Confrontare la policy con una decisione reale
Una policy di compliance conta solo se il personale può seguirla. Scegliere un’approvazione, una verifica preliminare su un fornitore o una richiesta di regalo effettivi nell’attività in Kuwait e tracciare chi ha deciso, quali controlli sono stati fatti e quali prove restano. Se la policy scritta nomina un comitato che non si riunisce mai, correggere il processo o il documento. Seguire il fascicolo selezionato dalla ricezione attraverso lo screening della controparte, le approvazioni, il pagamento e l’archiviazione. Confrontare nomi e limiti di firma della policy con i diritti effettivi di sistema e registrare ogni approvazione fuori sistema con data e motivo.
Assegnare un responsabile alle eccezioni
Registrare versioni delle policy, formazione, approvazioni e ogni eccezione. Chi può approvare un’eccezione, chi individua un conflitto e quando una questione viene portata a un livello superiore? Limitare l’accesso alle segnalazioni sensibili, ma non cancellate i messaggi originali né chiedere ai dipendenti di concordare un’unica versione dei fatti. Un registro delle eccezioni dovrebbe indicare chi decide, il motivo, la scadenza e il test di follow-up. Separare le approvazioni ordinarie dalla ricezione di segnalazioni di illeciti o irregolarità ed evitare di assegnare un reclamo alla persona la cui decisione è contestata.
Esaminare un incidente con cautela
Una segnalazione è un’asserzione, non un accertamento. Conservare i documenti originali, assegnare un revisore indipendente e considerare le implicazioni lavorative e di riservatezza prima di sentire persone o comunicare esternamente. I requisiti attuali in Kuwait dovrebbero essere esaminati con consulenti qualificati rispetto all’oggetto e ai fatti effettivi. Registrare quando la questione è stata sollevata, chi detiene il materiale di origine e chi può vederlo. Concordare l’ambito dell’indagine e il controllo dei conflitti prima dei colloqui. Verificare gli obblighi applicabili per settore, parti e natura della segnalazione invece di trattare ogni incidente come identico.
Migliorare il controllo con le prove
Dopo la revisione, distinguere cosa è accaduto dal perché un controllo ha fallito. Stabilire un responsabile nominativo, una scadenza e un test per le modifiche. Una dashboard che mostra che ogni lavoratore ha cliccato «formato» non prova che i controlli funzionino. Ripetere una transazione campione per verificare la nuova procedura, conservando intatte le vecchie prove. Eseguire di nuovo l’esatto percorso di approvazione che ha fallito, dalla richiesta al pagamento, e tenere un registro di cosa è passato, cosa è fallito e cosa resta aperto. Un revisore indipendente dovrebbe poter riprodurre il nuovo test senza riscrivere le prove iniziali.
Fascicolo di revisione operativo
- Raccogliere la versione attiva della policy e una transazione o eccezione datata.
- Riconciliare i controlli dichiarati con le approvazioni effettive e i diritti di sistema.
- Separare ricezione dei reclami, esame dei fatti e decisioni finali.
- Registrare azione correttiva, responsabile, scadenza e un nuovo test riproducibile.
Approfondimenti: consultare la nostra pratica di conformità e regolamentazione e la pratica colletti bianchi e lotta alla corruzione.