Dan Ostergaard · Co-fondatore, Trusty · Ex responsabile globale della compliance di Novartis · Fondatore di PolicyStore
Le aspettative sulla conformità nella gestione delle policy stanno cambiando. Le autorità di regolamentazione non si accontentano più di una documentazione statica. Ora si aspettano che le organizzazioni dimostrino che le policy siano seguite attivamente, applicate in modo coerente e controllate adeguatamente.
Per anni, le organizzazioni si sono affidate a una difesa semplice: abbiamo delle policy in vigore. Nell’attuale contesto normativo, questo non è più sufficiente.
Questo cambiamento mette in luce un problema più profondo. La maggior parte delle organizzazioni non ha un problema di policy. Ha un problema di visibilità.
Il passaggio dalla documentazione alla conformità nella gestione delle policy
La moderna conformità normativa nel Regno Unito non riguarda più l’esistenza o meno delle policy. Riguarda il fatto che funzionino o meno nella pratica.
Ciò significa dimostrare che i dipendenti possano accedere alle policy corrette al momento giusto, che tali policy siano aggiornate e accurate e che vengano applicate in modo coerente in tutta l’organizzazione.
È qui che la conformità nella gestione delle policy diventa fondamentale. Il divario tra l’avere una policy e il dimostrarne l’efficacia è oggi una fonte diretta di rischio.
Il divario di visibilità nella gestione delle policy
La maggior parte delle organizzazioni opera senza un vero sistema di gestione delle policy di conformità. Le policy vengono scritte, approvate e archiviate. Ma ciò che accade dopo è raramente visibile.
C’è una visione limitata del fatto che i dipendenti accedano effettivamente alle policy che li riguardano. Anche quando l’accesso viene tracciato, spesso non c’è chiarezza sull’utilizzo della versione corretta.
Senza un adeguato controllo delle versioni delle policy, possono esistere contemporaneamente più versioni della stessa policy. Nel tempo, questo crea incoerenza tra i vari team e funzioni.
Non si tratta solo di un problema operativo. È un rischio di conformità.
Dove emerge realmente il rischio legato alle policy
Il rischio nella governance delle policy non deriva solo dai documenti mancanti. Deriva dal disallineamento.
Un dipendente che segue una policy obsoleta può creare lo stesso livello di esposizione del non avere alcuna policy. I team che lavorano con linee guida incoerenti introducono rischi normativi e operativi senza rendersene conto.
Queste lacune rimangono nascoste finché non emergono durante audit, indagini o incidenti. A quel punto, l’attenzione si sposta dalla documentazione al controllo.
Le tre aree che le organizzazioni non riescono a vedere
La prima è l’accesso alle policy. Molte organizzazioni non hanno visibilità sul fatto che i dipendenti consultino le policy che sono tenuti a seguire. Un documento archiviato in un sistema non garantisce che venga utilizzato.
La seconda è il controllo delle versioni delle policy. Senza un controllo strutturato, non c’è alcuna garanzia che i dipendenti lavorino con l’ultima versione approvata.
La terza è la coerenza. Team diversi possono interpretare o applicare le policy in modo differente. Senza visibilità, queste incongruenze si accumulano e aumentano l’esposizione al rischio.
Cosa si aspettano le autorità dalla conformità nella gestione delle policy
Le autorità di regolamentazione non chiedono più policy. Chiedono prove di controllo.
Si aspettano che le organizzazioni dimostrino come le policy vengono distribuite, consultate e applicate. Vogliono vedere che le policy siano aggiornate in modo controllato e che i dipendenti siano allineati alla versione corrente.
In termini pratici, ciò significa implementare un framework di conformità per la gestione delle policy che fornisca visibilità, tracciabilità e controllo.
Rafforzare la governance delle policy senza aggiungere complessità
Una conformità nella gestione delle policy efficace non richiede la costruzione di un sistema complesso. Richiede di concentrarsi su alcune capacità critiche.
Le organizzazioni devono identificare dove le lacune nelle policy stanno creando esposizione al rischio. Devono migliorare la visibilità sull’accesso e sull’uso delle policy. Hanno bisogno di un controllo più forte sugli aggiornamenti e sulla governance, in modo che le modifiche siano applicate in modo coerente.
Quando questi elementi sono al loro posto, le policy diventano controlli attivi anziché documenti passivi.
Dalla gestione delle policy alla conformità comprovata
Le organizzazioni che hanno successo in questo nuovo contesto non sono quelle con la maggiore documentazione. Sono quelle con la governance delle policy più solida.
Possono dimostrare che i dipendenti accedono alle policy corrette, che tali policy sono aggiornate e che vengono applicate in modo coerente in tutta l’organizzazione.
Questo è ciò che riduce il rischio. Questo è ciò che costruisce la resilienza. E questo è ciò che definisce la moderna conformità nella gestione delle policy.
La domanda non è più se ha delle policy. È se può dimostrare che funzionano.
Domande frequenti
Le policy vengono scritte, approvate e archiviate, ma le organizzazioni raramente vedono se i dipendenti vi accedono, se è in uso la versione corretta o se i team le applicano in modo coerente.
Un dipendente che segue una policy obsoleta può creare la stessa esposizione di chi non ha alcuna policy, e indicazioni incoerenti tra i team introducono un rischio che resta nascosto fino a un audit, un'indagine o un incidente.
Prova del controllo: come vengono distribuite, consultate e applicate le policy, che gli aggiornamenti siano effettuati in modo controllato e che i dipendenti lavorino con l'ultima versione approvata.
Visibilità sull'accesso e sull'utilizzo delle policy, controllo delle versioni sugli aggiornamenti e conferma di lettura, in modo che le policy diventino controlli attivi anziché documenti passivi.
POLICY, FORMAZIONE E HOTLINE
Trusty Compliance App: policy aziendali, formazione sulla compliance e un canale di whistleblowing in un’unica app per i Suoi dipendenti. 10 policy pronte all’uso, 6 corsi di formazione, prova gratuita, nessuna configurazione IT.