Predstavenstvo môže schváliť politický dokument a zároveň nevedieť, či sa táto politika aj skutočne uplatňuje. Nie je to výjimka, je to normálny stav vecí v organizácii, kde sa politika píše centrálne a vykonáva decentralizovane. Otázka, ktorú si kladie audítor, nie je "máte politiku", ale "vedeli by ste ukázať, že táto politika funguje". To je iný druh otázky a vyžaduje aj iný druh odpovede.
Politika je zámer. Popisuje, čo chce organizácia robiť: ako zaobchádza s dodávateľmi, s dátami, s rizikami. Fungovanie je to, čo sa skutočne odohráva na pracovisku, v systéme, v rozhodnutí, ktoré bolo prijaté minulý mesiac. Medzi týmito dvomi vecami môže existovať rozdiel, ktorý si nikto nevšimol, jednoducho preto, že nikto systematicky nesledoval, či sa politika aj vykonáva tak, ako bolo zamýšľané.
Preukázateľnosť tento rozdiel prekonáva. Nie je to samotná politika, ale stopa, ktorá dokazuje, že politika bola uplatnená: rozhodnutie, schválenie, odchýlka, ktorá bola zaznamenaná a vyriešená. Bez takejto stopy je politika iba vyhlásením zámeru, nie vykonania.
Nie každý dokument, ktorý sa témy dotýka, je dôkazom, že povinnosť bola dodržaná. Popis procesu ukazuje, ako by niečo malo funguť, nie to, že to tak skutočne funguje. Dôkaz, ktorý obstojí, je väčšinou konkrétnejší: schválenie s dátumom a menom, systémový záznam, správa o odchýlke s uvedeným nasledujúcim krokom. Čo platí ako dôkaz pri povinnosti, rozpracované pre skupinu s viacerými entitami ukazuje, aká úroveň detailu je potrebná, aby bola povinnosť preukázateľná, a aká úroveň nedostačuje.
Tento rozdiel je dôležitejší, než sa zdá. Organizácia, ktorá sa spolieha na politické dokumenty a prehľady školení, má zvyčajne viac papiera než dôkazu. Otázkou nie je, koľko dokumentácie existuje, ale či táto dokumentácia preukazuje, že konkrétny úkon bol v konkrétnom okamihu vykonaný konkrétnou osobou.
V jedinej entite s prehľadnou organizáciou sa dôkaz zvyčajne nachádza na obmedzenom počte miest. V skupine s viacerými entitami, krajinami alebo oddeleniami vzniká iný obraz. Politika sa určuje centrálne, ale vykonanie sa odohráva v dcérskych spoločnostiach, ktoré majú vlastné systémy, vlastných zodpovedných a vlastné spôsoby zaznamenávania. Dôkaz, že politika funguje, tak vzniká na desiatkach miest naraz, bez toho, aby existoval centrálny prehľad o tom, kde presne sa tento dôkaz nachádza.
Kde sa dôkaz stráca v skupine s viacerými entitami popisuje, ako táto rozdrobenosť vzniká a prečo sa často odhalí až vo chvíli, keď niekto dôkaz skutočne potrebuje. Táto chvíľa je zvyčajne audit, due diligence, alebo otázka od dozorného orgánu, a to je presne tá chvíľa, kedy zhon a neistota škodia najviac.
Dôkaz, ktorý existuje, ale nie je vyhľadateľný, v praxi nefunguje ako dôkaz. Audítor, ktorý musí tri týždne čakať na odpoveď, ktorá už existovala niekde inde, si z toho vyvodí záver o kvalite vnútornej kontroly, bez ohľadu na to, či bola samotná politika obsahovo v poriadku. Preukázateľnosť si teda vyžaduje nielen dôkaz, ale aj štruktúru, v ktorej sa tento dôkaz v primeranom čase objaví.
Ako uchovávať dôkaz tak, aby ho audítor našiel, rozpracované pre skupinu s viacerými entitami sa venuje tejto vyhľadateľnosti: kde sa dôkaz zaznamenáva, kto k nemu má prístup, a ako sa predchádza tomu, aby sa odpoveď na jednoduchú otázku zmenila na týždne trvajúce hľadanie. K tomu patrí aj jasné pridelenie vlastníctva: kto je vlastníkom povinnosti v skupine s viacerými entitami totiž určuje nielen to, kto je zodpovedný za vykonanie, ale aj to, kto môže byť oslovený vo chvíli, keď sa dôkaz vyžaduje.
Aby sa politika a prax spojili, musí byť pri každej povinnosti jasné, kto je vlastníkom, čo platí ako dôkaz a ktorá kontrola dokazuje, že dôkaz sa pravidelne overuje. Tieto tri prvky spolu tvoria control matrix: prehľad, ktorý spája povinnosť, vlastníka a dôkaz, takže predstavenstvo nemusí pri každej otázke znovu rekonštruovať, kto za čo zodpovedal. Rovnaká štruktúra, konkrétne rozpracovaná pre zložitosť skupinovej štruktúry, je popísaná v ako preukázať, že politika je aj praxou v skupine s viacerými entitami.
Compliance Check od csrdcompliance.net sa práve vyvíja. Cieľom je prehľad, v ktorom je pri každej povinnosti zaznamenaný vlastník, dôkaz a príslušná kontrola, takže predstavenstvo môže preukázať, že má situáciu pod kontrolou, namiesto toho, aby to musela iba tvrdiť. Kto to chce využiť hneď, ako to bude k dispozícii, sa môže prihlásiť na zoznam čakateľov.
Zmapovanie vlastníctva a dôkazov je jedna stránka veci, vykonávanie všetkých týchto kontrol a záznamov je druhá. Kto sa zamýšľa, koľko z tejto výkonnej práce musí naozaj zostať prácou ľudí, môže navštíviť pracovný sken od FTE TO AI: ten pre každú úlohu vypočíta, akú časť práce môže prevziať AI a akú časť si vyžaduje posúdenie, ktoré zostáva na človeku.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.