Rischi, resilienza e governance
Costruiamo le registrazioni che mostrano che cosa è accaduto, chi lo ha approvato e che cosa dicevano i dati in quel momento, così un rischio diventa visibile prima di trasformarsi in un incidente.
Il nostro punto di vista
Il lavoro di THEFOCUS su rischi, resilienza e governance riguarda le registrazioni e i controlli che mostrano che cosa è accaduto, chi ha deciso e su quali dati: registri dei rischi alimentati dai dati di sistema, programmi di compliance, business continuity, integrità della filiera e tracciabilità, controlli sulla privacy dei dati e rischio di terze parti. Costruiamo e manteniamo la traccia documentale. Interpretazione giuridica, giudizi di revisione e certificazioni restano in capo ai consulenti, ai revisori e agli organismi accreditati del cliente.
Un registro dei rischi di solito riporta ciò che le persone si ricordano di segnalare. Molte delle esposizioni che causano danni reali sono già presenti nei sistemi: un account pubblicitario con un avviso di sicurezza mai risolto, una carta di pagamento di riserva scaduta da mesi, un fornitore che consegna senza alcuna registrazione di qualità, un ex collaboratore che ha ancora accesso da amministratore alla piattaforma di prenotazione. Si trovano in log e impostazioni che nessuno esamina, così il registro dice una cosa e i sistemi un'altra.
Partiamo dalla traccia documentale. A ogni rischio vengono assegnati un responsabile, una fonte in un sistema specifico e un controllo che viene eseguito a cadenza prestabilita. Le approvazioni di prezzi, budget, contratti e modifiche ai sistemi vengono registrate negli strumenti in cui si svolge il lavoro, così la registrazione esiste già quando qualcuno la richiede e nessuno deve ricostruirla dalle conversazioni. La responsabilità si fonda allora sui dati: che cosa mostravano i numeri quando la decisione è stata presa, e chi l'ha presa.
FuelVeriq, il nostro prodotto per la qualità dei carburanti e l'integrità della filiera, applica lo stesso approccio all'approvvigionamento di carburante ed è in fase di MVP pre-lancio, con le richieste di adesione al programma pilota aperte. Nel lavoro per i clienti teniamo separate prove e valutazioni. Costruiamo e manteniamo le registrazioni, mentre interpretazione giuridica, giudizi di revisione e certificazioni restano in capo ai legali, ai revisori e agli organismi accreditati del cliente.
Come aiutiamo i clienti
Gestione integrata dei rischi (ERM)
Registri dei rischi alimentati dai dati di sistema, con un responsabile, una data di revisione e prove a supporto di ogni valutazione, presentati al consiglio di amministrazione in una forma su cui può agire.
ScopriProgrammi di compliance normativa
Registri degli obblighi, controlli e flussi di raccolta delle prove che trasformano i requisiti fissati dai Suoi consulenti in verifiche che il personale esegue nei sistemi di tutti i giorni.
ScopriBusiness continuity e resilienza operativa
Piani di continuità testati sui sistemi, i fornitori, i metodi di pagamento e gli accessi da cui dipende l'azienda, con tempi di ripristino misurati in test reali.
ScopriIntegrità della filiera e tracciabilità
Registrazioni strutturate di controlli qualità, lotti, incidenti e indagini lungo la filiera, progettate per reggere a una verifica successiva.
ScopriPrivacy e protezione dei dati
Controlli su consenso, trattamento dei dati e accessi configurati in siti web, CRM e strumenti di analisi, documentati per i Suoi consulenti e misurati nel loro effetto sul reporting.
ScopriRischio di terze parti e fornitori
Rischio legato a fornitori, agenzie e vendor monitorato a partire da contratti, log degli accessi e dati di performance, con revisioni programmate prima dei rinnovi e alla cessazione del rapporto.
Scopri
Sfide di business
01
Rischi affidati alla memoria di una sola persona
Esposizioni note, come un incidente di sicurezza su un account pubblicitario mai del tutto chiuso, una carta di pagamento di riserva scaduta o un fornitore privo di registrazioni di qualità, sono ricordate da singole persone e non vengono mai registrate con un responsabile.
02
Approvazioni senza traccia
Le modifiche a prezzi, budget, contratti e sistemi in produzione vengono concordate tramite messaggi e telefonate. Quando qualcosa va storto, nessuno è in grado di dimostrare chi ha approvato che cosa, né sulla base di quali numeri.
03
Piani di continuità mai messi alla prova
Il piano descrive il ripristino sulla carta, ma i backup non sono mai stati ripristinati, il fornitore alternativo non è mai stato contattato e l'unico accesso da amministratore a una piattaforma critica appartiene a una sola persona.
04
Integrità della filiera non dimostrabile
I problemi di qualità di carburanti, materiali o prodotti vengono analizzati con fogli di calcolo improvvisati e foto scattate con il telefono, e la documentazione che ne risulta non regge né una contestazione verso un fornitore né un processo interno di accertamento delle responsabilità.
05
Impostazioni del consenso non conformi alle regole locali
Le impostazioni predefinite del consenso della piattaforma non coprono la disciplina applicabile nel mercato del cliente, così il tracciamento o funziona senza una base valida o viene ridotto senza che nessuno sappia di quanto.
06
Terze parti con accessi che nessuno verifica
Agenzie, freelance, fornitori di app e integratori mantengono l'accesso a negozi online, account pubblicitari e dati dei clienti molto tempo dopo la fine del loro lavoro.
Il nostro approccio
Censire le esposizioni
Elenchiamo i rischi operativi già noti all'organizzazione e quelli che individuiamo nei suoi sistemi, ciascuno con un responsabile, una fonte e lo stato attuale.
Registrare le decisioni dove si svolge il lavoro
Approvazioni, modifiche e indagini vengono registrate nei sistemi che il personale usa per il lavoro stesso, così la documentazione si forma mentre il lavoro viene svolto anziché essere ricostruita a posteriori.
Tenere separate prove e valutazioni
Costruiamo e manteniamo le prove. Interpretazione giuridica, decisioni regolamentari e certificazioni restano in capo ai consulenti e ai revisori del cliente e alle autorità competenti.
Verifiche a calendario
I controlli vengono verificati a cadenza prestabilita rispetto a situazioni di partenza dichiarate, e ogni variazione dell'esposizione viene comunicata al responsabile designato.
Settori di riferimento
- Petrolio, gas e distribuzione di carburanti
- Materie prime, trading e approvvigionamento
- Edilizia, materiali da costruzione e home improvement
- Retail ed e-commerce
- Alimentare e bevande
- Hotel e resort
- Porti turistici e nautica da diporto
- Trasporti e logistica
- Settore pubblico e istituzioni
- Tecnologia e software
Soluzioni collegate
- FuelVeriq Fase pilota
Come si valutano i risultati
- Quota dei rischi identificati con un responsabile designato, una fonte di sistema e prove aggiornate
- Quota delle modifiche rilevanti accompagnate da un'approvazione registrata
- Tempo che intercorre tra un incidente e una documentazione d'indagine completa
- Quota delle terze parti i cui accessi sono stati verificati nell'ultimo ciclo
- Fasi di ripristino testate rispetto al piano di continuità e tempo richiesto da ciascuna
Limiti del perimetro
- Non forniamo consulenza legale. Le policy, i contratti e i documenti di compliance che prepariamo sono bozze da sottoporre ai consulenti legali qualificati del cliente.
- THEFOCUS non è un'autorità di vigilanza, non agisce per conto di un'autorità né intrattiene rapporti con essa per conto di un cliente.
- Non rilasciamo certificazioni, accreditamenti, attestazioni di conformità né giudizi di revisione, e il nostro lavoro non costituisce né una revisione legale né un audit interno.
Come inizia un incarico con THEFOCUS
Il primo colloquio riguarda la Sua situazione. Se ci sono le condizioni, proponiamo una diagnosi a perimetro definito con un deliverable stabilito, prima di qualsiasi impegno più ampio.
Parliamone01
Un colloquio operativo
Quarantacinque minuti con la persona che guiderebbe il lavoro. Le chiediamo della decisione, dei sistemi su cui poggia e della scadenza.
02
Una diagnosi a perimetro definito
Accesso in sola lettura, tempi stabiliti e conclusioni per iscritto: che cosa mostrano i dati, quanto costa il problema e che cosa cambiare per primo.
03
Un piano su cui agire
Interventi, responsabili, indicatori ed esclusioni messi per iscritto. Lo stesso team poi realizza e misura, oppure passa le consegne in modo ordinato.
- Un unico team responsabile
- Chi fa la diagnosi costruisce anche i sistemi e misura il risultato.
- Partner scelti in base al problema
- Specialisti indipendenti intervengono sulle parti che lo richiedono, con un unico contratto.
- Prima i dati, poi le dashboard
- Ordini, registrazioni contabili e log vengono riconciliati prima che qualsiasi raccomandazione si basi su di essi.
Le domande dei dirigenti
Fornite un'approvazione legale o di conformità?
No. Costruiamo registrazioni, flussi di lavoro e controlli, e prepariamo bozze. L'interpretazione giuridica e l'approvazione finale restano in capo ai Suoi consulenti qualificati, la certificazione agli organismi accreditati.
Svolgete audit o rilasciate certificati?
No. Non svolgiamo revisioni legali né audit interni, non emettiamo giudizi di revisione e non certifichiamo la conformità. Prepariamo le registrazioni, i controlli e le prove che i Suoi revisori e gli organismi di certificazione esaminano.
A quali organizzazioni si rivolge questo lavoro?
Alle imprese con esposizioni su fornitori, qualità, dati o approvazioni che oggi non sono in grado di documentare, e alle istituzioni che stanno portando processi manuali su sistemi digitali. Lavoriamo nella fornitura di carburanti e materie prime, nell'edilizia, nel retail e nell'e-commerce, nell'alimentare e nella distribuzione alimentare, negli hotel e nei porti turistici.
Come inizia un incarico?
Con un censimento dei rischi noti e degli incidenti recenti, e con l'accesso in lettura ai sistemi in cui si trovano approvazioni e registrazioni. Il primo risultato è un registro che mostra quali esposizioni sono supportate da prove e quali no.
Come lavorate con i nostri team legale, audit e compliance?
Sono loro a fissare i requisiti e a mantenere la valutazione. Concordiamo con loro che cosa deve contenere ogni registrazione e in quale forma, poi la integriamo nei sistemi che il Suo personale già utilizza.
Che cosa succede una volta attivati i controlli?
Registri e flussi di lavoro passano al Suo team. Possiamo svolgere verifiche periodiche rispetto alle situazioni di partenza concordate, oppure effettuare il passaggio di consegne con una documentazione utilizzabile dalla Sua funzione di internal audit.
Parliamone
Alcune informazioni ci aiutano a indirizzare la richiesta al partner più adatto. I campi indicati come facoltativi possono essere lasciati vuoti.