Compliance · Kontroller · Utkast

En compliancepost är en tillståndsmaskin

En risk, en leverantör, en kontroll eller ett undantag är inte ett dokument. Det är en liten sak som alltid befinner sig i exakt ett tillstånd och bara kan röra sig längs tillåtna vägar. Bygger du den så i ett verktyg som folk redan använder slutar revisionsspåret att vara en rekonstruktion.

Fråga ett team var riskregistret finns och du får ofta höra ”i ett kalkylblad, och någon uppdaterar det före revisionen”. Kalkylbladet är inte problemet. Problemet är att inget hindrar en rad från att säga ”godkänd” utan att någon har godkänt något.

Det finns en äldre idé som löser detta: tillståndsmaskinen. En sak har en fast uppsättning tillstånd och en fast uppsättning övergångar mellan dem. Den är i ett tillstånd i taget. En övergång kan ha villkor.

Efterlevnadskrav beter sig redan så. En risk identifieras, bedöms, hanteras, accepteras eller stängs. En leverantör begärs, granskas, godkänns, följs upp och lämnas. En kontroll planeras, genomförs, fungerar och omprövas. Ett undantag begärs, godkänns till ett datum och går ut. Vi skriver bara sällan ner reglerna som regler.

Vad du vinner när du gör det

• Rapportering blir räkning. Varje post är i ett tillstånd, så ”hur många risker är obehandlade” är en fråga till systemet, inte ett möte.
• En övergång kan bära ett villkor: bara ägaren får acceptera en risk. Den kan bära ett krav: en motivering måste finnas innan en kontroll markeras som ej tillämplig.
• Varje övergång sparas med vem och när. Det är revisionsspåret, framställt som en biprodukt i stället för rekonstruerat under press.

Var det kan leva

De flesta team arbetar redan i ett ärendehanteringssystem vars arbetsflöden är precis detta: tillstånd, övergångar, villkor. Posterna ligger i ett projekt, förklaringen och de levande vyerna i en wiki. En riskbehandling blir en uppgift i teamets egen backlogg, länkad till risken, så att compliancearbetet står i samma kö som annat arbete. Ett dokument som tillämplighetsförklaringen blir då en vy av posterna, och därför förblir det sant.

Tre vanor som håller det ärligt

1. Arbetsflödet är en kontroll, så att ändra det är en kontrollerad handling: få personer får redigera det och alla kan se historiken.
2. Tillfälliga beslut går ut. Ett undantag med slutdatum som öppnas igen av sig självt kan inte tyst bli permanent.
3. Börja smått. Några arbetsflöden som folk använder slår många som ingen öppnar, och varje ska ersätta ett kalkylblad i stället för att stå bredvid det.

Vad det inte gör

Ett ärendehanteringssystem samlar inte in maskinella bevis från era system; en plattform för det kan finnas vid sidan om. Och en tillståndsmaskin gör kringgående synligt och svårare, inte omöjligt: behörigheterna runt den är fortfarande en del av kontrollen.

Det är samma tanke som ”hårda kontroller först”: be inte folk komma ihåg regeln, bygg platsen där regeln upprätthålls.