我们的观点
THEFOCUS的风险、韧性与治理工作，涵盖能够说明“发生了什么、由谁决定、依据什么数据”的记录与控制：由系统数据驱动的风险登记册、合规项目、业务连续性、供应完整性与可追溯性、数据隐私控制以及第三方风险。我们负责建立并维护证据链。法律解释、审计意见和认证仍由客户的顾问、审计师和获认可机构负责。
风险登记册记录的，通常只是人们记得上报的内容。许多真正造成损失的风险敞口其实早已存在于系统之中：一个安全警告始终未处理的广告账户，一张几个月前就已过期的备用支付卡，一家交货时没有任何质量记录的供应商，一名合同早已结束却仍持有预订平台管理员权限的外包人员。这些问题藏在无人查看的日志和设置里，于是登记册说的是一回事，系统显示的是另一回事。
我们先建立证据链。每项风险都有一名负责人、一个指定系统中的数据来源，以及一项定期运行的检查。价格、预算、合同和系统变更的审批记录在开展工作的工具之内，因此有人索取记录时，记录已经存在，无需再从聊天记录中拼凑。问责由此建立在数据之上：作出决策时数据显示了什么，决策由谁作出。
FuelVeriq是我们的燃油质量与供应完整性产品，将同样的思路应用于燃油供应，目前处于上线前的MVP阶段，并已开放试点咨询。在客户工作中，我们将证据与判断分开。我们负责建立和维护记录，法律解释、审计意见和认证仍由客户的律师、审计师和获认可机构负责。
我们如何帮助客户
企业风险管理
由系统数据驱动的风险登记册，每项风险都有负责人、审查日期和支撑评级的证据，并以董事会能够据此行动的形式进行汇报。
深入了解监管合规项目
通过义务登记册、控制措施和证据工作流程，将顾问提出的要求转化为员工在日常系统中执行的检查。
深入了解业务连续性与运营韧性
对照企业所依赖的系统、供应商、支付方式和登录账号测试连续性计划，并在实际测试中测量恢复时间。
深入了解供应完整性与可追溯性
为供应链上的质量检查、批次、事件和调查建立结构化记录，经得起事后审查。
深入了解数据隐私与保护
在网站、CRM和分析工具中配置同意、数据处理和访问控制，形成供顾问审阅的文档，并衡量其对报表的影响。
深入了解第三方与供应商风险
依据合同、访问日志和绩效数据跟踪供应商、代理机构和服务商风险，在续约前和关系终止时安排审查。
深入了解
业务挑战
01
只存在于某个人记忆中的风险
已知的风险敞口，例如一起从未彻底了结的广告账户安全事件、一张已过期的备用支付卡、一家没有质量记录的供应商，只有个别人记得，从未登记并指定负责人。
02
没有留痕的审批
价格、预算、合同和线上系统的变更在消息和电话中敲定。一旦出现问题，没有人能说明谁批准了什么，依据的是哪些数据。
03
从未演练过的连续性计划
计划在纸面上描述了恢复流程，但备份从未恢复过，备用供应商从未联系过，某个关键平台唯一的管理员账号只掌握在一个人手中。
04
无法举证的供应完整性
燃油、材料或产品的质量问题依靠临时制作的电子表格和手机照片来调查，由此形成的记录既不足以支持向供应商索赔，也无法支撑内部问责流程。
05
与当地规则不符的同意设置
平台默认的同意设置并未覆盖客户所在市场适用的制度，结果是追踪要么在缺乏有效依据的情况下运行，要么被削减而无人知道削减了多少。
06
无人审查的第三方访问权限
代理机构、自由职业者、应用供应商和集成商在工作结束后很长时间内，仍保留对店铺、广告账户和客户数据的访问权限。
我们的方法
盘点风险敞口
我们列出组织已知的运营风险，以及我们在其系统中发现的风险，并为每项风险注明负责人、来源和当前状态。
在工作发生的地方记录决策
审批、变更和调查记录在员工日常工作所用的系统之内，记录随工作推进自然形成，而不必事后补建。
将证据与判断分开
我们负责建立和维护证据。法律解释、监管决定和认证仍由客户的顾问、审计师和相关主管机关负责。
按日程开展审查
控制措施按计划对照既定基线进行检查，风险敞口的任何变化都会报告给指定负责人。
成果评估方式
- 已识别风险中具有指定负责人、系统来源和最新证据的比例
- 重大变更中具有审批记录的比例
- 从事件发生到形成完整调查记录所需的时间
- 在上一周期内完成访问权限审查的第三方比例
- 对照连续性计划测试过的恢复步骤，以及每一步所用的时间
范围边界
- 我们不提供法律意见。我们起草的政策、合同和合规文件均为草稿，需由客户的合格法律顾问审阅。
- THEFOCUS不是监管机构，不代表任何监管机构行事，也不代表客户与监管机构打交道。
- 我们不出具认证、资质认可、合规证明或审计意见，我们的工作既不是法定审计，也不是内部审计。
01
一次务实的沟通
与将要主导这项工作的负责人交流45分钟。我们会了解相关决策、背后的系统以及截止期限。
02
范围明确的诊断
只读权限、固定周期和一份书面结论：记录显示了什么，代价有多大，应当先改什么。
03
可付诸执行的计划
变更内容、负责人、衡量指标和排除事项均以书面列明。随后由同一支团队负责建设和衡量，或进行清晰完整的交接。
- 一支对结果负全责的团队
- 负责诊断的人，同样负责搭建系统并衡量结果。
- 按问题遴选合作伙伴
- 独立专家按需参与相应环节，统一纳入一份合同。
- 先核对记录，再看仪表板
- 任何建议在依赖订单、账簿和日志之前，都要先完成对账。
高管常问的问题
你们是否提供法律或合规方面的签核？
不提供。我们建立记录、工作流程和控制措施，并准备草稿。法律解释和签核由您的合格顾问负责，认证由获认可机构负责。
你们是否开展审计或颁发证书？
不。我们不开展法定审计或内部审计，不出具审计意见，也不认证合规。我们准备由您的审计师和认证机构审查的记录、控制措施和证据。
这类工作适合哪些组织？
适合在供应商、质量、数据或审批方面存在风险敞口、但目前无法举证的企业，以及正在将人工流程迁移到数字系统的机构。我们服务的领域包括燃油与大宗商品供应、建筑、零售与电子商务、食品与生鲜杂货、酒店以及游艇码头。
项目如何启动？
从盘点已知风险和近期事件开始，并获取存放审批和记录的系统的读取权限。首项产出是一份登记册，标明哪些风险敞口有证据支撑，哪些没有。
你们如何与我们的法务、审计和合规团队合作？
由他们设定要求并保留判断权。我们与他们商定每项记录必须包含哪些内容、采用何种形式，然后将其构建到员工已在使用的系统中。
控制措施到位之后会怎样？
登记册和工作流程归您的团队所有。我们可以对照商定的基线开展定期审查，也可以连同内部审计部门可直接使用的文档一并移交。
与我们探讨
请填写以下信息，以便我们将咨询转交给合适的负责人。标注“选填”的字段可以留空。