Kennisbank

Čo control-matrix presne zaznamenáva

Predstavenstvo, ktoré má preukázať, že má veci pod kontrolou, sa nemôže uspokojiť s tvrdením, že existuje nejaká politika. Musí existovať štruktúra, ktorá pri každej povinnosti ukazuje, kto je zodpovedný, aký dôkaz existuje a aká kontrola zaisťuje, že tento dôkaz zostáva platný. Táto štruktúra sa nazýva control-matrix. Nie je to forma reportingu ani šablóna, ktorú vyplníte pre audítora; je to spôsob, akým sa organizácia môže sama sebe vysvetliť, čo sa deje a prečo je to dostatočné.

Tri stĺpce, na ktorých skutočne záleží

Control-matrix pozostáva z viac než len zoznamu povinností. Pri každej povinnosti musia byť stanovené aspoň tri veci: kto je vlastníkom, aký je dôkaz o splnení tejto povinnosti a aká kontrola dohliada na to, že tento dôkaz zostáva aktuálny a správny. Bez vlastníka sa povinnosť stáva úlohou nikoho. Bez dôkazu je povinnosť len zámerom. Bez kontroly je dôkaz len momentkou, ktorá zastará hneď, ako sa organizácia zmení. Kto je vlastníkom povinnosti pri skupine s viacerými subjektmi preto nie je detail, ktorý sa doplní neskôr, ale prvá vec, ktorá musí byť stanovená skôr, než matrix niečo znamená.

Čo sa počíta ako dôkaz, sa líši podľa povinnosti a podľa krajiny, v ktorej povinnosť platí. Európske pravidlo, ktoré sa v základnom texte zdá jednoznačné, sa v národnej transpozícii často vykladá inak: iná forma dôkazu, iná frekvencia, iný orgán, ktorý ho musí potvrdiť. Matrix, ktorá na to nedáva priestor, vyzerá kompletne, ale nie je. Pre presné vypracovanie toho, čo v konkrétnom prípade platí ako dôkaz, je čo sa počíta ako dôkaz pri povinnosti v skupine s viacerými subjektmi východiskom, nie táto stránka.

Prečo sa dôkaz rozpadá

V skupine s viacerými subjektmi, viacerými krajinami alebo viacerými oddeleniami dôkaz zriedka vzniká na jednom mieste. Politika je pri právnom oddelení, vykonanie pri lokálnej pobočke, reportovanie pri financiách a schválenie pri predstavenstve, ktoré celok nesleduje denne. Control-matrix, ktorá to nemapuje, zakrýva skutočnosť, že roztrieštenosť je skutočným rizikom. Nie chýbajúca politika, ale nemožnosť dohľadať dôkaz, že politika bola aj skutočne uplatnená. Kde presne sa to pokazí a prečo sa to pri skupinových štruktúrach vyskytuje častejšie než pri jednom subjekte, je rozpracované na stránke kde sa dôkaz stráca pri skupine s viacerými subjektmi.

Matrix túto roztrieštenosť nerieši tým, že by sa všetko zhromaždilo na jednom mieste — to je často nedosiahnuteľné a ani potrebné. Čo matrix skutočne robí, je uvedenie, kde sa každý kúsok dôkazu nachádza a kto naň môže ukázať v momente, keď sa oň požiada. To je iný cieľ než centralizácia: ide o vyhľadateľnosť, nie o zhromažďovanie.

Politika sa nerovná praxi

Častou chybou v control-matrix je, že dôkazom je samotný dokument politiky. Dokument politiky preukazuje, že organizácia sa niečo rozhodla, nie že sa to aj deje. Audítor alebo dozorný orgán, ktorý sa pýta ďalej, chce vedieť, ako sa politika premieta do konkrétneho, opakovateľného úkonu: zaznamenané schválenie, vykonaná kontrola, zistená a riešená odchýlka. Ako tento rozdiel funguje v praxi, je vysvetlené na stránke ako preukážete, že politika je aj praxou pri skupine s viacerými subjektmi. Control-matrix, ktorá tento rozdiel nerobí, poskytuje len zdanlivú istotu: na papieri kompletné, v praxi neobhájiteľné.

Vyhľadateľnosť ako požiadavka, nie ako vedľajšia záležitosť

Hodnota control-matrix nezávisí od toho, ako kompletná je v čase jej vytvorenia, ale od toho, ako dobre obstojí v momente, keď sa na ňu spýta niekto zvonka. To znamená, že dôkaz musí nielen existovať, ale musí byť aj uložený takým spôsobom, ktorý môže sledovať audítor bez predchádzajúcej znalosti organizácie. Matrix, ktorá odkazuje na dôkaz, ktorý už nikto nedokáže dohľadať, je v praxi prázdna matrix. Čo je na to potrebné z hľadiska ukladania a štruktúry, je uvedené na stránke ako uchovávate dôkaz tak, aby ho audítor našiel pri skupine s viacerými subjektmi. Pri skupine s viacerými subjektmi je toto osobitný bod, pretože dôkaz uložený lokálne zriedka je automaticky viditeľný pre toho, kto sa zodpovedá na úrovni skupiny. Viac o štruktúre samotnej matrix pri takejto štruktúre je na stránke čo je control-matrix pri skupine s viacerými subjektmi.

Od matrix k realizácii

Control-matrix zviditeľňuje, kto má aký dôkaz zhromažďovať, udržiavať aktuálny a byť schopný preukázať. Je to práca, ktorá sa opakuje: rovnaká kontrola, rovnaké zhromažďovanie, rovnaká verifikácia, znova a znova, často naraz vo viacerých subjektoch a krajinách. Hneď ako je toto opakovanie viditeľné, vzniká otázka, ktorá časť z toho je úloha, ktorú musí niekto vykonávať znova a znova, a ktorá časť je natoľko systematická, že sa dá organizovať inak. Werkscan spoločnosti FTE TO AI vypočíta pri každej úlohe, akú časť tejto práce môže prevziať AI, na základe úloh tak, ako sú už popísané v control-matrix.