O obligație este demonstrată abia atunci când există ceva ce altcineva poate verifica fără să vă întrebe pe dumneavoastră. Aceasta este esența demonstrabilității: nu ce știți dumneavoastră că s-a întâmplat, ci ce poate găsi un auditor, un supraveghetor sau un nou compliance officer fără să fie nevoie ca dumneavoastră să explicați. Multe companii descoperă abia în timpul unui audit că dovada există, dar nu poate fi găsită.
Dovada nu este același lucru cu politica. Un document de politică spune care este intenția; dovada arată că această intenție a fost și executată. Gândiți-vă la o decizie aprobată cu dată și numele celui care a aprobat-o, la un schimb de e-mailuri din care rezultă o cântărire de argumente, la un jurnal al unui control care a fost efectiv realizat, sau la o raportare care corespunde datelor subiacente. Ce anume contează ca dovadă suficientă diferă în funcție de obligație, iar ce contează ca dovadă la o obligație la un grup cu mai multe entități arată cum se ascute această întrebare de îndată ce intervin mai multe sedii sau filiale. Firul roșu este întotdeauna că distincția dintre politică și practică este frecvent subestimată: un document care are un aspect bun nu este dovadă că cineva a și acționat conform lui. Cum poate fi făcută vizibilă această diferență este explicat pe cum demonstrați că politica este și practică.
Dovada nu apare de obicei chiar în locul unde este în cele din urmă necesară. O evaluare a riscului este realizată de o echipă operațională, o aprobare are loc într-un e-mail, un control este consemnat într-un fișier de calcul care se află doar pe un disc local. Până când un auditor cere să se demonstreze că o obligație a fost respectată, cineva trebuie să regăsească acea dovadă. La o singură entitate acest lucru este deja dificil; la un grup cu mai multe sedii, țări sau filiale devine o căutare în sine. Fiecare entitate poate avea propria arhivă, propriul sistem, propriul mod de a consemna. Unde se produce exact această problemă și de ce nu este doar o chestiune de disciplină este descris pe unde se dispersează dovezile la un grup cu mai multe entități. Pentru structurile de grup, specific, există o abordare a aceleiași întrebări ca și această pagină, adaptată acelei situații: cum păstrați dovezile astfel încât un auditor să le găsească la un grup.
Capacitatea de a fi găsit începe cu proprietatea (ownership). Dovada care nu are un proprietar nicăieri nu este ținută evidență nicăieri și, prin urmare, nu este păstrată nici într-un loc unde cineva o poate găsi. Pentru fiecare obligație există cineva care poate explica în final ce s-a făcut și de ce; cine este acea persoană nu este întotdeauna evident într-o organizație cu mai multe departamente sau entități. Cum se stabilește această proprietate și de ce nu revine automat departamentului de compliance este explicat pe cine este proprietarul unei obligații. Odată ce această proprietate este clară, întrebarea următoare nu mai este un alt document, ci o structură care conectează obligația, proprietarul și dovada între ele. Această structură se numește de obicei o control matrix, iar ce rezolvă și ce nu rezolvă această matrice este explicat pe ce este o control matrix.
Reflexul în privința demonstrabilității este frecvent: să consemnezi mai mult, să arhivezi mai mult, să creezi mai multe dosare. Aceasta nu rezolvă problema. Un auditor care trebuie să parcurgă trei sisteme pentru a verifica o singură obligație nu percepe acest lucru ca fiind in control, chiar dacă dovada există într-adevăr. Întrebarea nu este cât de multă dovadă există, ci dacă poate fi urmărită: de la obligație la proprietar, la dovadă, la controlul care demonstrează că s-a întâmplat. Fără această trasabilitate, dovada rămâne dispersată, chiar dacă pe hârtie este completă.
Acest lucru este valabil cu atât mai mult cu cât o organizație este mai mare și mai complexă. Transpunerile naționale ale aceleiași reguli europene diferă de la o țară la alta, cu alte termene, alte instanțe și alte așteptări privind ce contează ca dovadă. Ce este suficient într-o țară nu este automat suficient în alta. Acest lucru face ca o structură centrală și trasabilă pentru dovezi să nu fie o chestiune de ordine, ci o condiție pentru a păstra imaginea de ansamblu asupra a ceea ce a fost efectiv consemnat pe țară, pe entitate și pe obligație.
Consemnarea, păstrarea și facilitarea găsirii dovezilor reprezintă ele însele o formă de muncă: ordonarea documentelor, stabilirea referințelor, verificarea dacă un dosar este complet înainte ca un auditor să îl solicite. O parte din această muncă este repetitivă și urmează un tipar fix pentru fiecare obligație. Cine dorește să știe ce parte din această muncă poate fi preluată de AI și ce parte rămâne dependentă de raționamentul uman poate calcula acest lucru cu scanul de muncă al FTE TO AI, care indică pentru fiecare sarcină cât spațiu există pentru automatizare.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.