Dojrzałość ISO 19600 · Systemy zarządzania zgodnością (compliance w organizacji)
Państwa zarządzanie zgodnością, umiejscowione na skali dojrzałości i przełożone na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO 19600 · Systemy zarządzania zgodnością (compliance w organizacji)
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO 19600:2014, zastąpiona przez ISO 37301:2021 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy i działanie łączące oba, przekształca stwierdzenie w trajektorię.
Czy rejestr obowiązków w zakresie zgodności jest na bieżąco aktualizowany i przypisany do konkretnych właścicieli?
- N1
Brak skonsolidowanego rejestru. Obowiązki są znane zespołom, które je stosują, bez wspólnego spisu.
- N2
Rejestr istnieje w formie pliku, utworzonego przy okazji jednorazowego projektu. Nie ma wyznaczonego właściciela ani ustalonego rytmu aktualizacji.
- N3
Rejestr jest ustrukturyzowany, każdy obowiązek ma wyznaczonego właściciela, a okresowy przegląd jest zaplanowany. Kilka obszarów pozostaje niekompletnych.
- N4
Rejestr obejmuje cały zakres, jest zasilany przez sformalizowany monitoring zmian prawnych, a każda zmiana uruchamia przegląd powiązanych kontroli.
- N5
Rejestr jest powiązany z procesami, kontrolami i ryzykami. Zmiany są udokumentowane, a ich wpływ jest mierzony podczas przeglądu zarządzania.
Działanie dla przejścia z poziomu 2 na poziom 3
Wyznaczyć właściciela dla każdej grupy obowiązków, wpisać przegląd rejestru do porządku kwartalnego komitetu ds. zgodności i ustalić termin pierwszego pełnego przeglądu przed zamknięciem roku obrotowego.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 19600.
O czym jest ten model referencyjny
ISO 19600 wyznaczyła w 2014 roku ramy systemu zarządzania zgodnością, który może być stosowany w każdej organizacji, niezależnie od jej wielkości i branży. Norma wymaga identyfikacji obowiązków w zakresie zgodności (przepisów prawa, regulacji, zobowiązań umownych, kodeksów dobrowolnych), oceny związanego z nimi ryzyka, określenia polityki i odpowiedzialności, wdrożenia kontroli, szkoleń oraz systemu zgłaszania nieprawidłowości, a następnie pomiaru skuteczności całego dispositivu. Jej struktura jest zgodna ze wspólnym schematem norm zarządzania, co pozwala łączyć ją z ISO 9001, ISO 37001 czy ISO 31000.
W praktyce taki system trudno jest nadzorować, ponieważ jest rozproszony. Mapa obowiązków rzadko jest utrzymywana przez jedną jednostkę: dział prawny śledzi regulacje, obszary biznesowe śledzą własne zobowiązania, spółki zależne stosują lokalne zasady. Systematycznie powracają trzy pytania. Kto prowadzi rejestr obowiązków i z jaką częstotliwością jest on aktualizowany? Czy kontrole drugiego poziomu obejmują procesy rzeczywiście narażone na ryzyko, czy tylko te, które są już objęte kontrolą? Czy zgłoszenia docierają do poziomu zdolnego do podjęcia decyzji, czy kończą się na lokalnym kierowniku?
Najczęściej błędnie rozumianym elementem kontekstu jest zmiana statusu normy. ISO 19600 była przewodnikiem zawierającym zalecenia, niepodlegającym certyfikacji. ISO 37301, opublikowana w 2021 roku, zastępuje ją i przekształca te zalecenia w wymagania podlegające audytowi przez akredytowaną jednostkę certyfikującą. Wiele organizacji zbudowało swój system na podstawie wersji z 2014 roku i nadal się na nią powołuje, nie sprawdziwszy luki wobec wymagań z 2021 roku. Dyrektywa unijna o ochronie sygnalistów, transponowana do prawa krajowego, uczyniła ponadto wiążącą część tego, co norma traktowała jedynie jako dobrą praktykę.
Audyt zgodności kończy się stwierdzeniem binarnym: wymaganie jest spełnione albo nie jest. Diagnoza dojrzałości stawia inne pytanie: na jakim poziomie opanowania znajduje się każdy element systemu i jakie konkretne działanie pozwala przejść na poziom wyższy. Organizacja może dysponować podpisaną polityką zgodności i pozostawać na poziomie 2, jeśli nikt jej nie stosuje poza centralą. Skala pozwala tę lukę zobaczyć i wyrazić liczbowo.
W Datamensio model referencyjny jest gotowy do użycia i w pełni modyfikowalny. SI dostosowuje obszary tematyczne, przeformułowuje pytania na słownictwo właściwe Państwa branży i precyzuje poziomy zgodnie z metodą CMMI. Może również zbudować wersję dostosowaną na podstawie Państwa kodeksu postępowania, mapy obowiązków lub istniejących procedur kontroli wewnętrznej.
Norma referencyjna: ISO 19600:2014, zastąpiona przez ISO 37301:2021
Oceniane obszary tematyczne
Kontekst i zakres systemu
Analiza uwarunkowań wewnętrznych i zewnętrznych, identyfikacja stron zainteresowanych, określenie zakresu stosowania, powiązanie z pozostałymi systemami zarządzania.
Ład organizacyjny i zaangażowanie kierownictwa
Polityka zgodności, pozycja i niezależność funkcji compliance, podległość służbowa, przydzielone zasoby, przykład dawany przez kierownictwo.
Rejestr obowiązków w zakresie zgodności
Spis przepisów prawa, regulacji, zobowiązań umownych i kodeksów dobrowolnych, właściciel dla każdego obowiązku, monitoring zmian prawnych, częstotliwość aktualizacji.
Ocena ryzyka braku zgodności
Metoda oceny, hierarchizacja według procesów i podmiotów, rozróżnienie ryzyka nieodłącznego i rezydualnego, powiązanie z mapą ryzyka całego przedsiębiorstwa.
Kontrole i procedury operacyjne
Projektowanie kontroli pierwszego i drugiego poziomu, włączenie w procesy biznesowe, identyfikowalność dowodów, zarządzanie dostawcami i łańcuchem dostaw.
Kultura, szkolenia i podnoszenie świadomości
Kodeks postępowania, plan szkoleń dla poszczególnych grup narażonych, pomiar rzeczywistego zrozumienia, uwzględnienie zgodności w ocenie kadry kierowniczej.
Zgłaszanie i obsługa naruszeń
Kanały zgłoszeń, ochrona sygnalistów, protokół postępowania wyjaśniającego, decyzja o sankcji, identyfikowalność i poufność dokumentacji.
Pomiar skuteczności i raportowanie
Wskaźniki zgodności, panel kontrolny, przekazywanie informacji komitetowi audytu i radzie, jakość informacji przekazywanych organom nadzorczym.
Audyt wewnętrzny i przegląd zarządzania
Program audytu systemu, kompetencje audytorów, monitorowanie zaleceń aż do ich zamknięcia, okresowy przegląd przez kierownictwo.
Ciągłe doskonalenie
Obsługa niezgodności, analiza przyczyn źródłowych, wnioski z incydentów, aktualizacja systemu i porównania w czasie.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ISO 19600 nadal obowiązuje?
Została zastąpiona w 2021 roku przez ISO 37301. ISO 19600 pozostaje użytecznym punktem odniesienia, ponieważ struktura systemu jest identyczna, ale była jedynie przewodnikiem zawierającym zalecenia. Model referencyjny Datamensio obejmuje obie wersje i uwidacznia elementy, które w wersji z 2021 roku stały się wymaganiami.
Czy ta diagnoza prowadzi do certyfikacji?
Nie. Datamensio mierzy dojrzałość systemu i przygotowuje do audytu. Certyfikacja ISO 37301 jest wydawana przez akredytowaną jednostkę certyfikującą, w ramach jej własnego procesu. Diagnoza pozwala ustalić punkt wyjścia przed podjęciem tego działania.
Czym różni się to od audytu zgodności?
Audyt sprawdza spełnienie wymagań i kończy się stwierdzeniem luki albo zgodności. Diagnoza umiejscawia każdą praktykę na skali stopniowej i wskazuje działanie pozwalające przejść na poziom wyższy. Oba podejścia się uzupełniają: diagnoza przygotowuje, audyt potwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona jest wypełniana w ciągu jednej sesji przez osobę odpowiedzialną za zgodność. Wersja pełna, prowadzona w trybie współpracy z działem prawnym, audytem wewnętrznym i korespondentami podmiotów, trwa zwykle od jednego do dwóch tygodni, przy czym większość czasu pochłania zbieranie dowodów.
Czy można dostosować model referencyjny do naszej organizacji?
Tak. Obszary tematyczne, pytania i sformułowania poziomów można modyfikować. SI może przeformułować całość na słownictwo właściwe Państwa branży, dodać obszar tematyczny właściwy dla Państwa lokalnych obowiązków, lub zbudować wersję dostosowaną na podstawie Państwa kodeksu postępowania i procedur.
Jak porównać kilka spółek zależnych?
Ten sam model referencyjny jest przekazywany każdemu podmiotowi, z wynikiem dla każdego obszaru tematycznego i wspólnym celem. Benchmark porównuje jednostki biznesowe między sobą oraz każdą z nich z jej wcześniejszymi wynikami. Przekrojowa mapa drogowa konsoliduje plany działania poszczególnych podmiotów.
Czy ten model referencyjny krzyżuje się z ISO 37001 lub ISO 31000?
Tak, bez powielania pracy. ISO 37001 dotyczy konkretnie przeciwdziałania korupcji, a ISO 31000 dostarcza ramy zarządzania ryzykiem, w które wpisuje się ryzyko braku zgodności. Plany działania wynikające z kilku diagnoz konsolidują się w jedną mapę drogową.
Gdzie przechowywane są dane?
We Francji, u dostawcy OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele SI mogą być wybierane, również spośród rozwiązań europejskich.