Kennisbank

Kaj control-matrix natančno določa

Uprava, ki jo prosijo, naj dokaže, da ima nadzor, se ne more zadovoljiti z izjavo, da politika obstaja. Vzpostavljena mora biti struktura, ki za vsako obveznost pokaže, kdo je odgovoren, kateri dokaz obstaja in katera kontrola skrbi, da ta dokaz ostane ustrezen. Ta struktura se imenuje control-matrix. Ni oblika poročanja niti obrazec, ki ga izpolniš za revizorja; je način, kako lahko organizacija sama sebi razloži, kaj se dogaja in zakaj je to zadostno.

Trije stolpci, ki dejansko štejejo

Control-matrix obsega več kot le seznam obveznosti. Za vsako obveznost so določene vsaj tri stvari: kdo je lastnik, kateri dokaz potrjuje, da je obveznost izpolnjena, in katera kontrola nadzoruje, da ta dokaz ostane aktualen in pravilen. Brez lastnika obveznost ni nikogaršnja naloga. Brez dokaza je obveznost le namera. Brez kontrole je dokaz posnetek trenutka, ki zastara takoj, ko se organizacija spremeni. Kdo je lastnik obveznosti pri skupini z več entitetami zato ni podrobnost, ki jo dopolnite pozneje, temveč prva stvar, ki mora biti določena, preden matrika sploh kaj pomeni.

Kaj šteje kot dokaz, se razlikuje glede na obveznost in glede na državo, v kateri obveznost velja. Evropsko pravilo, ki se v osnovnem besedilu zdi enoznačno, se v nacionalnem prenosu pogosto izvede drugače: druga oblika dokaza, druga pogostost, drug organ, ki ga mora potrditi. Matrika, ki za to ne pušča prostora, izgleda popolna, a ni. Za natančno razdelavo tega, kaj v konkretnem primeru šteje kot dokaz, je kaj šteje kot dokaz pri obveznosti pri skupini z več entitetami izhodišče, ne ta stran.

Zakaj dokaz razpade

V skupini z več entitetami, več državami ali več oddelki dokaz redko nastane na enem mestu. Politika je pri pravni službi, izvedba pri lokalni enoti, poročanje pri financah, in odobritev pri upravi, ki celote ne vidi vsak dan. Control-matrix, ki tega ne zajame, zakriva, da je razdrobljenost dejansko tveganje. Ne odsotnost politike, temveč nezmožnost najti dokaz, da je bila politika tudi izvedena. Kje se to natančno zaplete in zakaj se to pri skupinskih strukturah pojavlja pogosteje kot pri posamezni entiteti, je razdelano na kje dokaz postane razpršen pri skupini z več entitetami.

Matrika te razdrobljenosti ne odpravi tako, da vse zbere na enem mestu — to pogosto ni izvedljivo in tudi ni potrebno. Kar matrika naredi, je, da pokaže, kje se posamezen del dokaza nahaja in kdo lahko nanj pokaže v trenutku, ko se to zahteva. To je drugačen cilj kot centralizacija: gre za najdljivost, ne za zbiranje.

Politika ni enako praksi

Pogosta napaka v control-matrix je, da je dokaz kar dokument politike sam. Dokument politike dokazuje, da se je organizacija za nekaj odločila, ne da se to dejansko izvaja. Revizor ali nadzorni organ, ki poglobljeno sprašuje, želi vedeti, kako se politika prevede v konkretno, ponovljivo dejanje: odobritev, ki je zapisana, preverjanje, ki je bilo izvedeno, odstopanje, ki je bilo zaznano in obravnavano. Kako to razlikovanje deluje v praksi, je pojasnjeno na kako dokažete, da je politika tudi praksa pri skupini z več entitetami. Control-matrix, ki tega razlikovanja ne naredi, ustvarja navidezno gotovost: na papirju popolno, v praksi nezagovorljivo.

Najdljivost kot zahteva, ne kot postranska stvar

Vrednost control-matrix ni odvisna od tega, kako popolna je v trenutku priprave, temveč od tega, kako dobro vzdrži v trenutku, ko nekdo od zunaj o njej sprašuje. To pomeni, da dokaz ne sme le obstajati, temveč mora biti tudi shranjen na način, ki mu lahko sledi revizor brez predznanja o organizaciji. Matrika, ki napotuje na dokaz, ki ga nihče več ne najde, je v praksi prazna matrika. Kaj je za to potrebno glede shranjevanja in strukture, je na kako shranite dokaz, da ga revizor najde, pri skupini z več entitetami. Pri skupini z več entitetami je to posebna točka pozornosti, saj dokaz, ki je shranjen lokalno, redko sam po sebi postane viden tistemu, ki na ravni skupine odgovarja. Več o zgradbi same matrike pri takšni strukturi je na kaj je control-matrix pri skupini z več entitetami.

Od matrike do izvedbe

Control-matrix pokaže, kdo mora zbirati, vzdrževati aktualnost in znati pokazati kateri dokaz. To je delo, ki se ponavlja: enako preverjanje, enako zbiranje, enako preverjanje, znova in znova, pogosto pri več entitetah in državah hkrati. Ko je ta ponovitev vidna, se postavi vprašanje, kateri del tega je naloga, ki jo mora nekdo vsakič znova opraviti, in kateri del je sistematičen dovolj, da se lahko organizira drugače. Delovni pregled podjetja FTE TO AI za vsako nalogo izračuna, kateri del tega dela lahko prevzame AI, na podlagi nalog, kot so že opisane v control-matrix.