En styrelse kan godkänna ett policydokument och samtidigt inte veta om denna policy också tillämpas. Det är inget undantag, det är normalläget i en organisation där policy skrivs centralt och genomförs decentralt. Frågan en revisor ställer är inte "har ni en policy", utan "kan ni visa att denna policy fungerar". Det är en annan typ av fråga, och den kräver ett annat slags svar.
Policy är en avsikt. Den beskriver vad en organisation vill göra: hur den hanterar leverantörer, data, risker. Tillämpning är det som faktiskt sker på arbetsgolvet, i ett system, i ett beslut som fattades förra månaden. Mellan dessa två kan det finnas en skillnad som ingen har uppmärksammat, helt enkelt eftersom ingen systematiskt har kontrollerat om policyn också genomförts som avsett.
Påvisbarhet överbryggar den skillnaden. Det är inte policyn i sig, utan spåret som visar att policyn har tillämpats: ett beslut, ett godkännande, en avvikelse som upptäckts och åtgärdats. Utan detta spår är policy en avsiktsförklaring, inte en genomförandeförklaring.
Inte varje dokument som berör ett ämne är bevis för att skyldigheten har efterlevts. En processbeskrivning visar hur något borde fungera, inte att det har fungerat så. Bevis som håller är vanligtvis mer konkret: ett godkännande med datum och namn, en systemlogg, en avvikelserapport med den vidtagna uppföljningsåtgärden. Vad som räknas som bevis vid en skyldighet, utarbetat för en grupp med flera enheter visar vilken detaljnivå som krävs för att göra en skyldighet påvisbar, och vilken nivå som inte räcker till.
Denna distinktion är viktigare än den verkar. En organisation som nöjer sig med policydokument och utbildningsöversikter har vanligtvis mer papper än bevis. Frågan är inte hur mycket dokumentation som finns, utan om denna dokumentation visar att en specifik handling vid en specifik tidpunkt har utförts av en specifik person.
I en enskild enhet med en överskådlig organisation finns bevis vanligtvis på ett begränsat antal ställen. I en grupp med flera enheter, länder eller avdelningar uppstår en annan bild. Policy fastställs centralt, men genomförandet sker i dotterbolag som har egna system, egna ansvariga och egna sätt att dokumentera. Beviset för att policyn fungerar uppstår därmed på dussintals platser samtidigt, utan att det finns en central överblick över var detta bevis exakt finns.
Var bevis sprids ut i en grupp med flera enheter beskriver hur denna fragmentering uppstår och varför den ofta bara blir uppenbar när någon faktiskt behöver beviset. Det ögonblicket är vanligtvis en revision, en due diligence, eller en fråga från en tillsynsmyndighet, och det är just då som brådska och osäkerhet är mest skadliga.
Bevis som finns men inte är sökbart fungerar i praktiken inte som bevis. En revisor som måste vänta tre veckor på ett svar som redan fanns någon annanstans drar en slutsats om kvaliteten på den interna kontrollen, oavsett om den underliggande policyn var innehållsmässigt i sin ordning. Påvisbarhet kräver därför inte bara bevis, utan en struktur där detta bevis kommer fram inom rimlig tid.
Hur ni bevarar bevis så att en revisor hittar det, utarbetat för en grupp med flera enheter går in på just denna sökbarhet: var bevis dokumenteras, vem som har tillgång till det, och hur man förhindrar att svaret på en enkel fråga blir en flera veckor lång sökprocess. Till detta hör också en tydlig fördelning av ägarskap: vem som är ägare av en skyldighet i en grupp med flera enheter avgör nämligen inte bara vem som är ansvarig för genomförandet, utan även vem som kan hållas ansvarig när beviset efterfrågas.
För att sammanföra policy och praxis måste det per skyldighet vara tydligt vem som är ägare, vad som gäller som bevis, och vilken kontroll som visar att beviset kontrolleras regelbundet. Dessa tre element tillsammans utgör en control matrix: en översikt som kopplar samman skyldighet, ägare och bevis, så att en styrelse inte behöver rekonstruera vem som var ansvarig för vad varje gång en fråga uppstår. Samma struktur, specifikt utarbetad för komplexiteten i en koncernstruktur, beskrivs i hur ni visar att policy också är praxis i en grupp med flera enheter.
Compliance Check från csrdcompliance.net är under uppbyggnad. Målet är en översikt där ägare, bevis och tillhörande kontroll dokumenteras per skyldighet, så att en styrelse kan visa att den har kontroll istället för att behöva hävda det. Den som vill använda detta så snart det blir tillgängligt kan anmäla sig till väntelistan.
Att kartlägga ägarskap och bevis är en sida av saken, att utföra alla dessa kontroller och dokumentationer är den andra. Den som undrar hur mycket av detta utförande arbete som faktiskt måste förbli mänskligt arbete kan vända sig till werkscan från FTE TO AI: den beräknar per uppgift vilken andel av arbetet som kan tas över av AI, och vilken andel som kräver bedömning som förblir hos en människa.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.