Povinnosť, ktorá stojí na papieri, ešte nie je povinnosť, ktorá bola splnená. Medzi 'máme politiku' a 'preukazujeme, že máme veci pod kontrolou' sa nachádza vrstva, ktorá sa často vynecháva: dôkaz. A nie každý dokument, ktorý niekde leží, sa počíta ako dôkaz.
Dokument politiky popisuje zámer. Hovorí, čo chce organizácia robiť, nie čo sa skutočne stalo. Audítor alebo dohľadový orgán sa nepýta na politiku, ale na jej výsledok: bolo posúdenie rizika skutočne vykonané, bolo schválenie zaznamenané, bola odchýlka nahlásená v momente, keď sa vyskytla. Ako sa tento krok od politiky k praxi preukázateľne zdokumentuje, závisí od typu povinnosti a od spôsobu, akým je proces nastavený; ako preukážete, že politika je aj praxou sa venuje tomuto rozdielu.
Dôkaz je stopa, ktorá zaznamenáva úkon, rozhodnutie alebo kontrolu v momente, keď sa uskutočnili, s dátumom, menom a výsledkom. E-mail, v ktorom bolo nahlásené riziko. Riadok v zápisnici, kde predstavenstvo zvážilo rozhodnutie. Log súbor, ktorý ukazuje, že kontrola bola skutočne vykonaná, nielen že bola naplánovaná. Podpísané vyhlásenie dodávateľa. Spoločným znakom je, že sa dá spätne zrekonštruovať, kto čo kedy urobil, bez toho, aby to niekto musel znovu vysvetľovať.
Či sa niečo počíta ako dôkaz, silno závisí od povinnosti, na ktorú sa vzťahuje. Povinnosť podávania správ vyžaduje inú stopu než povinnosť starostlivosti a povinnosť starostlivosti opäť inú než oznamovacia povinnosť. Neexistuje pevný zoznam, ktorý by dával rovnakú odpoveď pre každú povinnosť; to, čo sa počíta, vyplýva z povahy samotnej povinnosti a z toho, čo o tom stanovil dohľadový orgán.
V praxi dôkaz zriedkavo vzniká na jednom mieste. Posúdenie rizika je v tabuľke v prvej linke. Schválenie je v e-mailovej korešpondencii s nadriadeným. Konečná kontrola je v systéme tretej strany. Keď treba povinnosť preukázať, musí niekto tieto tri stopy znovu vyhľadať a spojiť — a to sa nie vždy podarí. Čím väčšia organizácia je, čím viac oddelení má alebo čím viac spolupracuje s externými stranami, tým väčšia je pravdepodobnosť, že dôkaz sa nachádza na mieste, o ktorom už nikto nevie. kde sa dôkaz rozptýli popisuje najčastejšie vzorce, ktoré sa pri tom vyskytujú: prechody medzi oddeleniami, zmeny systému a procesy zverené externej strane.
Dôkaz, ktorý nie je nájditeľný pre nikoho iného než pre jeho tvorcu, nefunguje ako dôkaz. Audítor, nový compliance officer alebo dohľadový orgán musí byť schopný sledovať stopu bez toho, aby pri ňom sedel pôvodný autor, ktorý by to vysvetlil. To si vyžaduje nároky na to, kde sa dôkaz uchováva a ako je označený: prepojený s povinnosťou, na ktorú sa vzťahuje, s dátumom a zodpovednou osobou, na mieste, ktoré nezávisí od jednej osoby, ktorá náhodou ešte je v zamestnaní. ako uchovávate dôkaz tak, aby ho audítor našiel sa venuje tomuto nastaveniu.
Každý kúsok dôkazu patrí k povinnosti a každá povinnosť patrí k niekomu, kto vie vysvetliť, prečo je dôkaz dostatočný. Bez tohto prepojenia vzniká archív dokumentov, o ktorých už nikto nevie, akú povinnosť mali preukázať, alebo kto bol zodpovedný za ich kvalitu. kto je vlastníkom povinnosti popisuje, prečo toto pridelenie nie je formalitou, ale článkom, ktorý robí dôkaz použiteľným v momente, keď je o neho požiadané.
Štyri prvky — povinnosť, vlastník, dôkaz, kontrola — by mali stáť spolu v jednom prehľade, nie rozptýlené medzi oddeleniami a systémami. Tento prehľad má názov: control matrix (kontrolná matica). Čo táto matica presne obsahuje a ako sa vytvára, je popísané na čo je control matrix. Pri skupine s viacerými entitami alebo pobočkami v rôznych krajinách sa táto otázka komplikuje, pretože dôkaz na jednej úrovni nie je automaticky platný na inej; čo sa počíta ako dôkaz pri povinnosti v skupine s viacerými entitami sa venuje konkrétne tejto situácii.
Táto stránka popisuje, čo je dôkaz a kde to zlyháva, nie aký konkrétny dôkaz postačuje pre vašu organizáciu. To závisí od povinnosti, sektora a krajiny, v ktorej je entita usadená — a od spôsobu, akým národní zákonodarcovia naplnili európske pravidlo. csrdcompliance.net na tento rozdiel upozorňuje, ale nenahrádza právne poradenstvo a neponúka žiadnu záruku výsledku pri dohľadovom orgáne.
Zmapovanie a usporiadanie dôkazu si vyžaduje prácu: zbieranie stôp, prepájanie s povinnosťou, označovanie tak, aby ich niekto iný dokázal nájsť. Časť tejto práce je opakovateľná a riadi sa pevným vzorom, čo ju robí vhodnou na (čiastočnú) automatizáciu. Pracovný skener od FTE TO AI vypočíta pre každú úlohu, akú časť tejto práce môže prevziať AI, aby bolo jasné, kde sú ľudia stále potrební na posúdenie a kde môže byť zbieranie a usporiadanie dôkazu podporené. Compliance Check od csrdcompliance.net sa pripravuje; kto chce o tom dostávať informácie, sa môže prihlásiť na čakaciu listinu.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.