Stanowisko
Compliance
Kto u Was odpowiada za to, że dana procedura jest stosowana - autor czy kierownik działu, który jej nie pisał? Compliance zaczyna się tam, gdzie ta odpowiedź przestaje być oczywista.
Rozmowa wstępna
Cztery pytania, od których byśmy zaczęli
Kto u Was odpowiada za stosowanie procedury?
Jeśli nie da się wskazać jednej osoby przy każdej z nich, to część obowiązków nie ma właściciela - i to zwykle wychodzi przy kontroli.
Skąd wiecie, że procedura jest aktualna wobec przepisów?
Jeśli z tego, że nikt nie zgłosił uwag, to jej aktualność jest założeniem.
Czego nie robicie, choć wiecie, że trzeba?
Zwykle: przeglądu procedur, kontroli wewnętrznych i odświeżenia szkoleń. Zawsze z tego samego powodu - nie ma kiedy.
Gdzie trafia zgłoszenie od pracownika o możliwej nieprawidłowości?
Jeśli nie ma na to jednej, chronionej drogi, to zgłoszenia albo nie ma, albo idzie na zewnątrz.
Zdejmujemy śledzenie i pilnowanie, zostawiamy ocenę i rozmowę
Prowadzenie mapy obowiązków, pilnowanie aktualności procedur, obsługa szkoleń i przygotowanie kontroli dają się odciążyć. Ocena, czy coś jest nieprawidłowością, zostaje przy człowieku.
- Obowiązek ma właściciela i termin. - Każdy wymóg jest przypisany do procesu, osoby i procedury, która go realizuje, a luki są widoczne jako luki.
- Procedura ma datę przeglądu. - Dokument niezmieniany od lat zgłasza się sam, zamiast czekać na kontrolę.
- Zgłoszenie ma chronioną drogę. - Z potwierdzeniem przyjęcia, terminem i ograniczonym dostępem - tak, żeby poufność nie zależała od tego, kto akurat obsługuje skrzynkę.
Zakres
Co da się odciążyć w compliance
Dwadzieścia przykładowych zadań. Każde ma punkt zatwierdzenia po stronie człowieka. Poniżej wybrane, a zakres dopasowujemy do Waszych obowiązków regulacyjnych.
Mapa obowiązków
- Rejestr obowiązków wedle obszaru i podstawy
- Powiązanie obowiązku z procesem i procedurą
- Wskazanie obowiązków bez przypisanego właściciela
- Sygnał o zmianie przepisu dotyczącej obowiązku
Procedury i ich aktualność
- Rejestr procedur z datą ostatniego przeglądu
- Sygnał o procedurze wymagającej przeglądu
- Wskazanie procedur objętych zmianą przepisu
- Obieg akceptacji nowej wersji (zatwierdzenie: właściciel procesu)
Szkolenia i oświadczenia
- Lista osób objętych obowiązkiem szkoleniowym
- Status szkoleń i oświadczeń wedle osób i terminów
- Przypomnienie przed upływem terminu
- Zestawienie zaległości wedle działów
Zgłoszenia i sygnaliści
- Chroniona droga zgłoszenia z potwierdzeniem przyjęcia
- Nadanie sprawy z ograniczonym dostępem
- Pilnowanie terminów odpowiedzi wynikających z przepisów
- Rejestr zgłoszeń bez danych identyfikujących w zestawieniach
Kontrole wewnętrzne
- Plan kontroli wedle ryzyka obszaru (decyzja: specjalista)
- Lista pytań i dowodów do zebrania
- Rejestr ustaleń i działań naprawczych
- Materiał na kontrolę zewnętrzną
Dzień pracy
Dzisiaj
- Mapę obowiązków macie w arkuszu, uzupełnianym nieregularnie
- O zmianie przepisu dowiadujecie się z newslettera albo od prawnika
- Które procedury wymagają przeglądu, sprawdzacie ręcznie
- Zaległości szkoleniowe zbieracie, prosząc działy o listy
- Zgłoszenia przychodzą na skrzynkę, do której ma dostęp kilka osób
- Przed kontrolą składacie dowody przez dwa tygodnie
Z asystą AI
- Obowiązki są przypisane do procesów i właścicieli, luki są widoczne
- Zmiana przepisu wskazuje objęte procedury i obowiązki
- Procedura wymagająca przeglądu zgłasza się sama
- Zaległości szkoleniowe widzicie wedle działów, bez proszenia
- Zgłoszenie ma chronioną drogę i pilnowany termin odpowiedzi
- Dowody na kontrolę są zbierane na bieżąco
- Pokrycie obowiązków
mniej wymogów bez przypisanego właściciela
obowiązki są powiązane z procesem i osobą
- Aktualność procedur
mniej dokumentów opisujących stan sprzed zmiany przepisu
przegląd ma termin i sygnał
- Terminowość szkoleń obowiązkowych
mniej osób bez wymaganego szkolenia
status i przypomnienia idą bez pracy ręcznej
- Gotowość na kontrolę zewnętrzną
dowody są zebrane przed, nie w tygodniu przed
materiał powstaje w trakcie
Zaczynamy od mapy obowiązków, bo bez niej nie wiadomo, czego pilnować.
- Krok 1
Obowiązki, procesy, właściciele
Rejestr z podstawą i przypisaniem. Luki zwykle ujawniają się już na tym etapie.
- Krok 2
Procedury i terminy przeglądu
Sygnały o dokumentach wymagających aktualizacji.
- Krok 3
Szkolenia i zgłoszenia
Statusy, przypomnienia i chroniona droga zgłoszeń.
- Krok 4
Kontrole wewnętrzne
Plan wedle ryzyka i rejestr ustaleń. Na końcu, bo opiera się na mapie z kroku 1.
Częste pytania
Pytania, które padają na pierwszym spotkaniu
Czym to się różni od roli prawnika i inspektora ochrony danych?
Prawnik ocenia konkretną sprawę i umowę. Inspektor ochrony danych pilnuje jednego obszaru - danych osobowych - i ma własne obowiązki ustawowe. Compliance odpowiada za to, czy procesy firmy odpowiadają obowiązkom, które na niej ciążą, niezależnie od dziedziny.
Czy compliance da się obsłużyć mniejszym zespołem?
Compliance w większości firm to jedna albo dwie osoby na obszar, który obejmuje całą organizację - problemem nie jest nadmiar rąk, tylko to, że nie da się wszystkiego dopilnować. Odciążenie śledzenia terminów i statusów nie zastępuje nikogo; pozwala objąć uwagą obowiązki, które dziś są w rejestrze i nigdzie indziej.
Czy to podlega AI Act?
Wsparcie compliance nie jest zastosowaniem wysokiego ryzyka w rozumieniu AI Act. Ograniczenie, o którym trzeba pamiętać przy zgłoszeniach dotyczących konkretnych osób, pochodzi z innego porządku - z art. 22 RODO: ocena, czy doszło do nieprawidłowości, nie może zapadać wyłącznie automatycznie. Warto te dwa reżimy trzymać osobno, bo mylenie ich jest najczęstszym błędem w rozmowie o zgodności.
Zostało pytanie, którego tu nie ma? Umów rozmowę
Następny krok
Ile Waszych procedur nie było przeglądanych od ponad dwóch lat?
Pokażemy Wam, jak wygląda compliance, w którym obowiązek ma właściciela, a procedura po terminie zgłasza się sama.