Povinnosť sa zriedka plní len na jednom oddelení. Politiku píše právne oddelenie, vykonáva ju biznis, kontroluje finance a niekedy ju znova posudzuje externá strana. Každý z týchto krokov zanecháva stopu: dokument, e-mail, schválenie, logbook. Táto stopa je dôkaz. Problém nevzniká tým, že dôkaz neexistuje, ale tým, že nikto presne nevie, kde sa nachádza.
Väčšina organizácií pracuje s kombináciou systémov, ktoré neboli postavené na tento účel: intranet pre politiku, HR systém pre školenia, systém obstarávania pre vyhlásenia dodávateľov, mailbox pre korešpondenciu s dozorným orgánom. Každý systém uchováva svoju vlastnú časť príbehu. Žiadny z týchto systémov nezobrazuje celok. Kto musí preukázať, že povinnosť bola splnená, musí najprv zistiť, v ktorom systéme sa relevantný dôkaz nachádza, a potom, či je tento dôkaz ešte aktuálny.
Pri jednej entite je to už výzva. Pri skupine s viacerými entitami, pobočkami alebo krajinami problém rastie spolu s ňou. Povinnosť, ktorá je zverená na úrovni skupiny, musí byť často preukázaná lokálne, a naopak. Čo to konkrétne znamená pre čo platí ako dôkaz pri povinnosti v skupine s viacerými entitami, závisí od toho, ako je skupina štruktúrovaná a ktorá entita podáva akú správu. Rovnaká otázka o samotnom rozptýlení sa vracia v kde sa dôkaz rozptýli v skupine s viacerými entitami, kde sa faktorom stáva samotná štruktúra skupiny.
Dôkaz, ktorý existuje, ale nie je nájditeľný, funguje pri kontrole ako dôkaz, ktorý neexistuje. Audítor, dozorný orgán alebo samotné vedenie musí byť schopné zistiť, kto bol za čo zodpovedný a kde sa nachádza podklad. To si vyžaduje pevné miesto pre každú povinnosť, nie pátranie po oddeleniach v momente, keď sa otázka položí. Ako sa táto nájditeľnosť v praxi zabezpečuje, je popísané v ako uchovávate dôkaz tak, aby ho audítor našiel.
Určenie vlastníka pre každú povinnosť problém rozptýleného dôkazu automaticky nevyriešiaci, ale robí ho viditeľným. Vlastník, ktorý vie, že je zodpovedný, začne hľadať dôkaz, ktorý patrí k jeho úlohe, a často zistí, že je rozptýlený medzi viacerými systémami alebo kolegami. Je to moment, kedy sa rozptýlenie stáva problémom, ktorý sa dá vyriešiť, namiesto problému, ktorý zostáva bez povšimnutia. Čo presne vlastníctvo znamená a prečo je oddelené od toho, kto úlohu vykonáva, je rozobraté v kto je vlastníkom povinnosti.
Ďalší bod, na ktorom sa dôkaz rozpadá: existencia politiky nič nevraví o jej vykonávaní. Dokument, ktorý popisuje, ako by mal proces prebiehať, nie je dôkazom, že proces takto skutočne prebieha. To si vyžaduje iný druh dôkazu, konkrétne preukázateľné vykonávanie: logy, náhodné kontroly, správy o odchýlkach. Rozdiel medzi týmito dvoma vrstvami dôkazu a ako ich vedľa seba porovnať, je vysvetlené v ako preukážete, že politika je aj praxou.
Aby bol rozptýlený dôkaz zvládnuteľný, je potrebný pevný prehľad: pre každú povinnosť vlastník, dôkaz a kontrola, ktorá preukazuje, že proces funguje. Bez tejto štruktúry zostáva dôkaz rozptýlený, až kým ho niekto nepotrebuje, a vtedy je často už neskoro ho úplne zhromaždiť. Ako je takýto prehľad zostavený a čo do neho pridáva kontrola, je popísané na čo je control matrix.
Otázka, či je organizácia v control, sa nezodpovedá vyhlásením, ale dôkazom, ktorý je v správnej chvíli nájditeľný. Kým je tento dôkaz rozptýlený medzi oddeleniami a systémami, ktoré si každé uchováva svoju vlastnú časť, na túto otázku sa nedá odpovedať s istotou. Zjednotenie vlastníka, dôkazu a kontroly pre každú povinnosť je krok, ktorý to umožňuje.
Zhromažďovanie a udržiavanie aktuálnosti tohto dôkazu je samo osebe práca, rozptýlená medzi mnoho drobných úloh: vyžiadanie dokumentov, kontrola verzií, aktualizácia prehľadov. Werkscan od FTE TO AI vypočíta pre každú úlohu, akú časť z nej môže prevziať AI, aby bolo jasné, akú časť tejto práce zvládne automatizácia a akú časť si vyžaduje ľudské posúdenie.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.