En förpliktelse som står på papper är ännu inte en förpliktelse som är efterlevd. Mellan 'vi har en policy' och 'vi visar att vi har kontroll' finns ett lager som ofta hoppas över: bevis. Och inte varje dokument som ligger någonstans räknas som bevis.
Ett policydokument beskriver en avsikt. Det säger vad en organisation vill göra, inte vad som har hänt. En revisor eller tillsynsmyndighet frågar inte efter policyn, utan efter dess resultat: är riskbedömningen faktiskt gjord, är godkännandet dokumenterat, är avvikelsen rapporterad vid det tillfälle den uppstod. Hur det steget från policy till praktik görs styrkbart beror på typen av förpliktelse och på hur en process är utformad; hur ni visar att policy även är praktik går närmare in på den distinktionen.
Bevis är ett spår som registrerar en handling, ett beslut eller en kontroll vid det tillfälle det ägde rum, med ett datum, ett namn och ett resultat. Ett e-postmeddelande där en risk har rapporterats. En rad i ett protokoll där en styrelse har gjort en avvägning. En loggfil som visar att en kontroll faktiskt har utförts, inte bara att den var planerad. En undertecknad förklaring från en leverantör. Det gemensamma kännetecknet: det går i efterhand att rekonstruera vem som gjorde vad och när, utan att någon behöver återberätta det.
Om något räknas som bevis beror i hög grad på vilken förpliktelse det gäller. En rapporteringsskyldighet kräver ett annat slags spår än en omsorgsplikt, och en omsorgsplikt kräver återigen något annat än en anmälningsskyldighet. Det finns ingen fast lista som ger samma svar för varje förpliktelse; vad som räknas följer av förpliktelsens natur och av vad en tillsynsmyndighet har fastställt om den.
I praktiken uppstår bevis sällan på ett ställe. En riskbedömning finns i ett kalkylblad hos den första linjen. Godkännandet finns i en e-postkonversation med en chef. Den slutliga kontrollen finns i ett system hos en tredje part. När en förpliktelse måste styrkas måste någon leta reda på dessa tre spår igen — och det lyckas inte alltid. Ju större en organisation blir, ju fler avdelningar den har eller ju fler externa parter den samarbetar med, desto större blir risken att bevis finns på ett ställe som ingen längre känner till. var bevis blir spritt beskriver de mönster som förekommer mest i det avseendet: överlämningar mellan avdelningar, systembyten och processer som lagts ut hos en extern part.
Bevis som inte är sökbart för någon annan än den som skapade det fungerar inte som bevis. En revisor, en ny compliance officer eller en tillsynsmyndighet måste kunna följa ett spår utan att den ursprungliga upphovspersonen sitter bredvid för att förklara det. Det ställer krav på var bevis förvaras och hur det märks: kopplat till den förpliktelse det gäller, med ett datum och en ansvarig, på ett ställe som inte är beroende av en enda person som råkar fortfarande vara anställd. hur ni förvarar bevis så att en revisor hittar det går närmare in på den utformningen.
Varje del av bevis hör till en förpliktelse, och varje förpliktelse hör till någon som kan förklara varför beviset räcker. Utan den kopplingen uppstår ett arkiv av dokument som ingen längre vet vilken förpliktelse de skulle styrka, eller vem som var ansvarig för kvaliteten på dem. vem som är ägare av en förpliktelse beskriver varför den tilldelningen inte är en formalitet, utan den länk som gör bevis användbart vid det tillfälle det efterfrågas.
De fyra elementen — förpliktelse, ägare, bevis, kontroll — bör höra samman i en och samma översikt, inte vara spridda över avdelningar och system. Den översikten har ett namn: en control matrix. Vad den matrisen exakt innehåller och hur den byggs upp beskrivs på vad en control matrix är. Inom en koncern med flera enheter eller etableringar i olika länder blir denna fråga mer komplex, eftersom bevis på en nivå inte automatiskt är giltigt på en annan; vad som räknas som bevis vid en förpliktelse inom en koncern med flera enheter går specifikt in på den situationen.
Denna sida beskriver vad bevis är och var det går fel, inte vilket bevis som specifikt räcker för er organisation. Det beror på förpliktelsen, sektorn och landet där en enhet är etablerad — och på hur nationella lagstiftare har genomfört en europeisk regel. csrdcompliance.net pekar på den skillnaden, men ersätter inte juridisk rådgivning och ger ingen garanti om ett utfall hos en tillsynsmyndighet.
Att kartlägga och få ordning på bevis kräver arbete: samla spår, koppla dem till en förpliktelse, märka dem så att en annan person hittar dem igen. En del av det arbetet är repetitivt och följer ett fast mönster, vilket gör det lämpligt att (delvis) automatisera. Arbetsscanen från FTE TO AI beräknar per uppgift vilken del av det arbetet som kan tas över av AI, så att det blir tydligt var människor fortfarande behövs för bedömning och var insamling och strukturering av bevis kan stödjas. Compliance Check från csrdcompliance.net är under uppbyggnad; den som vill ha besked om detta kan anmäla sig till väntelistan.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.