Dojrzałość outsourcingu · Rozporządzenie COBAC o podwykonawstwie
Państwa outsourcing zmapowany, oceniony według rozporządzenia COBAC i przełożony na plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość outsourcingu · Rozporządzenie COBAC o podwykonawstwie
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie COBAC dotyczące outsourcingu działalności podmiotów nadzorowanych uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) przekształca stwierdzenie w trajektorię rozwoju.
Czy posiadają Państwo rejestr działalności objętych outsourcingiem, identyfikujący te, które są istotne?
- N1
Brak rejestru. Umowy usługowe są przechowywane przez poszczególne piony biznesowe, bez skonsolidowanego widoku.
- N2
Istnieje lista prowadzona przez jeden dział. Jest niekompletna, a kwalifikacja działalności istotnych nie jest sformalizowana.
- N3
Rejestr obejmuje całość usług, z pisemnym kryterium kwalifikacji działalności istotnych. Jest aktualizowany przy każdej nowej umowie.
- N4
Rejestr jest okresowo uzgadniany z księgowością dostawców, zawiera podwykonawców drugiego stopnia i lokalizację danych, oraz zasila mapę ryzyka.
- N5
Rejestr stanowi podstawę decyzji organu decyzyjnego: koncentracja na poszczególnych dostawcach, zależność, decyzje o reinternalizacji, z udokumentowaną historią aktualizacji.
Działanie pozwalające przejść z N2 do N3
Sformalizować w notatce wewnętrznej kryteria kwalifikacji działalności istotnej, zidentyfikować umowy na podstawie płatności dla dostawców z ostatnich dwunastu miesięcy, a następnie przedstawić skonsolidowany rejestr komitetowi ds. ryzyka w kolejnym kwartale.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna COBAC.
O czym jest ten model referencyjny
Rozporządzenie COBAC dotyczące podwykonawstwa opiera się na prostej zasadzie i szeregu wymagających obowiązków. Instytucja nadzorowana może powierzyć stronie trzeciej realizację danej działalności, w tym działalności istotnej lub ważnej, lecz zachowuje pełną odpowiedzialność wobec nadzorcy i swoich klientów. W praktyce oznacza to wewnętrzną definicję tego, co jest istotne, wcześniejsze zgłoszenie do Komisji Bankowej dla tych działalności, pisemną umowę obejmującą poziomy usług, poufność, dostęp do danych oraz dostęp nadzorcy, a także mechanizm kontroli dostawcy przez cały okres trwania współpracy.
Trudność rzadko tkwi w samym tekście, lecz w utrzymaniu mechanizmu w czasie. Wiele instytucji odkrywa, że nie dysponuje pełnym rejestrem swojego outsourcingu: umowy informatyczne podpisane przez dział systemów informatycznych, firmy konwojujące wartości, zarządzanie bankomatami, centra obsługi telefonicznej, usługi świadczone przez spółkę matkę nie figurują w jednym wspólnym spisie. Kto decyduje, że dana działalność jest istotna? Czy umowa przewiduje dostęp COBAC do pomieszczeń i danych dostawcy? Co się stanie, jeśli ten dostawca przerwie świadczenie usługi w przyszłym tygodniu?
Dwa nieporozumienia powtarzają się szczególnie często. Pierwsze polega na traktowaniu outsourcingu wewnątrzgrupowego jako sprawy wewnętrznej: usługa świadczona z siedziby grupy regionalnej lub z centrum usług zlokalizowanego poza strefą CEMAC pozostaje outsourcingiem, z dodatkowymi kwestiami lokalizacji danych i ciągłości działania. Drugie polega na myleniu handlowego monitorowania dostawcy z nadzorczą kontrolą prestatora: roczny przegląd umowy przez dział zakupów nie zastępuje oceny ryzyka operacyjnego wynikającego z danego outsourcingu ani jego włączenia do systemu kontroli wewnętrznej i planu ciągłości działania.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt kończy się stwierdzeniem luki lub zgodności wobec konkretnego wymogu. Diagnoza sytuuje praktykę na skali progresywnej: czy rejestr istnieje, czy jest kompletny, czy jest uzgadniany z księgowością dostawców, czy jest aktualizowany i wykorzystywany do podejmowania decyzji. Następnie wskazuje konkretne działanie, które pozwala przejść na wyższy poziom, wraz z kosztem i terminem realizacji. Diagnoza przygotowuje do kontroli na miejscu i do rozmów z nadzorcą, nie wydaje jednak żadnego poświadczenia.
W Datamensio model referencyjny jest gotowy do użycia i pozostaje Państwa własnością. Mogą Państwo dostosować obszary tematyczne, pytania i sformułowania poziomów: sztuczna inteligencja przeformułowuje je zgodnie z metodą CMMI i może zbudować wersję dostosowaną do Państwa polityki outsourcingu, karty kontroli wewnętrznej lub wzorów umów na podstawie Państwa własnych dokumentów.
Norma referencyjna: Rozporządzenie COBAC dotyczące outsourcingu działalności podmiotów nadzorowanych
Oceniane obszary tematyczne
Polityka outsourcingu i ład organizacyjny
Istnienie polityki zatwierdzonej przez organ decyzyjny, kryteria kwalifikacji działalności istotnych, role i delegacje, progi decyzyjne, informowanie zarządu.
Rejestr działalności objętych outsourcingiem
Skonsolidowany spis usług, identyfikacja dostawcy i jego podwykonawców, krytyczność, lokalizacja przetwarzania i danych, uzgadnianie z księgowością dostawców.
Selekcja i wcześniejsza analiza due diligence
Ocena zdolności technicznej i finansowej dostawcy, weryfikacja jego reputacji i rzetelności, wcześniejsza analiza ryzyka, formalizacja decyzji.
Zgłoszenia i relacje z nadzorcą
Identyfikacja przypadków podlegających zgłoszeniu do Komisji Bankowej, treść i termin dokumentacji, identyfikowalność kontaktów, informowanie o istotnych zmianach.
Ramy umowne
Umowa pisemna, poziomy usług i wskaźniki, poufność i tajemnica bankowa, własność i dostęp do danych, prawo audytu instytucji i dostęp nadzorcy, regulacja łańcucha podwykonawstwa.
Kontrola i monitorowanie usługi
Wyznaczenie osoby odpowiedzialnej za monitorowanie, okresowe przeglądy poziomów usług, incydenty i kary umowne, raporty dostawcy, włączenie do planu kontroli stałej i okresowej.
Ryzyko operacyjne i koncentracja
Włączenie outsourcingu do mapy ryzyka, pomiar zależności i koncentracji na jednym dostawcy, ryzyka związane z usługami wewnątrzgrupowymi i transgranicznymi.
Ciągłość działania i odwracalność
Plany ciągłości dostawcy i instytucji, wspólne testy, strategia wyjścia, klauzule i terminy odwracalności, określone rozwiązania zastępcze.
Ochrona danych i bezpieczeństwo systemów
Bezpieczeństwo dostępu i wymiany danych, hosting i lokalizacja, przechowywanie i zwrot danych po zakończeniu umowy, powiązanie z systemem bezpieczeństwa systemów informatycznych.
Raportowanie i ciągłe doskonalenie
Okresowa prezentacja wyników organowi decyzyjnemu, wskaźniki zarządzania portfelem outsourcingu, wnioski z incydentów, aktualizacja polityki.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza stanowi poświadczenie zgodności z rozporządzeniem COBAC?
Nie. Datamensio mierzy dojrzałość praktyk i tworzy plan działania. Nie istnieje certyfikacja dla tego rozporządzenia: weryfikacja należy do Komisji Bankowej, kontroli wewnętrznej i audytu zewnętrznego. Diagnoza służy przygotowaniu tych rozmów na podstawie udokumentowanych elementów.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt kończy się stwierdzeniem luki lub zgodności wobec danego wymogu. Diagnoza sytuuje każdą praktykę na skali pięciu poziomów i wskazuje działanie pozwalające przejść o jeden poziom wyżej. Oba podejścia się uzupełniają: diagnoza przygotowuje i priorytetyzuje, audyt kontroluje.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w trakcie jednej sesji roboczej. Wersja pełna, prowadzona w trybie wspólnej pracy z kontrolą stałą, działem systemów informatycznych, zakupami i pionami biznesowymi, trwa zazwyczaj od jednego do dwóch tygodni. Większość czasu poświęcona jest na odnalezienie umów i dowodów monitorowania.
Czy model referencyjny obejmuje usługi wewnątrzgrupowe i spoza strefy CEMAC?
Tak. Pytania rozróżniają usługi świadczone przez podmiot z grupy, w szczególności z siedziby lub centrum usług poza strefą CEMAC, i obejmują lokalizację danych, dostęp nadzorcy oraz ciągłość działania. To częsty punkt uwagi podczas kontroli.
Czy można dostosować model referencyjny do naszej organizacji?
Tak. Mogą Państwo zmieniać pytania, poziomy i obszary tematyczne, a także dodawać własne. Sztuczna inteligencja przeformułowuje poziomy zgodnie z metodą CMMI i może wygenerować wersję na podstawie Państwa polityki outsourcingu oraz wzorów umów. Model referencyjny pozostaje Państwa własnością.
Jak porównać nasze spółki zależne między sobą?
Ten sam model referencyjny jest rozpowszechniany w wielu jednostkach biznesowych, z wynikiem dla każdego obszaru tematycznego oraz porównaniem między podmiotami i względem poprzednich kampanii. Przekrojowa mapa drogowa konsoliduje plany działania spółek zależnych i pozwala uniknąć dwukrotnego zajmowania się tym samym dostawcą.
Jak przejść od wyniku do planu działania?
Ustalają Państwo cel dla każdego obszaru tematycznego. Luka między wynikiem a celem generuje działania, które sztuczna inteligencja grupuje w priorytetyzowaną mapę drogową. Katalog usług proponuje rozwiązanie dla każdego działania, z jego kosztem, terminem i oczekiwanym wpływem na wynik.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.