Dan Ostergaard · Cofundador, Trusty · Antigo responsável global de compliance da Novartis · Fundador da PolicyStore
As expectativas em torno da conformidade na gestão de políticas estão a mudar. Os reguladores já não se satisfazem com documentação estática. Esperam agora que as organizações provem que as políticas são seguidas ativamente, aplicadas de forma consistente e devidamente controladas.
Durante anos, as organizações confiaram numa defesa simples: temos políticas em vigor. No ambiente regulamentar atual, isso já não é suficiente.
Esta mudança expõe um problema mais profundo. A maioria das organizações não tem um problema de políticas. Tem um problema de visibilidade.
A transição da documentação para a conformidade na gestão de políticas
A conformidade regulamentar moderna no Reino Unido já não se resume à existência de políticas. Trata-se de saber se estas funcionam na prática.
Isso significa demonstrar que os colaboradores podem aceder às políticas certas no momento certo, que essas políticas são atuais e precisa, e que são aplicadas de forma consistente em toda a organização.
É aqui que a conformidade na gestão de políticas se torna crítica. A lacuna entre ter uma política e provar a sua eficácia é agora uma fonte direta de risco.
A lacuna de visibilidade na gestão de políticas
A maioria das organizações opera sem um verdadeiro sistema de gestão de políticas de conformidade. As políticas são redigidas, aprovadas e armazenadas. Mas o que acontece depois disso raramente é visível.
Existe uma perceção limitada sobre se os colaboradores estão realmente a aceder às políticas que se lhes aplicam. Mesmo quando o acesso é monitorizado, muitas vezes não há clareza sobre se está a ser utilizada a versão correta.
Sem um controlo de versões de políticas adequado, podem existir simultaneamente múltiplas versões da mesma política. Com o tempo, isto cria inconsistência entre equipas e funções.
Isto não é apenas uma questão operacional. É um risco de conformidade.
Onde surge realmente o risco de políticas
O risco na governação de políticas não provém apenas da falta de documentos. Provém do desalinhamento.
Um colaborador a seguir uma política desatualizada pode criar o mesmo nível de exposição que não ter qualquer política. Equipas a trabalhar com orientações inconsistentes introduzem risco regulamentar e operacional sem se aperceberem.
Estas lacunas mantêm-se ocultas até surgirem em auditorias, investigações ou incidentes. Nessa altura, o foco muda da documentação para o controlo.
As três áreas que as organizações não conseguem ver
A primeira é o acesso às políticas. Muitas organizações não têm visibilidade sobre se os colaboradores estão realmente a interagir com as políticas que são obrigados a seguir. Um documento armazenado num sistema não garante que esteja a ser utilizado.
A segunda é o controlo de versões de políticas. Sem um controlo estruturado, não há garantia de que os colaboradores estejam a trabalhar com a versão aprovada mais recente.
A terceira é a consistência. Diferentes equipas podem interpretar ou aplicar as políticas de forma diferente. Sem visibilidade, estas inconsistências acumulam-se e aumentam a exposição ao risco.
O que os reguladores esperam da conformidade na gestão de políticas
Os reguladores não estão a pedir mais políticas. Estão a pedir prova de controlo.
Esperam que as organizações demonstrem como as políticas são distribuídas, acedidas e aplicadas. Querem ver que as políticas são atualizadas de forma controlada e que os colaboradores estão alinhados com a versão atual.
Em termos práticos, isto significa implementar um quadro de conformidade na gestão de políticas que ofereça visibilidade, rastreabilidade e controlo.
Reforçar a governação de políticas sem acrescentar complexidade
Uma conformidade na gestão de políticas eficaz não exige construir um sistema complexo. Exige focar-se em algumas capacidades críticas.
As organizações precisam de identificar onde as lacunas de políticas estão a criar exposição ao risco. Precisam de melhorar a visibilidade sobre o acesso e a utilização das políticas. Precisam de um controlo mais forte sobre atualizações e governação, para que as alterações sejam aplicadas de forma consistente.
Quando estes elementos estão implementados, as políticas tornam-se controlos ativos, em vez de documentos passivos.
Da gestão de políticas à conformidade comprovada
As organizações que têm sucesso neste novo ambiente não são as que têm mais documentação. São as que têm a governação de políticas mais forte.
Conseguem demonstrar que os colaboradores estão a aceder às políticas certas, que essas políticas estão atualizadas e que são aplicadas de forma consistente em toda a organização.
É isto que reduz o risco. É isto que cria resiliência. E é isto que define a conformidade na gestão de políticas moderna.
A questão já não é se tem políticas. É se consegue provar que estão a funcionar.
Perguntas frequentes
As políticas são redigidas, aprovadas e armazenadas, mas as organizações raramente veem se os colaboradores lhes acedem, se está a ser utilizada a versão correta ou se as equipas as aplicam de forma consistente.
Um colaborador a seguir uma política desatualizada pode criar a mesma exposição que não ter qualquer política, e orientações inconsistentes entre equipas introduzem risco que se mantém oculto até uma auditoria, investigação ou incidente.
Prova de controlo: como as políticas são distribuídas, acedidas e aplicadas, que as atualizações são feitas de forma controlada e que os colaboradores trabalham com a versão aprovada atual.
Visibilidade sobre o acesso e a utilização das políticas, controlo de versões sobre as atualizações e confirmação de leitura, para que as políticas se tornem controlos ativos, em vez de documentos passivos.
POLÍTICAS, FORMAÇÕES E CANAL DE DENÚNCIAS
Trusty Compliance App: políticas da empresa, formação em compliance e um canal de denúncias numa só app para os seus colaboradores. 10 políticas prontas a usar, 6 formações, teste gratuito, sem configuração de TI.