Obveznost, ki obstaja na papirju, še ni obveznost, ki je bila izpolnjena. Med ‘imamo politiko’ in ‘izkazujemo, da imamo nadzor’ obstaja plast, ki se pogosto izpusti: dokazilo. In ne šteje vsak dokument, ki nekje obstaja, kot dokazilo.
Dokument o politiki opisuje namero. Pove, kaj organizacija želi storiti, ne kaj se je dejansko zgodilo. Revizor ali nadzorni organ ne sprašuje po politiki, temveč po njenem izidu: je bila ocena tveganja dejansko izvedena, je bila odobritev zapisana, je bilo odstopanje sporočeno v trenutku, ko se je pojavilo. Kako se ta korak od politike do prakse izkazuje, je odvisno od vrste obveznosti in načina, kako je postopek zasnovan; kako izkažete, da je politika tudi praksa obravnava to razlikovanje.
Dokazilo je sled, ki zapiše dejanje, odločitev ali kontrolo v trenutku, ko se je zgodila, z datumom, imenom in izidom. E-poštno sporočilo, v katerem je bilo sporočeno tveganje. Vrstica v zapisniku, v kateri je uprava sprejela premislek. Dnevniška datoteka, ki dokazuje, da je bila kontrola dejansko izvedena, ne le da je bila načrtovana. Podpisana izjava dobavitelja. Skupna značilnost: naknadno je mogoče rekonstruirati, kdo je kaj storil in kdaj, brez da bi to moral kdo ponovno pojasnjevati.
Ali nekaj šteje kot dokazilo, je močno odvisno od obveznosti, na katero se nanaša. Obveznost poročanja zahteva drugačno vrsto sledi kot dolžnost skrbnega ravnanja, in dolžnost skrbnega ravnanja spet nekaj drugega kot obveznost obveščanja. Ne obstaja fiksen seznam, ki bi za vsako obveznost dal enak odgovor; kaj šteje, izhaja iz narave same obveznosti in iz tega, kaj je o tem zapisal nadzorni organ.
V praksi dokazilo redko nastane na enem mestu. Ocena tveganja je v preglednici prve linije. Odobritev je v izmenjavi e-poštnih sporočil z nadrejenim. Končna kontrola je v sistemu tretje stranke. Ko je treba obveznost izkazati, mora nekdo te tri sledi znova poiskati skupaj — in to ne uspe vedno. Ko organizacija postane večja, ima več oddelkov ali sodeluje z več zunanjimi strankami, se povečuje verjetnost, da dokazilo leži na mestu, ki ga nihče več ne pozna. kje se dokazilo razdrobi opisuje vzorce, ki se pri tem najpogosteje pojavljajo: predaje med oddelki, menjave sistema in postopke, ki so bili preneseni na zunanjo stranko.
Dokazilo, ki ni najdljivo za nikogar razen za ustvarjalca, ne deluje kot dokazilo. Revizor, nov skladnostni uradnik ali nadzorni organ mora biti zmožen slediti sledi, ne da bi bil prvotni pripravljavec zraven, da bi to razložil. To postavlja zahteve glede tega, kje se dokazilo hrani in kako je označeno: povezano z obveznostjo, na katero se nanaša, z datumom in odgovorno osebo, na mestu, ki ni odvisno od ene osebe, ki je po naključju še zaposlena. kako hranite dokazilo, tako da ga revizor najde obravnava to ureditev.
Vsak kos dokazila spada k obveznosti, in vsaka obveznost spada k nekomu, ki lahko pojasni, zakaj dokazilo zadostuje. Brez te povezave nastane arhiv dokumentov, za katerega nihče več ne ve, katero obveznost naj bi izkazovali ali kdo je bil odgovoren za njihovo kakovost. kdo je lastnik obveznosti opisuje, zakaj ta dodelitev ni formalnost, temveč člen, ki naredi dokazilo uporabno v trenutku, ko je zanj vprašano.
Štirje elementi — obveznost, lastnik, dokazilo, kontrola — sodijo skupaj v en pregled, ne razpršeni po oddelkih in sistemih. Ta pregled ima ime: matrika kontrol (control matrix). Kaj natančno ta matrika vsebuje in kako je zgrajena, je opisano na kaj je matrika kontrol. Pri skupini z več entitetami ali sedeži v različnih državah postane to vprašanje bolj zapleteno, saj dokazilo na enem nivoju ni samodejno veljavno na drugem; kaj šteje kot dokazilo pri obveznosti znotraj skupine z več entitetami obravnava prav to situacijo.
Ta stran opisuje, kaj je dokazilo in kje gre narobe, ne katero dokazilo za vašo organizacijo konkretno zadostuje. To je odvisno od obveznosti, panoge in države, v kateri je entiteta ustanovljena — in od načina, kako so nacionalni zakonodajalci evropsko pravilo prenesli v prakso. csrdcompliance.net na to razliko opozarja, vendar ne nadomešča pravnega nasveta in ne daje garancije glede izida pri nadzornem organu.
Zaznavanje in urejanje dokazil zahteva delo: zbiranje sledi, povezovanje z obveznostjo, označevanje, tako da jih lahko najde tudi nekdo drug. Del tega dela je ponovljiv in sledi fiksnemu vzorcu, kar ga naredi primernega za (delno) avtomatizacijo. Delovni pregled (werkscan) podjetja FTE TO AI izračuna za posamezno nalogo, kateri del tega dela lahko prevzame AI, tako da postane jasno, kje so ljudje še potrebni za presojo in kje je mogoče podpreti zbiranje in urejanje dokazil. Compliance Check podjetja csrdcompliance.net je v izdelavi; kdor želi o tem prejeti obvestilo, se lahko prijavi na čakalni seznam.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.