مبارزه با انطباق؟ ما جواب را داریم.

انطباق زمانی می تواند گیج کننده باشد که قوانین در بین خط مشی ها، قراردادها، سوابق محصول، اقدامات کارکنان و داده های مشتری پخش شوند. من اغلب می بینم که کسب و کارها سؤالات مشابهی را می پرسند: چه چیزی در مورد ما صدق می کند؟ به چه مدارکی نیاز داریم؟ چگونه می توانیم نشان دهیم که روند ما دنبال می شود؟ یک برنامه انطباق واضح با پاسخ های عملی شروع می شود، نه انبوهی از زبان فنی. من با شناسایی فعالیت های تجاری، بازارهای ارائه شده، نوع داده های مشتری جمع آوری شده و محصولات یا خدمات ارائه شده شروع می کنم. این جزئیات نیازمندی ها را شکل می دهند. شرکتی که نرم‌افزار می‌فروشد ممکن است نیاز به بررسی حفاظت از داده‌ها، کنترل‌های امنیتی، قراردادهای تامین‌کننده و مجوزهای دسترسی داشته باشد. یک کسب و کار مواد غذایی ممکن است به سوابق شامل مواد تشکیل دهنده، بررسی های بهداشتی، ذخیره سازی و آموزش کارکنان نیاز داشته باشد. یک بررسی مفید می تواند این مسیر را دنبال کند: 1. محدوده را تعریف کنید بنویسید که کسب و کار چه کاری انجام می دهد و در کجا فعالیت می کند. شامل وب‌سایت‌ها، برنامه‌های تلفن همراه، مکان‌های فیزیکی، پیمانکاران، ارائه‌دهندگان پرداخت و سایر تأمین‌کنندگان باشد. این مرحله به جلوگیری از یک مشکل رایج کمک می کند: ایجاد یک خط مشی گسترده که با کار روزانه مطابقت ندارد. 2. الزامات را فهرست کنید الزامات را در زمینه های واضح گروه بندی کنید، مانند: - حفاظت از داده ها - امنیت اطلاعات - ایمنی محصول - رویه های محل کار - ارتباط با مشتری - مدیریت تامین کننده - نگهداری سوابق - آموزش کارکنان لیست باید منعکس کننده کسب و کار باشد نه اینکه یک الگو را بدون بررسی کپی کند. 3. قوانین را با رویه فعلی مقایسه کنید من به آنچه که کسب و کار می گوید انجام می دهد و کارمندان واقعاً چه می کنند نگاه می کنم. یک اعلامیه حفظ حریم خصوصی ممکن است بگوید که داده های مشتری پس از یک دوره تعیین شده حذف می شود، در حالی که سیستم فروش سوابق قدیمی را بدون فرآیند بررسی نگه می دارد. یک خط مشی تامین کننده ممکن است نیاز به بررسی داشته باشد، در حالی که هیچ کس برای تکمیل آنها تعیین نشده است. این مقایسه شکاف هایی را نشان می دهد که نیاز به توجه دارند. 4. تخصیص مالکیت واضح ** هر کار نیاز به یک مالک نام دارد. "شرکت" نمی تواند یک ثبت خطر را به روز کند، یک تامین کننده را تایید کند، یا حقوق دسترسی را بررسی کند. یک تیم کوچک ممکن است چندین وظیفه را به یک نفر واگذار کند. زمانی که مسئولیت ها در فواصل زمانی مناسب نوشته و بررسی شوند، می تواند کارساز باشد. **5. مدارک را نگه دارید ** انطباق به چیزی بیش از سیاست های مکتوب بستگی دارد. سوابق مفید ممکن است شامل موارد زیر باشد: - گزارش‌های آموزشی - ارزیابی ریسک - بررسی‌های تامین‌کننده - گزارش‌های رویداد - سوابق تایید - بررسی‌های دسترسی به سیستم - به‌روزرسانی‌های خط‌مشی - سوابق رضایت مشتری سوابق خوب به یک کسب‌وکار کمک می‌کند توضیح دهد که چه اتفاقی افتاده، چه کسی آن را مدیریت کرده است، و چه اقداماتی انجام شده است. **6. فرآیند را آزمایش کنید یک خط مشی ممکن است روی کاغذ کامل به نظر برسد و همچنان در طول یک روز کاری شلوغ شکست بخورد. توصیه می کنم نمونه کوچکی از کارهای واقعی را بررسی کنید. درخواست اخیر مشتری، فایل ورود تامین کننده، تغییر محصول یا حادثه امنیتی را مرور کنید. سوالات ساده بپرسید: آیا شخص مناسب آن را تایید کرد؟ آیا اطلاعات مورد نیاز ثبت شد؟ آیا یکی دیگر از اعضای تیم می تواند مرحله بعدی را درک کند؟ آیا سوابق قدیمی به دلیل روشنی حذف یا حفظ می شوند؟ این نوع چک اغلب مواردی را آشکار می کند که بررسی سند از قلم می افتد. یک خرده فروش آنلاین کوچک مثال مفیدی ارائه می دهد. کسب و کار دارای یک اعلامیه حفظ حریم خصوصی، یک بنر کوکی و یک لیست تامین کننده بود. پس از تکمیل سفارشات، اعضای کارکنان همچنان جزئیات سفارش مشتری را در صفحات گسترده مشترک ذخیره می کردند. کسب و کار یک برنامه نگهداری ایجاد کرد، دسترسی به فایل ها را محدود کرد، سوابق سفارش را به سیستم اصلی خود منتقل کرد و یک بررسی ماهانه اضافه کرد. این سیاست به جای جدایی از آن، به کار روزانه متصل شد. زبان شفاف نیز مهم است. یک سند انطباق باید به مردم بگوید که چه کاری باید انجام دهند، چه کسی باید آن را انجام دهد و چه سابقه ای باید حفظ شود. جملات طولانی و عبارات مبهم کارهای روتین را سخت تر می کند. «به‌طور ایمن با داده‌های مشتری مدیریت کنید» کمتر از «داده‌های مشتری را فقط در سیستم تأیید شده ذخیره کنید و مشکلات دسترسی مشکوک را به مخاطب تعیین‌شده گزارش دهید» مفید نیست. من همچنین توصیه می کنم الزامات قانونی را از ترجیحات داخلی جدا کنید. یک کسب و کار ممکن است تصمیم بگیرد که به مدت دوازده ماه به عنوان بخشی از فرآیند خود رکوردی را حفظ کند، حتی زمانی که یک قانون خاص آن دوره را دقیقاً تعیین نکرده باشد. برچسب زدن دلیل هر نیاز، بررسی های بعدی را آسان تر می کند. انطباق یک سند واحد یا یک کار یکباره نیست. این یک فرآیند کاری است که از مسئولیت های روشن، سوابق مناسب، آگاهی کارکنان و بررسی های منظم ساخته شده است. وقتی پاسخ‌ها به زبان انگلیسی ساده نوشته شده و به فعالیت‌های روزانه مرتبط هستند، افراد می‌توانند با حدس و گمان کمتری آن‌ها را دنبال کنند.

وقتی الزامات در خط‌مشی‌ها، قراردادها، روال کار کارکنان، تنظیمات نرم‌افزار و سوابق مشتریان توزیع می‌شوند، انطباق ممکن است دشوار به نظر برسد. من تیم‌هایی را دیده‌ام که ساعت‌ها به جستجوی اسناد، بررسی رویه‌های قدیمی و تلاش برای تصمیم‌گیری در مورد اینکه کدام کار شایسته توجه است می‌گذرانند. مشکل به ندرت کمبود تلاش است. اغلب فقدان ساختار است. یک فرآیند انطباق واضح به من کمک می کند تا ببینم کسب و کار باید چه کاری انجام دهد، صاحب هر کار چه کسی است، چه شواهدی باید نگه داشته شود و چه زمانی هر مورد نیاز به بررسی دارد. ### با قوانینی شروع کنید که بر کسب‌وکار شما تأثیر می‌گذارند، من با فهرست کردن حوزه‌هایی که ممکن است برای شرکت اعمال شود، شروع می‌کنم: - حفاظت از داده‌ها - سوابق کارمندان - ایمنی محل کار - کنترل‌های مالی - ارتباط با مشتری - مدیریت تامین‌کننده - الزامات خاص صنعت - تبلیغات و ادعاهای بازاریابی هر قانونی برای هر کسب‌وکاری اعمال نمی‌شود. یک خرده فروش آنلاین کوچک ممکن است نیاز داشته باشد بر روی داده های مشتری، سوابق پرداخت، بازگشت و رضایت بازاریابی تمرکز کند. یک شرکت ساختمانی ممکن است به کنترل های قوی تری برای ایمنی سایت، سوابق آموزشی، بررسی تجهیزات و پیمانکاران فرعی نیاز داشته باشد. این فهرست ساده من را از کپی کردن یک کتابخانه سیاست بزرگ که هیچ کس استفاده نمی کند، باز می دارد. ### الزامات را به اقدامات روزانه تبدیل کنید یک قانون زمانی که به یک وظیفه واضح تبدیل می شود آسان تر است. به‌جای نوشتن «محافظت از اطلاعات مشتری»، این الزام را به اقدامات تقسیم می‌کنم: - دسترسی به سوابق مشتری را محدود کنید - از حساب‌های جداگانه برای کارمندان استفاده کنید - دسترسی را حذف کنید وقتی کسی خارج می‌شود - داده‌های ذخیره‌شده را در بازه‌های زمانی تعیین‌شده مرور کنید - ثبت کنید که مشتریان چگونه می‌توانند درخواست تغییرات کنند - گزارشی از حوادث گزارش‌شده داشته باشید. همین رویکرد برای سایر حوزه‌ها کار می‌کند. "حفظ ایمنی محل کار" ممکن است به بازرسی تجهیزات، آموزش کارکنان، گزارش حوادث و سوابق اقدامات اصلاحی تبدیل شود. هر کار باید به چهار سوال پاسخ دهد: 1. چه اتفاقی باید بیفتد؟ 2. چه کسی مسئول است؟ 3. چه شواهدی ذخیره خواهد شد؟ 4. چه زمانی تکلیف بررسی می شود؟ اگر این جزئیات وجود نداشته باشد، ممکن است یک خط مشی کامل به نظر برسد در حالی که روند روزانه نامشخص است. ### شواهد را جایی نگه دارید که افراد بتوانند آن را پیدا کنند. من یک ساختار پوشه ساده با نام های واضح را ترجیح می دهم. به عنوان مثال: - سیاست ها - آموزش کارکنان - بررسی های تامین کننده - بررسی ریسک - سوابق حادثه - درخواست های مشتری - سابقه حسابرسی نام فایل ها می تواند شامل نوع سند، مالک و تاریخ بررسی باشد. یک سابقه آموزشی ممکن است نام داشته باشد: «Data-Protection-Training-Sales-Team-2025-03» یک سیستم مشترک می تواند کمک کند، اما ابزار باید با اندازه کسب و کار مطابقت داشته باشد. یک تیم کوچک ممکن است سوابق خود را با پوشه های سازماندهی شده و یک ردیاب وظیفه مدیریت کند. یک شرکت بزرگتر ممکن است به کنترل های دسترسی، جریان های تایید، و گزارش های حسابرسی نیاز داشته باشد. هدف جمع آوری فایل های بیشتر نیست. هدف این است که نشان دهیم چه اتفاقی افتاده است، چه کسی آن را تکمیل کرده است و آیا این روند دنبال شده است یا خیر. ### تخصیص مالکیت وظایف انطباق اغلب زمانی با شکست مواجه می‌شوند که همه افراد دیگری را مسئول می‌دانند. من برای هر منطقه یک مالک تعیین می کنم. آن شخص نیازی به انجام هر کاری شخصاً ندارد. نقش آنها این است که بررسی کنند که تکلیف صاحب، مهلت و شواهد مناسب دارد. یک جدول مسئولیت ساده ممکن است به این صورت باشد: | منطقه | صاحب وظیفه | چرخه بررسی | شواهد | |---|---|---|---| | اطلاعات مشتری | مدیر عملیات | هر شش ماه | بررسی دسترسی | | آموزش کارکنان | مدیر افراد | هر سال | سابقه حضور | | چک های تامین کننده | سرب تدارکات | قبل از تایید | فرم تامین کننده | | رسیدگی به حوادث | مدیر سایت | بعد از هر حادثه | گزارش حادثه | این قالب باعث می شود شکاف ها راحت تر دیده شوند. همچنین خطر تکیه بر حافظه یک فرد را کاهش می دهد. ### فرآیند را پس از تغییرات مرور کنید یک تامین کننده، سیستم نرم افزاری، دفتر، محصول یا کانال بازاریابی جدید می تواند نیازهای انطباق شرکت را تغییر دهد. وقتی ابزار جدیدی را معرفی می کنم، می پرسم: - چه اطلاعاتی را جمع آوری می کند؟ - چه کسی می تواند به آن دسترسی داشته باشد؟ - اطلاعات کجا ذخیره می شود؟ - آیا تامین کننده فرآیند امنیتی خاص خود را دارد؟ - اگر سرویس متوقف شود چه اتفاقی می افتد؟ - کدام اعلامیه های مشتری یا کارمند نیاز به به روز رسانی دارد؟ برای مثال، یک تیم بازاریابی که یک پلتفرم ایمیل جدید اضافه می‌کند، ممکن است نیاز به بررسی سوابق رضایت، لغو اشتراک، انتقال داده‌ها و مجوزهای دسترسی داشته باشد. این بررسی باید قبل از تبدیل شدن ابزار به بخشی از گردش کار عادی انجام شود. ### گزارش دهی را آسان کنید مردم زمانی که فرآیند ساده و عاری از سرزنش باشد، احتمال بروز مشکل را بیشتر می کنند. من به کارکنان مسیر روشنی برای گزارش می دهم: - سوابق گم شده - اطلاعات نادرست مشتری - دستگاه های گم شده - شرایط ناامن - مشکوک به نقض خط مشی - نگرانی های تامین کننده فرم گزارش می تواند کوتاه باشد. باید تاریخ، افراد درگیر، آنچه اتفاق افتاده، اقدام فوری و شخصی که بررسی را انجام می‌دهد را ثبت کند. یک کسب و کار خرده فروشی کوچک ممکن است متوجه شود که کارکنان در طول دوره های شلوغ جزئیات مشتری را روی کاغذ شل می نویسند. یک گزارش کوتاه می تواند مشکل را آشکار کند. سپس مدیریت می تواند فرآیند را تغییر دهد، روش ایمن تری ارائه دهد و اقدامات انجام شده را ثبت کند. ### فرآیند را با یک بررسی کوچک آزمایش کنید یک بررسی مفید نیازی به پوشش یکباره همه اسناد ندارد. من یک منطقه را انتخاب می کنم و آن را آزمایش می کنم: - آیا کارکنان می توانند روند را توضیح دهند؟ - آیا سوابق کامل است؟ - آیا خط مشی مکتوب و تمرین روزانه مطابقت دارند؟ - آیا هنوز از اسناد قدیمی استفاده می شود؟ - آیا کسی بررسی می کند که آیا اقدامات اصلاحی انجام شده است؟ هدف این است که نقاط ضعف را قبل از تبدیل شدن به مشکلات بزرگتر پیدا کنید. بررسی ممکن است نشان دهد که آموزش ضبط شده است اما هرگز تجدید نمی شود، یا اینکه کارکنان سابق هنوز در لیست دسترسی ظاهر می شوند. ### روتینی بسازید که افراد بتوانند از آن پیروی کنند، انطباق زمانی آسان‌تر می‌شود که بخشی از فعالیت عادی کسب‌وکار باشد تا یک پروژه جداگانه. یک روال ماهانه ممکن است شامل بررسی رویدادهای باز، بررسی تامین کنندگان جدید و تأیید اینکه سوابق کلیدی به درستی ذخیره شده اند باشد. یک روال سه ماهه ممکن است بررسی های دسترسی، به روز رسانی ریسک و تغییرات خط مشی را پوشش دهد. یک روال سالانه ممکن است شامل آموزش کارکنان و بازنگری فرآیند گسترده تر باشد. برنامه باید منعکس کننده کسب و کار باشد. شرکتی که اطلاعات حساس را مدیریت می کند ممکن است به بررسی های مکرر بیشتری نسبت به یک شرکت کوچک با استفاده محدود از داده ها نیاز داشته باشد. من سعی نمی کنم در اولین تلاش یک سیستم کامل ایجاد کنم. من با الزاماتی شروع می‌کنم که بیشترین تأثیر را بر کسب‌وکار دارند، مالکیت واضح را به آنها اختصاص می‌دهم، شواهد مفید را ذخیره می‌کنم و پس از هر بازبینی فرآیند را بهبود می‌بخشم. انطباق وقتی به مجموعه ای از اقدامات قابل مشاهده به جای دیواری از اسناد تبدیل می شود، کمتر احساس می شود. سیستم مناسب راهی عملی برای کار، پاسخ به مسائل و نشان دادن نحوه تصمیم گیری به افراد می دهد. برای سؤالات حقوقی یا خاص صنعت، الزامات مربوط به کسب و کار را بررسی می کنم و در صورت نیاز به دنبال مشاوره حرفه ای واجد شرایط هستم.

وقتی الزامات در قراردادها، خط مشی های داخلی، داده های مشتری، اقدامات کارکنان و سوابق تامین کننده توزیع می شوند، انطباق ممکن است دشوار به نظر برسد. من اغلب می بینم که تیم ها زمانی را صرف جمع آوری اسناد می کنند در حالی که فرآیندهای روزانه را که خطر ایجاد می کند را از دست می دهند. یک مسیر روشن با دانستن آنچه اعمال می‌شود، بررسی نحوه انجام کار امروز و نگهداری شواهدی که می‌توانند بعداً بررسی شوند، شروع می‌شود. ### با محدوده ای که با تعریف فعالیت های تجاری که نیاز به بررسی دارند شروع کنید. این ممکن است شامل موارد زیر باشد: - جمع آوری داده های مشتری - پردازش پرداخت - دسترسی کارکنان به سیستم ها - مدیریت تامین کننده - ادعای محصول - حفظ سوابق - شکایات و درخواست های پشتیبانی - کنترل های امنیتی - وظایف خاص صنعت یک خرده فروش آنلاین کوچک ممکن است نیاز داشته باشد اعلان حریم خصوصی، ارائه دهنده پرداخت، تنظیمات کوکی، فرآیند بازپرداخت، دسترسی کارکنان، و سوابق پشتیبانی مشتری را بررسی کند. یک شرکت نرم افزاری ممکن است روی مجوزهای کاربر، رسیدگی به حوادث، قراردادهای فروشنده و ذخیره سازی داده ها تمرکز کند. یک محدوده روشن از دو مشکل رایج جلوگیری می کند: بررسی حوزه هایی که کاربردی ندارند و نادیده گرفتن وظایفی که هر روز بر مشتریان تأثیر می گذارد. ### الزامات را به اقدامات روزانه تبدیل کنید یک خط مشی به تنهایی نحوه عملکرد یک کسب و کار را نشان نمی دهد. من هر نیاز را به یک اقدام، یک مالک و یک رکورد متصل می کنم. به عنوان مثال: | منطقه مورد نیاز | اقدام روزانه | مالک | شواهد | |---|---|---|---| | کنترل دسترسی | بررسی مجوزهای کاربر | مدیر سیستم | دسترسی به گزارش بررسی | | اطلاعات مشتری | ثبت رضایت در صورت نیاز | تیم بازاریابی | ثبت رضایت | | چک های تامین کننده | بررسی اسناد فروشنده | سرب تدارکات | فایل تامین کننده | | پاسخ حادثه | گزارش و ارزیابی مسائل | مدیر عملیات | گزارش حادثه | | آموزش کارکنان | آموزش کامل نقش محور | رهبران تیم | کارنامه آموزشی | این قالب مدیریت انطباق را آسان تر می کند. کارمندان می توانند آنچه را که باید انجام دهند ببینند، مدیران می توانند وظایف باز را ردیابی کنند و کسب و کار می تواند نحوه عملکرد کنترل ها را نشان دهد. ### روند فعلی را بررسی کنید من فقط به رویه های نوشته شده متکی نیستم. من آنها را با کار واقعی مقایسه می کنم. یک بررسی کوتاه می تواند شامل موارد زیر باشد: 1. خط مشی های موجود را بخوانید. 2. با افرادی که وظایف را انجام می دهند صحبت کنید. 3. نمونه ای از سوابق را بررسی کنید. 4. تمرین را با الزامات بیان شده مقایسه کنید. 5. شکاف ها را به زبان ساده ثبت کنید. 6. هر عمل را به یک شخص با نام اختصاص دهید. 7. تاریخ بررسی را تعیین کنید. فرض کنید یک خط‌مشی شرکت می‌گوید با خروج کارمند، دسترسی مشتری حذف می‌شود. بررسی سوابق ممکن است نشان دهد که دسترسی برای چندین روز فعال باقی می ماند زیرا هیچ کس اخطار خروج رسمی را دریافت نمی کند. شکاف ناشی از گم شدن کلمات در سیاست نیست. کسب و کار نیاز به انتقال واضح بین منابع انسانی، مدیر و مالک سیستم دارد. ### مسائل را بر اساس ریسک ارزیابی کنید، هر شکافی به پاسخ یکسانی نیاز ندارد. من به تأثیر احتمالی، تعداد افرادی که درگیر هستند، هر چند وقت یک‌بار ممکن است مشکل رخ دهد و اینکه کسب‌وکار چقدر سریع می‌تواند آن را اصلاح کند، نگاه می‌کنم. یک رکورد ریسک ساده می‌تواند از این فیلدها استفاده کند: - شرح موضوع - فرآیند تحت تأثیر - تأثیر احتمالی - کنترل فعلی - اقدام مورد نیاز - شخص مسئول - تاریخ هدف - وضعیت بررسی امضای گم شده در یک فرم داخلی کم خطر ممکن است نیاز به پاسخی متفاوت از دسترسی نامحدود به سوابق مشتری داشته باشد. این رویکرد به تیم ها کمک می کند تا زمان خود را بدون نادیده گرفتن مشکلات کوچکتر متمرکز کنند. ### در حین انجام کار، مدرک بسازید، سوابق خوب نیازی به طولانی بودن ندارند. آنها باید نشان دهند که چه اتفاقی افتاده است، چه کسی آن را مدیریت کرده و چه زمانی بررسی شده است. شواهد مفید ممکن است شامل موارد زیر باشد: - سوابق تایید - گزارش‌های آموزشی - بررسی‌های دسترسی - ارزیابی‌های تامین‌کننده - سوابق تغییر سیستم - گزارش‌های رویداد - گزارش‌های درخواست مشتری - تاریخ‌های بررسی خط‌مشی - یادداشت‌های جلسه - نتایج تست من سوابقی را ترجیح می‌دهم که کارمندان بتوانند در طول کار عادی ایجاد کنند. نگهداری یک فرم بررسی دسترسی کوتاه آسانتر از یک سند بزرگ است که کسی آن را به روز نمی کند. سوابق همچنین باید قوانین ذخیره سازی روشنی داشته باشند. کسب‌وکار باید بداند چه کسی می‌تواند آنها را مشاهده کند، چه مدت نگهداری می‌شوند و چه زمانی باید به‌طور ایمن حذف شوند. دوره‌های نگهداری می‌تواند به قرارداد، صنعت، محل و وظیفه قانونی مربوطه بستگی داشته باشد، بنابراین کسب‌وکار باید قاعده‌ای را که در مورد وضعیت آن اعمال می‌شود تأیید کند. ### افراد را در مورد نقش‌هایشان آموزش دهید آموزش عمومی می‌تواند به کارکنان کمک کند تا هدف انطباق را درک کنند. راهنمایی مبتنی بر نقش به آنها کمک می کند تا در طول روز کاری بهتر تصمیم بگیرند. یک کارمند پشتیبانی مشتری ممکن است به راهنمایی در مورد بررسی هویت و درخواست داده نیاز داشته باشد. یک کارمند فروش ممکن است در مورد اظهارات محصول و ادعاهای تایید شده به کمک نیاز داشته باشد. ممکن است یک مدیر سیستم برای بررسی دسترسی و گزارش رویداد به دستورالعمل‌هایی نیاز داشته باشد. من به آموزش عملی ادامه می دهم: - از مثال هایی از نقش کارمند استفاده کنید. - توضیح دهید وقتی مطمئن نیستید چه کاری انجام دهید. - نشان دهید که کجا یک نگرانی را گزارش کنید. - سوابق حضور و غیاب را نگه دارید. - بررسی کنید که آیا فرآیند درک شده است یا خیر. - هنگامی که روند تغییر می کند، راهنمایی را تکرار کنید. آموزش نباید به عنوان یک کار یکبار مصرف تلقی شود. سیستم‌ها، تامین‌کنندگان، محصولات و کانال‌های مشتریان جدید می‌توانند کنترل‌هایی را که افراد باید دنبال کنند، تغییر دهند. ### تامین کنندگان و ارائه دهندگان خدمات را بررسی کنید یک کسب و کار می تواند از طریق شخص ثالث با مسائل مربوط به انطباق مواجه شود، حتی زمانی که فرآیند خودش به خوبی مدیریت شود. من تامین کنندگان را بر اساس خدماتی که ارائه می کنند و اطلاعات یا دسترسی هایی که دریافت می کنند بررسی می کنم. بررسی ممکن است شامل موارد زیر باشد: - هویت تجاری - محدوده خدمات - دسترسی به داده ها - اقدامات امنیتی - پیمانکاران فرعی - اعلان حادثه - رسیدگی به سوابق - وظایف قرارداد - تغییرات خدمات - ترتیبات خروج یک پلت فرم بازاریابی که جزئیات تماس مشتری را دریافت می کند نیاز به بررسی متفاوت از یک تامین کننده لوازم التحریر دارد. سطح بررسی باید با نقش تامین کننده مطابقت داشته باشد. ### یک مسیر گزارش دهی ساده ایجاد کنید کارمندان به راه روشنی برای ابراز نگرانی نیاز دارند. اگر مسیر گزارش‌دهی نامشخص باشد، ممکن است مسائل کوچک تا زمانی که مدیریت آنها سخت‌تر شود، پنهان بماند. یک فرآیند گزارش‌دهی می‌تواند توضیح دهد: - چه چیزی باید گزارش شود - چه کسی گزارش را دریافت می‌کند - چه اطلاعاتی باید شامل شود - نحوه رسیدگی به امور فوری - نحوه ذخیره‌سازی سوابق - زمانی که گزارشگر می‌تواند انتظار به‌روزرسانی را داشته باشد گزارش‌ها باید به طور منصفانه و طبق قوانینی که در مورد کسب‌وکار اعمال می‌شود رسیدگی شود. یک شرکت باید قبل از بررسی واقعیات از قول دادن به نتیجه اجتناب کند. ### خط‌مشی‌ها را با عمل مرتبط نگه دارید سیاست‌ها باید نحوه عملکرد واقعی کسب‌وکار را منعکس کنند. اگر فرآیندی تغییر کند، خط‌مشی، فرم، آموزش و روش ثبت مربوطه نیز ممکن است به به‌روزرسانی نیاز داشته باشد. من از یک چرخه بررسی ساده استفاده می کنم: - مالک فرآیند را تأیید کنید. - بررسی کنید که آیا روند تغییر کرده است یا خیر. - نمونه ای از شواهد را مرور کنید. - از کارکنان در مورد مشکلات عملی سوال کنید. - در صورت نیاز سند را به روز کنید. - تاریخ بررسی و تایید را ثبت کنید. سیاستی که یک سیستم قدیمی را توصیف می کند می تواند سردرگمی ایجاد کند. یک سند کوتاه‌تر که مطابق با کار فعلی باشد، اغلب مفیدتر از یک سند مفصل است که کارمندان نمی‌توانند از آن پیروی کنند. ### از یک مثال عملی بیاموزید یک فروشگاه آنلاین در حال رشد متوجه شد که کارمندان مختلف درخواست های داده های مشتری را به روش های مختلف مدیریت می کنند. به برخی از درخواست‌ها از طریق ایمیل پاسخ داده شد، برخی به یک مدیر منتقل شدند و برخی نیز ثبت نشدند. این شرکت یک فرم درخواست ایجاد کرد، یک مالک فرآیند نامگذاری کرد، یک بررسی هویت اضافه کرد، یک هدف پاسخ داخلی تعیین کرد و هر درخواست تکمیل شده را در یک پوشه محدود ذخیره کرد. کارکنان یک راهنمای کوتاه با درخواست های نمونه دریافت کردند. کسب و کار با افزودن صفحات بیشتر به خط مشی خود مشکل را حل نکرد. این انتقال را بهبود بخشید، به افراد نقش های روشنی داد، و شواهدی را ایجاد کرد که با این روند مطابقت داشت. ### انطباق را به بخشی از کار عادی تبدیل کنید یک برنامه انطباق مفید باید از تصمیمات روزانه حمایت کند نه اینکه جدا از آنها بنشیند. من به دنبال کنترل های کوچکی هستم که کارمندان بتوانند بدون اضافه کردن مراحل غیرضروری تکرار کنند. یک طرح روشن ممکن است شامل موارد زیر باشد: - فهرست محدوده - ثبت ریسک - صاحبان نام - رویه‌های ساده - آموزش مبتنی بر نقش - بررسی‌های تامین‌کننده - قوانین ثبت - یک مسیر گزارش‌دهی - بررسی‌های منظم رویکرد درست به کسب‌وکار، موقعیت مکانی آن، مشتریان، تامین‌کنندگان آن و الزاماتی بستگی دارد که برای فعالیت‌های آن اعمال می‌شود. وقتی فرآیند واضح باشد، شکاف ها راحت تر تشخیص داده می شوند، اقدامات آسان تر قابل تخصیص هستند، و نگهداری شواهد آسان تر است.

بسیاری از کسب و کارها انطباق را به عنوان یک وظیفه سند می دانند. آنها خط مشی ها را جمع آوری می کنند، آموزش کامل می دهند و سوابق را در سیستم های مختلف ذخیره می کنند. هنگامی که یک درخواست حسابرسی وارد می شود، اعضای کارکنان ممکن است روزها را صرف جستجوی شواهدی مبنی بر اینکه کنترل ها رعایت شده است بپردازند. من این مشکل را در شرکت های در حال رشد می بینم. مسئله اغلب کمبود تلاش نیست. فقدان ساختار است. یک برنامه انطباق عملی باید به افراد کمک کند تا آنچه مورد نیاز است را درک کنند، اقدامات صحیح را انجام دهند و بدون کاهش سرعت کار روزانه شواهدی را نشان دهند. اینجاست که یک راه حل انطباق واضح می تواند تفاوت ایجاد کند. ## با خطراتی که بر کسب و کار شما تأثیر می گذارد شروع کنید هر شرکتی با مجموعه متفاوتی از نیازهای انطباق مواجه است. یک کسب و کار خرده فروشی ممکن است بر روی داده های مشتری، امنیت پرداخت، سوابق کارمندان و چک های تامین کننده تمرکز کند. یک ارائه دهنده مراقبت های بهداشتی ممکن است به کنترل های قوی تری در مورد اطلاعات بیمار، مجوزهای دسترسی و آموزش کارکنان نیاز داشته باشد. یک شرکت نرم افزاری ممکن است نیاز به مدیریت ریسک فروشنده، مدیریت داده ها، بررسی های امنیتی و الزامات قرارداد داشته باشد. من با ترسیم زمینه‌هایی که برای کسب‌وکار اعمال می‌شوند، شروع می‌کنم: - الزامات صنعت - انتظارات مشتری و شریک - سیاست‌های داخلی - نیازهای حفاظت از داده‌ها - کنترل‌های امنیتی - مسئولیت‌های کارکنان - ریسک‌های تامین‌کننده و شخص ثالث - الزامات حسابرسی و گزارش این امر مانع از صرف زمان تیم‌ها برای کنترل‌هایی می‌شود که با خطرات واقعی آنها مطابقت ندارد. ## الزامات را به اقدامات روزانه تبدیل کنید یک خط مشی زمانی ارزش محدودی دارد که کارمندان نتوانند آن را به کار خود متصل کنند. من به شکستن الزامات گسترده به اقدامات عملی کمک می کنم. یک خط مشی دسترسی به داده ممکن است به بررسی مجوز ماهانه تبدیل شود. خط مشی تامین کننده ممکن است شامل فرم بازبینی، مرحله تایید و بررسی تمدید باشد. الزامات آموزشی کارکنان ممکن است شامل یک دوره، آزمون کوتاه دانش و سوابق تکمیلی باشد. این رویکرد به هر فرد نقش روشنی می دهد. مدیران می دانند چه چیزی را باید بررسی کنند. کارمندان می دانند که چه چیزی را باید تکمیل کنند. تیم های انطباق می توانند وظایف باز را بدون اتکا به زنجیره های ایمیل طولانی ردیابی کنند. ## شواهد را برای یافتن آسان نگه دارید سوابق خوب از تصمیمات بهتر پشتیبانی می کنند. آنها همچنین فشار را در طول ممیزی و بررسی مشتریان کاهش می دهند. یک سیستم انطباق مفید می‌تواند سازماندهی کند: - خط‌مشی‌ها و تاریخ‌های تایید - ارزیابی ریسک - سوابق آموزشی - بررسی‌های دسترسی - گزارش‌های رویداد - اسناد تامین‌کننده - یافته‌های حسابرسی - برنامه‌های اقدام اصلاحی - شواهد آزمایش کنترل من ساختار شواهد ساده‌ای را ترجیح می‌دهم که با روشی که تیم‌ها در حال حاضر کار می‌کنند مطابقت داشته باشد. اگر کارکنان برای آپلود یک رکورد به پنج ابزار و چندین مرحله دستی نیاز داشته باشند، ممکن است این فرآیند دوام نیاورد. پاک کردن نام فایل ها، مالکان اختصاص داده شده، تاریخ بررسی و تنظیمات مجوز می تواند کنترل را بدون ایجاد کار اضافی بهبود بخشد. ## به کارمندان راهنمایی کنید که بتوانند از آنها استفاده کنند. مردم به راهنمایی کوتاهی نیاز دارند که به سوالات عملی پاسخ دهد: - چه اطلاعاتی را می توانم به اشتراک بگذارم؟ - چه کسی می تواند این درخواست را تایید کند؟ - اگر متوجه مشکل امنیتی شدم چه باید بکنم؟ - از کجا یک حادثه مشکوک را گزارش کنم؟ - هر چند وقت یکبار باید دسترسی را مرور کنم؟ - چه سوابقی را باید نگه دارم؟ من از زبان ساده، آموزش مبتنی بر نقش و یادآوری های کوتاه استفاده می کنم. یک تیم مالی به نمونه های مشابه تیم فروش نیاز ندارد. یک مدیر سیستم به راهنمایی های متفاوتی از یک نماینده پشتیبانی مشتری نیاز دارد. هر چه آموزش به کار روزانه نزدیک تر باشد، پیگیری آن آسان تر است. ## از یک فرآیند بهبود واضح استفاده کنید هیچ برنامه انطباق پس از یک بررسی کامل نمی ماند. فرآیندهای کسب و کار تغییر می کند. تامین کنندگان جدید اضافه می شوند. نقش کارکنان تغییر می کند. نیازهای مشتری توسعه می یابد. من یک چرخه بازبینی منظم را توصیه می کنم: 1. یک تجارت یا تغییر نظارتی را شناسایی کنید. 2. بررسی کنید که کدام خط‌مشی‌ها و کنترل‌ها ممکن است تحت تأثیر قرار گیرند. 3. یک مالک را برای بررسی تعیین کنید. 4. هر شکافی را ثبت کنید. 5. یک تاریخ اقدام معقول تعیین کنید. 6. کنترل به روز شده را تست کنید. 7. شواهد پشتیبان را ذخیره کنید. یک مشکل کوچک که زود ردیابی می شود راحت تر از یک یافته قدیمی بدون مالک است. ## یک مثال عملی یک خرده‌فروش آنلاین با اندازه متوسط، خط‌مشی‌هایی را در پوشه‌های مشترک ذخیره می‌کرد، در حالی که سوابق آموزشی در صفحات گسترده نگهداری می‌شد. هنگامی که یک مشتری تجاری درخواست شواهد انطباق کرد، تیم عملیات چندین روز برای جمع آوری اسناد نیاز داشت. این شرکت کنترل های کلیدی خود را ترسیم کرد، مالکان را تعیین کرد، تاریخ بررسی را اضافه کرد و یک ثبت شواهد ایجاد کرد. آموزش کارکنان بر اساس نقش تقسیم شد. چک های تامین کننده یک فرم بررسی استاندارد دریافت کردند. این شرکت سعی نکرد همه فرآیندها را به یکباره بازسازی کند. بر روی شکاف هایی متمرکز شد که بیشترین کار و ریسک را ایجاد کرد. پس از تغییرات، تیم می‌توانست با جستجوی دستی کمتر به درخواست‌های مشتریان پاسخ دهد و مدیران دید واضح‌تری نسبت به اقدامات ناتمام داشتند. این نتیجه از سازماندهی بهتر حاصل شد، نه از افزودن اسناد بیشتر. ## سیستمی بسازید که مردم به استفاده از آنها ادامه خواهند داد. یک راه حل انطباق باید متناسب با تجارت باشد. باید مسئولیت ها را قابل مشاهده کند، از بررسی های معمول پشتیبانی کند و سوابق مفید را در دسترس نگه دارد. من روی چهار سوال تمرکز می کنم: - آیا کنترل یک خطر واقعی را بررسی می کند؟ - آیا کسی صاحب وظیفه است؟ - آیا کارکنان می توانند روند را دنبال کنند؟ - آیا کسب و کار می تواند بعداً شواهدی را نشان دهد؟ هنگامی که پاسخ به این سؤالات روشن است، انطباق به جای یک کار جداگانه که فقط در طول ممیزی ظاهر می شود، بخشی از عملیات عادی می شود. قوی ترین رویکرد عملی، سازگار و متناسب با اندازه و صنعت شرکت است. یک برنامه روشن می تواند سردرگمی را کاهش دهد، از اعتماد مشتری پشتیبانی کند و به تیم ها کمک کند تا با اطمینان بیشتری به نیازهای انطباق پاسخ دهند. ما از سوالات شما استقبال می کنیم: wu.ming@yz-delta.com/WhatsApp +8618156654881.

1. سازمان بین‌المللی استاندارد، 2018، الزامات سیستم‌های مدیریت امنیت اطلاعات، 2. پارلمان اروپا و شورای اتحادیه اروپا، 2016، مقررات حفاظت از داده‌های عمومی، 3. موسسه ملی استاندارد و فناوری، 2024، چارچوب امنیت سایبری 2.0 4. سازمان بین‌المللی استانداردسازی، 2015، دفتر مدیریت کیفیت، مبانی سیستم‌های مدیریت کیفیت، اصول 2 تا 20. حفاظت 6. سازمان همکاری اقتصادی و توسعه، 2021، دستورالعمل های OECD در مورد حاکمیت شرکتی و شیوه های انطباق