Un consiliu de administrație căruia i se cere să demonstreze că are situația sub control nu se poate limita la a afirma că există o politică. Trebuie să existe o structură care, pentru fiecare obligație, arată cine este responsabil, ce dovadă există și ce control asigură că această dovadă rămâne corectă. Această structură se numește matrice de control. Nu este o formă de raportare și nici un șablon care se completează pentru un auditor; este modul în care o organizație își poate explica sieși ce se întâmplă și de ce acest lucru este suficient.
O matrice de control constă din mai mult decât o listă de obligații. Pentru fiecare obligație se stabilesc cel puțin trei lucruri: cine este responsabilul, care este dovada că obligația respectivă a fost îndeplinită și ce control veghează ca acea dovadă să rămână actuală și corectă. Fără un responsabil, o obligație nu devine sarcina nimănui. Fără dovadă, o obligație este o intenție. Fără control, dovada este o instantanee care se demodează în momentul în care organizația se schimbă. Cine este responsabilul unei obligații într-un grup cu mai multe entități nu este, prin urmare, un detaliu care se completează mai târziu, ci primul lucru care trebuie stabilit înainte ca o matrice să aibă vreo semnificație.
Ce se consideră dovadă diferă în funcție de obligație și de țara în care aceasta se aplică. O reglementare europeană care în textul de bază pare univocă este adesea implementată diferit în transpunerea națională: altă formă de dovadă, altă frecvență, alt organism care trebuie să o constate. O matrice care nu lasă loc pentru aceste diferențe pare completă, dar nu este. Pentru o elaborare precisă a ceea ce se consideră dovadă într-un caz concret, ce se consideră dovadă pentru o obligație într-un grup cu mai multe entități este punctul de referință, nu această pagină.
Într-un grup cu mai multe entități, mai multe țări sau mai multe departamente, dovada rareori se formează într-un singur loc. Politica se află la departamentul juridic, implementarea la o filială locală, raportarea la finance, iar aprobarea la un consiliu de administrație care nu vede ansamblul zi de zi. O matrice de control care nu cartografiază acest lucru ascunde faptul că fragmentarea este riscul real. Nu lipsa politicii, ci incapacitatea de a găsi dovada că politica a fost și aplicată. Unde apare exact această problemă și de ce se întâlnește mai des la structurile de grup decât la o entitate unică este detaliat pe unde se fragmentează dovada într-un grup cu mai multe entități.
O matrice nu rezolvă această fragmentare adunând totul într-un singur loc — acest lucru este adesea nefezabil și nici necesar. Ceea ce face matricea este să indice unde se află fiecare dovadă și cine poate arăta spre ea în momentul în care este solicitată. Acesta este un scop diferit de centralizare: este vorba despre trasabilitate, nu despre colectare.
O greșeală frecventă într-o matrice de control este că dovada constă din documentul de politică în sine. Un document de politică demonstrează că o organizație a decis ceva, nu că se și întâmplă. Un auditor sau o autoritate de supraveghere care aprofundează vrea să știe cum se traduce politica într-o acțiune concretă, repetabilă: o aprobare care a fost înregistrată, un control care a fost efectuat, o abatere care a fost semnalată și urmărită. Cum funcționează în practică această distincție este explicat pe cum demonstrați că politica este și practică într-un grup cu mai multe entități. O matrice de control care nu face această distincție oferă o falsă siguranță: completă pe hârtie, indefensabilă în practică.
Valoarea unei matrice de control nu depinde de cât de completă este în momentul întocmirii, ci de cât de bine rezistă în momentul în care cineva din exterior o interoghează. Aceasta înseamnă că dovada nu trebuie doar să existe, ci trebuie și păstrată într-un mod pe care un auditor fără cunoștințe prealabile despre organizație îl poate urmări. O matrice care face trimitere la dovezi pe care nimeni nu le mai poate găsi este, în practică, o matrice goală. Ce este necesar din punct de vedere al păstrării și structurii se găsește pe cum păstrați dovada astfel încât un auditor să o găsească într-un grup cu mai multe entități. Într-un grup cu mai multe entități, acesta este un punct de atenție separat, întrucât dovada stocată local este rareori vizibilă în mod automat pentru cei care răspund la nivel de grup. Mai multe despre structura matricei în sine la o astfel de structură se găsesc pe ce este o matrice de control într-un grup cu mai multe entități.
O matrice de control face vizibil cine trebuie să colecteze, să mențină actualizată și să poată arăta o anumită dovadă. Este o muncă recurentă: același control, aceeași colectare, aceeași verificare, de fiecare dată, adesea pentru mai multe entități și țări simultan. Odată ce această repetiție devine vizibilă, apare întrebarea ce parte din aceasta este o sarcină pe care cineva trebuie să o facă din nou de fiecare dată și ce parte este suficient de sistematică pentru a fi organizată altfel. Scanul de lucru al FTE TO AI calculează, pentru fiecare sarcină, ce parte din această muncă poate fi preluată de AI, pe baza sarcinilor așa cum sunt deja descrise într-o matrice de control.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.