如何记录合规程序

简而言之

• 指定控制措施：用通俗易懂的语言说明适用的要求、范围、触发因素和预期结果。
• 映射决策和记录：为每个步骤命名其所有者、输入、输出、证据和升级路径。
• 管理发布：根据要求进行审核、批准、发布、培训受影响的用户并安排重新审核。

如何在实践中记录合规程序

声称遵守政策的程序是不可操作的。读者需要知道何时采取行动、做出什么决定、生成哪些记录以及何时升级冲突或异常。

从义务和控制目标开始，用决策分支绘制真实的工作流程，在每个关口命名证据，然后与执行和测试工作的人员一起审查。批准并版本已发布的程序。

运作方式

1. 指定控制

   用通俗易懂的语言说明适用的要求、范围、触发因素和预期结果。

2. 映射决策和记录

   对于每个步骤，请为其所有者、输入、输出、证据和升级路径命名。

3. 治理出版物

   根据要求进行审核、批准、发布、培训受影响的用户并安排重新审核。

应避免的错误

• 缺少决策记录

  将参与者、决策和有效状态与输出一起保留。声称遵守政策的程序是不可操作的。读者需要知道何时采取行动、做出什么决定、生成哪些记录以及何时升级冲突或异常。

常见问题

程序应该有多详细？

足够详细，经过培训的新用户可以执行控制并生成所需的证据。

异常会去哪里？

给他们一个指定的路线，包括批准、补偿措施、到期和补救措施。

谁应该审查它？

控制所有者、受影响的运营商和相关合规专家。