestă de obicei abia în momentul în care cineva are efectiv nevoie de dovadă. Acel moment este de regulă un audit, o due diligence sau o întrebare din partea unei autorități de supraveghere, și acesta este exact momentul în care graba și incertitudinea sunt cele mai dăunătoare.
Dovada care există, dar nu poate fi găsită, nu funcționează în practică ca dovadă. Un auditor care trebuie să aștepte trei săptămâni un răspuns care se afla deja în altă parte trage din asta o concluzie despre calitatea controlului intern, independent de întrebarea dacă politica de bază era corectă din punct de vedere al conținutului. Demonstrabilitatea necesită astfel nu doar dovadă, ci și o structură în care acea dovadă poate fi găsită într-un termen rezonabil.
Cum păstrați dovada astfel încât un auditor să o găsească, detaliat pentru un grup cu mai multe entități abordează această găsibilitate: unde este înregistrată dovada, cine are acces la ea și cum se evită ca răspunsul la o întrebare simplă să devină o căutare de săptămâni. La aceasta se adaugă și o atribuire clară a proprietății: cine este proprietarul unei obligații la un grup cu mai multe entități determină nu doar cine este responsabil pentru execuție, ci și cine poate fi tras la răspundere în momentul în care se solicită dovada.
Pentru a reuni politica și practica, trebuie să fie clar, pentru fiecare obligație, cine este proprietarul, ce contează ca dovadă și care control demonstrează că dovada este verificată periodic. Aceste trei elemente împreună formează o matrice de control: o privire de ansamblu care conectează obligația, proprietarul și dovada, astfel încât un consiliu de administrație să nu trebuiască să reconstruiască de la caz la caz cine era responsabil pentru ce. Aceeași structură, detaliată specific pentru complexitatea unei structuri de grup, este descrisă în cum demonstrați că politica este și practică la un grup cu mai multe entități.
Compliance Check de la csrdcompliance.net este în construcție. Scopul este o privire de ansamblu în care, pentru fiecare obligație, sunt înregistrate proprietarul, dovada și controlul corespunzător, astfel încât un consiliu de administrație să poată demonstra că se află în control, în loc să trebuiască să afirme acest lucru. Cei care doresc să folosească acest instrument imediat ce va fi disponibil se pot înscrie pe lista de așteptare.
Cartografierea proprietății și a dovezii este o latură a problemei, executarea tuturor acelor controale și înregistrări este cealaltă latură. Cei care se întreabă cât de mult din această muncă executivă trebuie să rămână efectiv muncă umană pot consulta scanul de lucru al FTE TO AI: acesta calculează, pentru fiecare sarcină, ce parte din muncă poate fi preluată de AI și ce parte necesită o evaluare care rămâne în sarcina unui om.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.