La conformità efficace va oltre l’educazione dei dipendenti sulle nuove normative e il monitoraggio del numero di incidenti di non conformità. In questa guida all’implementazione, ci concentriamo su una visione olistica della conformità che coinvolge i principali stakeholder e suggerisce una specifica quantificazione degli sforzi e dei risultati di conformità attraverso 7 passaggi.
Definizione degli stakeholder
Iniziamo con la definizione degli stakeholder generici coinvolti nella conformità:
- Consiglio di amministrazione. Rappresenta gli interessi delle organizzazioni.
- Ufficio di conformità. Un dipartimento specializzato che garantisce la conformità dell’organizzazione in accordo con le leggi, regolamenti, politiche interne applicabili, ecc.
- Sistemi aziendali interni. Sistemi IT e altri sistemi aziendali che supportano gli sforzi di conformità.
- Dipendenti che possono influenzare o essere influenzati dalle politiche di conformità.
- Terze parti. Partner e stakeholder esterni simili.
- Revisore esterno. Un esperto nella regolamentazione in questione.
- Regolatore. Autorità che stabilisce la regolamentazione.
In BSC Designer, vai su Impostazioni > Strategia > Stakeholder per aggiungere stakeholder rilevanti all’elenco. Successivamente, quegli stakeholder possono essere allineati con obiettivi e metriche specifiche attraverso il campo Proprietario.
Modello di conformità e KPI
Gli utenti di BSC Designer hanno accesso al modello di scorecard di conformità con KPI discussi nell’articolo:
Modello di conformità. - Questo modello può essere personalizzato per soddisfare i requisiti della specifica normativa.
- Le scorecard create per varie normative possono successivamente essere combinate in una scorecard di conformità completa con un indice di conformità complessivo.
1. Adattare le strategie in modo proattivo
Le autorità regolatorie iniziano a formulare nuove normative in risposta a una varietà di fattori, inclusi quelli sociali, tecnologici, politici, ecc. Le organizzazioni possono preparare strategie in modo proattivo per potenziali normative conducendo un’analisi dei fattori esterni, simile a quella condotta dalle autorità regolatorie.
Utilizzare il modello di analisi PESTEL disponibile in BSC Designer per:
- Formulare potenziali forze trainanti e
- Definire indicatori di segnale precoce.
Per quantificare questa preparazione proattiva possiamo utilizzare l’indicatore:
Numero di forze trainanti identificate con l’analisi PESTEL regolare.
Nel modello, questa metrica è configurata per aggiornamenti annuali:
Compliance Template. Ad esempio, le tecnologie emergenti, in particolare i progressi nell’IA, sono identificate come una delle forze trainanti nell’analisi PESTEL.
2. Identifica tempestivamente le nuove normative applicabili
Il ruolo dell’ufficio conformità è identificare tempestivamente le nuove normative applicabili e avviare la preparazione all’interno dell’organizzazione. In genere, i regolatori concedono tempo sufficiente per l’analisi e la preparazione pubblicando inizialmente una bozza della normativa; inoltre, una volta che la normativa viene rilasciata ufficialmente, è previsto un periodo di transizione.
Per quantificare l’efficienza dell’ufficio conformità, utilizziamo:
Copertura delle normative, %. Monitoraggio della percentuale di normative applicabili individuate dall’ufficio conformità in una fase iniziale.
Nel modello, la metrica di copertura delle normative ha un peso maggiore nell’indice rispetto alle altre metriche.
Tempo di revisione della normativa. Tempo medio che intercorre dalla pubblicazione iniziale della normativa fino allo sviluppo del piano di preparazione.
Tempo di sviluppo delle policy. Tempo medio necessario per sviluppare policy interne di indirizzo e i relativi materiali formativi.
Modello di conformità. Le stime delle metriche temporali possono essere utilizzate come criteri per determinare se il lavoro su specifiche normative debba essere svolto internamente o esternalizzato a una società di consulenza terza.
Ad esempio, molti organismi di regolamentazione pubblicano e aggiornano policy relative all’IA. Utilizzando le metriche menzionate, possiamo assicurarci che tali policy siano esaminate correttamente nel contesto di una specifica organizzazione e tradotte in procedure guida.
Scopri come un requisito ampio di conformità o governance possa essere scomposto in controlli specifici e misurabili, utilizzando la governance dell’IA come esempio pratico.
3. Formare i dipendenti a seguire la nuova normativa
Una volta formulate le politiche corrispondenti, l’organizzazione deve formare i propri dipendenti a seguire le nuove normative. Per monitorare il processo, utilizziamo una metrica di base:
Completamento della formazione normativa. Potrebbe includere una consapevolezza di base della nuova normativa o una modellazione dettagliata degli scenari di conformità e non conformità.
Per regolamenti più complessi, considera l’impiego di un cruscotto di formazione dedicato per monitorare il processo.
4. Convalidare la conformità delle terze parti
La maggior parte delle normative richiede di esaminare lungo la catena del valore e convalidare la conformità delle terze parti. L’organizzazione potrebbe non essere interessata a esaminare i dettagli; invece, può concentrarsi sul monitoraggio del punteggio complessivo di conformità dei partner e della percentuale di partner valutati per la conformità.
% di partner valutati per la conformità.
Punteggio complessivo di conformità dei partner (vedi, ad esempio, scorecard di gestione del rischio del fornitore).
L’identificazione e la mitigazione del rischio sono fondamentali per il successo a lungo termine della conformità. In questo caso, è stato identificato un rischio come “Cambiamenti normativi” con piano di mitigazione:
- “Mitigare l’impatto dei cambiamenti normativi sulle terze parti che hanno già superato il controllo di conformità attraverso revisioni regolari e aggiornamenti del punteggio di conformità.”
Modello di conformità. 5. Simulare incidenti di non conformità
Per convalidare il successo della formazione sulla conformità, l’organizzazione può simulare incidenti di non conformità e valutare le reazioni appropriate dei dipendenti responsabili. I risultati di tale convalida possono essere quantificati come:
Efficacia della formazione normativa, come convalidato dalle simulazioni di non conformità.
Quantificare l’impatto della non conformità
L’impatto della non conformità può essere validato utilizzando:
Metrica del danno reputazionale – può essere quantificata dalla durata della copertura mediatica negativa.
Perdita diretta di profitto.
Multe e sanzioni regolamentari.
La loro dinamica nel tempo indicherà l’efficacia degli sforzi di conformità introdotti. Sebbene tutte queste metriche siano intrinsecamente ritardate, l’ufficio di conformità può utilizzare i rischi associati a queste metriche per dare priorità a determinate attività e giustificare i budget per la conformità.
6. Verifica i sistemi da parte di un revisore esterno
Nei casi che coinvolgono normative critiche, in cui una potenziale non conformità potrebbe comportare conseguenze economiche e reputazionali significative, il consiglio di amministrazione incarica revisori indipendenti.
Le metriche su cui concentrarsi nel contesto di un revisore esterno:
Copertura dell’audit, %. Siamo interessati a un audit completo di tutte le funzioni pertinenti dell’organizzazione, per assicurarci che il massimo numero possibile di rischi di non conformità sia stato individuato in una fase iniziale.
Numero di rilievi dell’audit. Oltre alla sua applicazione diretta, questa metrica può essere utilizzata per convalidare l’efficacia dell’ufficio conformità nell’analisi e nell’implementazione dei requisiti della normativa.
Per azioni ripetitive come gli audit esterni, è consigliabile monitorare le metriche nel tempo. Gli utenti di BSC Designer possono stabilire intervalli di aggiornamento per le metriche per garantire la coerenza dei dati.
Un’altra sfumatura relativa a questo tipo di metrica è la difficoltà di stabilire un target. Ad esempio, un numero ridotto di rilievi dell’audit potrebbe essere interpretato come un’attenzione insufficiente da parte del revisore, mentre un livello elevato di rilievi può indicare che l’ufficio conformità non ha condotto un audit interno efficace. Per cogliere questa idea, la funzione di prestazioni dell’indicatore è stata modificata.
Modello di conformità. Inoltre, tutti i rilievi possono essere categorizzati in base al loro impatto, attribuendo il peso maggiore ai rilievi più critici. Questo contribuirà a evitare un uso improprio della metrica, concentrandosi su un elevato numero di rilievi di scarso valore. Un esempio di tale categorizzazione è l’indice di rischio ponderato nella scorecard di cybersecurity.
Un’indicazione dell’efficacia dell’implementazione dei rilievi del revisore può essere quantificata da:
Tasso di chiusura dei rilievi dell’audit. Sebbene l’obiettivo evidente per questa metrica sia il 100%, potrebbero esserci vincoli di tempo e risorse che impediscono di implementare immediatamente tutte le raccomandazioni del revisore.
Tempo di risposta ai rilievi dell’audit. Un’altra prospettiva sulla correzione delle vulnerabilità di non conformità individuate dall’audit: consideriamo il tempo necessario per chiudere il problema dalla sua rilevazione.
Gli utenti di BSC Designer possono aggiornare gli indicatori con i dati più recenti e includere una nota sull’ultimo aggiornamento. Ad esempio, possono fornire dettagli aggiuntivi che spieghino perché, in una certa fase, potrebbe non essere possibile chiudere alcuni dei rilievi dell’audit.
Sia il tasso di chiusura sia il tempo di risposta sono metriche anticipatrici per il miglioramento dei sistemi di conformità, con l’obiettivo di rendere l’intero processo più agile e meno complesso per le parti interessate finali.
Gestire gli incidenti di non conformità
Preparazioni adeguate da parte dell’ufficio di conformità interno e audit esterni non garantiscono l’organizzazione contro possibili violazioni di conformità.
Metriche da monitorare in questo contesto:
Tempo di risposta agli incidenti. Garantire che le violazioni di conformità siano risolte rapidamente per minimizzare l’impatto sull’organizzazione.
Ricorrenza degli incidenti. Prevenire la ricorrenza di incidenti dello stesso tipo è un indicatore di quanto bene un’organizzazione stia imparando dagli errori.
L’unità di misura per la metrica del tempo di risposta potrebbe essere ore o giorni, a seconda della natura dell’incidente.
Seguendo la logica che la ricorrenza degli incidenti è un indicatore dell’efficacia dell’ufficio di conformità, l’indicatore “Ricorrenza degli incidenti” è stato allineato con l’obiettivo ‘Formare i dipendenti a seguire le nuove normative’ dai dati come indicatore ritardato.
7. Allinea le scorecard di conformità
Le metriche discusse saranno specifiche per una determinata normativa. Per ogni normativa, ci sarà una propria scorecard di conformità che includerà le metriche adattate a quella specifica normativa. Ad esempio, esistono scorecard per il disaster recovery, la business continuity e la vendor validation.
Strategy Cascading. Per avere una visione di alto livello delle iniziative GRC (Governance, Risk e Compliance), possiamo allineare le scorecard GRC relative a normative specifiche in un’unica scorecard GRC complessiva.
Per collegare i controlli di conformità alla supervisione dei fornitori, esamina come la valutazione del rischio dei fornitori supporta le evidenze di audit, l’attribuzione del punteggio di rischio e le azioni correttive.
Porta la tua scorecard di conformità oltre Excel
Condividi il tuo piano di conformità esistente o la tua scorecard Excel con il nostro team. Discuteremo di come BSC Designer possa aiutare i team di conformità a stabilire un monitoraggio connesso degli Indicatore chiave di prestazione e a organizzare a cascata scorecard specifiche per la normativa in una visione complessiva della conformità.
Discuti un progetto pilota di conformità
Metti alla prova l’approccio con una normativa o un reparto prima di considerare un’implementazione più ampia.
Usa il modello Compliance Scorecard
BSC Designer aiuta le organizzazioni a implementare le loro strategie complesse:
- Iscriviti per un piano gratuito sulla piattaforma.
- Usa il modello
Compliance Scorecard come punto di partenza. Lo troverai in Nuovo > Nuova Scorecard > Altri Modelli. - Segui il nostro Sistema di Implementazione della Strategia per allineare stakeholder e ambizioni strategiche in una strategia completa.
Inizia oggi e scopri come BSC Designer può semplificare l'implementazione della tua strategia!
Alexis Savkín è un architetto della strategia e fondatore di BSC Designer, una piattaforma di esecuzione della strategia con la Scheda di valutazione bilanciata al centro. È il creatore dello Strategy Execution Canvas, l’autore di due libri e di oltre 100 articoli su strategia e misurazione delle prestazioni, nonché relatore a conferenze internazionali. Connettiti con Alexis su LinkedIn.