Compliance · Beheersmaatregelen · Concept

Een compliancerecord is een toestandsmachine

Een risico, een leverancier, een beheersmaatregel of een uitzondering is geen document. Het is een klein ding dat altijd in precies één toestand is en alleen langs toegestane paden kan bewegen. Als u het zo bouwt in een hulpmiddel dat mensen al gebruiken, is het auditspoor geen reconstructie meer.

Vraag een team waar het risicoregister leeft en u hoort vaak: “in een spreadsheet, en iemand werkt het bij vóór de audit”. De spreadsheet is niet het probleem. Het probleem is dat niets een rij ervan weerhoudt “geaccepteerd” te zeggen zonder dat iemand iets heeft geaccepteerd.

Er is een oudere gedachte die dit oplost: de toestandsmachine. Een ding heeft een vaste set toestanden en een vaste set overgangen daartussen. Het is telkens in één toestand. Een overgang kan voorwaarden hebben.

Compliance-verplichtingen gedragen zich al zo. Een risico wordt vastgesteld, beoordeeld, behandeld, geaccepteerd of gesloten. Een leverancier wordt aangevraagd, beoordeeld, goedgekeurd, bewaakt en verlaten. Een beheersmaatregel wordt gepland, ingevoerd, werkt en wordt heroverwogen. Een uitzondering wordt aangevraagd, tot een datum goedgekeurd en verloopt. We schrijven de regels alleen zelden op als regels.

Wat u wint als u het doet

• Rapporteren wordt tellen. Elk record is in één toestand, dus “hoeveel risico’s zijn onbehandeld” is een query, geen vergadering.
• Een overgang kan een voorwaarde dragen: alleen de eigenaar mag een risico accepteren. Hij kan een eis dragen: er moet een motivering bestaan voordat een beheersmaatregel als niet van toepassing wordt gemarkeerd.
• Elke overgang wordt opgeslagen met wie en wanneer. Dat is het auditspoor, als bijproduct geleverd in plaats van onder druk gereconstrueerd.

Waar het kan leven

De meeste teams werken al in een ticketsysteem waarvan de workflows precies dit zijn: toestanden, overgangen, voorwaarden. De records staan in één project, de uitleg en de live overzichten in een wiki. Een risicobehandeling wordt een taak in de eigen backlog van het team, gekoppeld aan het risico, zodat het compliancewerk in dezelfde wachtrij staat als ander werk. Een document zoals de Verklaring van toepasselijkheid wordt dan een weergave van de records, en daarom blijft het waar.

Drie gewoonten die het eerlijk houden

1. De workflow is een beheersmaatregel, dus wijzigen ervan is een beheerste handeling: weinig mensen mogen hem bewerken en iedereen kan de geschiedenis zien.
2. Tijdelijke besluiten verlopen. Een uitzondering met een einddatum die zichzelf heropent, kan niet stilletjes permanent worden.
3. Begin klein. Een paar workflows die mensen gebruiken, verslaan er veel die niemand opent, en elke workflow moet een spreadsheet vervangen in plaats van ernaast te staan.

Wat het niet doet

Een ticketsysteem verzamelt geen machinaal bewijs uit uw systemen; een platform daarvoor kan ernaast draaien. En een toestandsmachine maakt omzeilen zichtbaar en moeilijker, niet onmogelijk: de rechten eromheen blijven deel van de beheersmaatregel.

Het is dezelfde gedachte als “eerst harde beheersmaatregelen”: vraag mensen niet de regel te onthouden, bouw de plek waar de regel wordt afgedwongen.