Ett policydokument beskriver vad en organisation vill. En kontroll beskriver vad som faktiskt sker. Mellan de två finns utrymme, och i det utrymmet bor de frågor som en revisor, en tillsynsmyndighet eller en ny styrelseledamot ställer först. Inte: har ni en policy? Men: kan ni visa att policyn också är praxis?
Ett policydokument kan vara fullständigt, aktuellt och väl skrivet, och ändå säga ingenting om vad som händer i verkligheten. Policy är ett löfte. Praxis är vad som har infriats. Skillnaden ligger i frågan vem som genomför policyn, hur det sker, och vad som har dokumenterats av det. Utan dessa tre element är ett policydokument en avsiktsförklaring, inte ett bevis.
Den distinktionen är precis det som ett förpliktelseregister är byggt på. Inte: vilken regel gäller, utan: vem äger efterlevnaden, vilket bevis finns för det, och vilken kontroll visar att processen är upprepningsbar. Utan ägare förblir en förpliktelse på papper. Vem som bör äga en förpliktelse är därför inte en administrativ fråga, utan den fråga som avgör skillnaden mellan policy och praxis.
Bevis är inte policydokumentet i sig. Bevis är det spår som genomförandet av den policyn lämnar efter sig: ett godkänt formulär, en logguppgift, ett e-postmeddelande med ett beslut, en rapport som levererats på ett fast datum. Bevis existerar först när det dokumenteras i det ögonblick det inträffar, inte rekonstrueras efteråt.
Det är här många organisationer snubblar. Policyn finns, avsikten är äkta, men beviset är fragmentariskt eller uppstår först efter att det efterfrågats. Ett assurance-uppdrag avslöjar den skillnaden skoningslöst. Vad ett assurance-uttalande exakt kräver av en dokumentation är därför en separat fråga: vad kräver ett assurance-uttalande av er dokumentation visar att ribban ligger högre än en samling dokument i en mapp.
Compliance Check synliggör var policy och praxis skiljer sig åt. Den synligheten är inte samma sak som lösningen. Metoden pekar ut vilken förpliktelse som saknar ägare, vilken kontroll som saknas och vilket bevis som ännu inte existerar. Den utför inte kontrollen och den skriver inte policyn. Den levererar en struktur med vilken en organisation själv kan fastställa var praxis ligger efter löftet, och det är en annan prestation än att sluta den klyftan.
Det är heller inte en ögonblicksbild som förblir korrekt. Förpliktelser förändras, ägare byter befattning, och vad som gäller som bevis idag kan vara otillräckligt imorgon. Hur ofta ett förpliktelseregister egentligen behöver justeras är en fråga som många organisationer underskattar: hur ofta förändras ett förpliktelseregister beskriver varför detta inte är en engångsövning.
Skillnaden mellan policy och praxis blir större ju fler parter som är involverade i genomförandet, och det gäller i högsta grad organisationer med verksamhet i flera länder. En europeisk regel får en egen tolkning i varje land, och den policy som skrivits på huvudkontorsnivå ansluter inte automatiskt till vad som förs lokalt. Praxis på ett kontor kan avvika starkt från praxis på ett annat, medan policydokumentet i båda fallen är identiskt.
Det gör underhållet av dessa nationella tillägg till en återkommande uppgift snarare än en engångskontroll. Hur man gör det utan att hamna i en djungel av lösa prenumerationer och lokala verktyg beskrivs på hur håller ni nationella tillägg uppdaterade utan en djungel av prenumerationer.
En rapport beskriver ett tillstånd vid ett givet ögonblick. Skillnaden mellan policy och praxis förändras dock ständigt, och en ögonblicksbild blir inaktuell så snart den första förändringen sker. Det är varför en compliance check som metod syftar till något annat än en rapport: det handlar om ett levande register där ägarskap, bevis och kontroll är permanent kopplade till varandra, i stället för ett dokument som är daterat direkt efter leverans.
Kostnaden för att inte veta vad en organisation faller under blir vanligtvis synlig först i det ögonblick en tillsynsmyndighet, en bank eller en stor kund efterfrågar påvisbarhet och den visar sig inte finnas. Vad det kan innebära att stå utan svar i det ögonblicket förklaras på vad kostar det att inte veta vad ni faller under.
Att fastställa skillnaden mellan policy och praxis väcker naturligt en följdfråga: vem i organisationen har faktiskt tid att samla in beviset, hålla det uppdaterat och revidera det så snart en förpliktelse förändras. Det är en kapacitetsfråga, och den är fristående från frågan om organisationen vet vad som ska göras. FTE TO AI arbetar utifrån den följdfrågan med en arbetsscan som per uppgift beräknar vilken del av arbetet som kan övertas av AI, så att det blir tydligt var människor får tid över för det arbete en dator inte kan göra: att bedöma, att besluta och att ansvara.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.