Le “Politiche” sono linee guida formalizzate che aiutano le attività ad allineare i comportamenti con l’intento strategico e garantire la conformità. In questo articolo, discuteremo il quadro di esecuzione delle politiche, concentrandoci su casi d’uso come il monitoraggio continuo dei controlli, le modalità di raccolta del feedback dalle parti interessate e l’allineamento tra le politiche e la strategia complessiva.
Parti interessate del ciclo di vita delle politiche
Tradizionalmente, le politiche sono create, applicate e adattate da diversi gruppi di parti interessate:
- Organismi di governance e team legali (creano le politiche)
- Manager operativi (implementano le politiche)
- Responsabili della conformità o capi dipartimento (mantengono le politiche)
- Revisori o responsabili del rischio (valutano l’efficacia delle politiche)
Sebbene i ruoli nel ciclo di vita delle politiche siano distribuiti tra diverse parti interessate, questa separazione non dovrebbe portare a una frammentazione. L’obiettivo finale dell’implementazione delle politiche è unificare l’intento della politica con l’effettiva erogazione1.
Struttura di un tipico framework di policy
Un framework di policy completo segue una struttura gerarchica in cui il grado di astrazione diminuisce gradualmente dalla regolamentazione di alto livello o dall’intento strategico fino al livello dell’implementazione operativa con controlli specifici:
- Regolamenti / governance: Requisiti legali e principi aziendali interni.
- Policy: Dichiarazioni di alto livello che delineano la posizione dell’attività.
- Standard: Regole specifiche e misurabili.
- Procedure: Istruzioni passo dopo passo su come implementare gli standard nella pratica.
- Linee guida: Migliori pratiche consigliate che supportano le procedure.
- Controlli: Meccanismi per prevenire, rilevare o correggere la non conformità.
Automatizza l’esecuzione delle policy con BSC Designer
Come sottolineato da molteplici standard (ad esempio, ISO 37301, Sistemi di gestione della conformità), l’esecuzione delle policy dovrebbe essere considerata parte dell’implementazione della strategia complessiva.
La piattaforma BSC Designer offre un allineamento senza soluzione di continuità tra la strategia principale e le policy di supporto. Di seguito esaminiamo come è possibile implementare nella pratica il framework di esecuzione delle policy con un software di pianificazione strategica.
Struttura e allineamento delle policy
La struttura complessiva del quadro delle policy:
- A livello di scorecard, gli utenti possono definire policy o regolamenti generali. Tali policy possono essere globali per l’attività o specifiche per un’unità o funzione aziendale.
- A seconda del loro ruolo, a diversi gruppi di parti interessate vengono concessi diritti di accesso a determinate parti dell’implementazione delle policy. Ad esempio, seguendo il modello RACI.
- All’interno della scorecard, l’intento strategico può essere scomposto in standard, procedure e controlli di supporto utilizzando una gerarchia di elementi.
- Le policy o i relativi controlli possono essere allineati a obiettivi specifici delle schede di valutazione strategiche. Tale allineamento supporta un passaggio dal ruolo tradizionale di conformità delle policy a uno in cui la conformità agisce come un abilitatore chiave della strategia aziendale. 2
Scopri come un requisito di governance vago possa essere scomposto in controlli specifici e misurabili, utilizzando la governance dell’IA come esempio pratico.
Controlli delle policy e miglioramento continuo
La meccanica degli indicatori chiave di prestazione viene utilizzata per definire i controlli:
- Il quadro di misurazione delle prestazioni consente di monitorare efficienza ed efficacia dell’implementazione delle policy.
- Le proprietà dei controlli specifici possono essere personalizzate in base al ruolo del controllo tramite i campi personalizzati. Ad esempio, i controlli per la continuità operativa e la validazione dei fornitori di terze parti avranno proprietà differenti.
Nel quadro di esecuzione delle policy, i controlli sono dinamici:
- Monitoraggio continuo abilitato tramite aggiornamenti in tempo reale dei dati, con tracciabilità supportata dai registri di audit. Un buon esempio della necessità di monitoraggio continuo è il tracciamento della formazione periodica (vedi il modello di misurazione della formazione a quattro livelli) sugli aggiornamenti delle policy 3.
- Sono supportati vari casi di misurazione delle prestazioni, come valutazioni qualitative, stati binari conforme/non conforme, cambiamenti graduali delle prestazioni e la possibilità di rilevare prove allegate, ecc.
La piattaforma offre funzionalità tradizionali di gestione delle policy:
- Documentazione di supporto come file delle policy, procedure e report di audit possono essere caricati e collegati agli obiettivi o ai controlli pertinenti.
- Piani d’azione relativi all’implementazione dei controlli o agli aggiornamenti delle policy possono essere monitorati all’interno del sistema, con l’assegnazione delle responsabilità e l’attivazione di avvisi in base alle scadenze o ai cambiamenti di prestazioni.
- Dashboard e mappe strategiche forniscono potenti strumenti di visualizzazione, aiutando le parti interessate a valutare rapidamente le prestazioni, identificare le lacune e comprendere le relazioni tra policy, controlli e risultati.
Per supportare la meccanica del feedback:
- Le parti interessate possono interagire direttamente tramite la funzione di commento, fornendo feedback o documentando problematiche ai fini dell’audit.
- La piattaforma può inviare report regolari automatici alle parti interessate competenti.
Abbiamo discusso ulteriori esempi e tecniche di implementazione nell’articolo sui controlli GRC.
Gestisci la scalabilità e la manutenzione
Manutenzione delle policy:
- Per progettazione, ciascun controllo include un intervallo di attualizzazione obbligatorio. Questo intervallo definisce quando i dati sulle prestazioni devono essere caricati automaticamente o dalla persona responsabile. Se l’intervallo di attualizzazione viene mancato, questi controlli saranno contrassegnati come “aggiornamento richiesto”.
Per garantire una scalabilità più semplice dei framework di policy:
- Le organizzazioni possono definire i modelli di policy una sola volta e replicarli tra i vari reparti o unità di business.
- I controlli e i modelli di controlli possono essere statici oppure possono essere sincronizzati dinamicamente.
Conclusione
L’approccio discusso trasforma l’esecuzione delle politiche da un processo di documentazione statico a un sistema dinamico, misurabile e strategicamente allineato.
- Collegando le politiche ai controlli operativi e agli obiettivi strategici, le attività possono garantire non solo la conformità, ma anche valorizzare il ruolo delle politiche come abilitatori strategici.
- Il ruolo dell’automazione software è quello di ridurre la complessità del dominio della pianificazione strategica per le parti interessate coinvolte, garantendo coerenza e tracciabilità dei dati sulle prestazioni.
Alexis Savkín è un architetto della strategia e fondatore di BSC Designer, una piattaforma di esecuzione della strategia con la Scheda di valutazione bilanciata al centro. È il creatore dello Strategy Execution Canvas, l’autore di due libri e di oltre 100 articoli su strategia e misurazione delle prestazioni, nonché relatore a conferenze internazionali. Connettiti con Alexis su LinkedIn.