Ako znížiť riziká pri podpisovaní a audite firemných dokumentov

Vedenie potrebuje doložiť priebeh obchodného prípadu. Zmluva je k dispozícii, no dodatok sa nachádza u kolegu na pobočke. Interné schválenie prebehlo e-mailom a dokument sa pred podpisom ešte upravoval. Bez ďalšieho preverovania nie je jasné, či sa rozhodnutie vzťahovalo na finálny obsah.

Firma možno všetky informácie nakoniec nájde. Kým sa to podarí, venujú prípadu čas právnici, obchod aj administratíva. Rovnaká situácia pritom môže vzniknúť pri externom audite, reklamácii, spore alebo internej kontrole.

Riziko pri podpisovaní a audite znižuje proces, ktorý prepája

• konkrétnu verziu dokumentu,
• príslušné schválenia,
• podpisové podklady
• a históriu dôležitých udalostí.

Samotné elektronické uloženie súboru tieto väzby nezabezpečuje. Pre väčšiu firmu je preto podstatné, či dokáže priebeh prípadu vysvetliť aj s odstupom času a po zmene tímu. Bez závislosti od človeka, ktorý si ešte pamätá, ako sa ktorý dokument vybavoval.

Riziko vzniká už počas každodennej práce

Na problém s dohľadateľnosťou sa často príde až vtedy, keď treba predložiť podklad alebo vysvetlenie. Jeho príčinou však bývajú bežné pracovné postupy:

• nejasné označenie verzií,
• odosielanie príloh mimo dohodnutého toku
• alebo schválenie, ktoré sa nedá jednoznačne priradiť k dokumentu.

Pri menšom počte prípadov sa súvislosti dajú doplniť osobnou komunikáciou. Pri stovkách zmlúv, viacerých pobočkách a zapojení externých strán rastie náročnosť takéhoto postupu. Odchod zamestnanca alebo reorganizácia môže dohľadanie starších rozhodnutí ešte skomplikovať.

Firma preto potrebuje rozlišovať medzi uloženým dokumentom a doložiteľným priebehom jeho spracovania. Vyhľadanie súboru nemusí odpovedať na otázku, kto rozhodol, aký obsah posudzoval a čo nasledovalo.

Význam dostupných stavov a zodpovedností rozoberá článok o prehľade nad dokumentovými procesmi. Pri kontrole sa tento pohľad rozširuje o históriu, ktorá umožňuje vysvetliť predchádzajúce kroky.

Elektronické podpisovanie potrebuje pravidlá podľa typu dokumentu

Neistota okolo právnych účinkov podpisu môže odkladať digitalizáciu celej agendy. Firma si nie je istá, ktoré dokumenty môže podpisovať elektronicky a aký spôsob je vhodný. Časť zostáva na papieri, zatiaľ čo jednotlivé pobočky zavádzajú vlastné postupy.

Podľa článku 25 nariadenia eIDAS má kvalifikovaný elektronický podpis právny účinok rovnocenný vlastnoručnému podpisu. Elektronickému podpisu zároveň nemožno odoprieť právny účinok a prípustnosť ako dôkazu v súdnom konaní iba preto, že je elektronický alebo nespĺňa požiadavky na kvalifikovaný podpis.

To však neznamená, že každý spôsob elektronického potvrdenia vyhovuje každému dokumentu. Treba posúdiť požadovanú formu právneho úkonu, identifikáciu podpisujúceho, jeho oprávnenie konať aj spojenie podpisu s konkrétnym obsahom. Samotné označenie „podpis cez SMS“ právnu úroveň riešenia neurčuje.

Praktickým krokom pre manažment je dohodnúť s právnym tímom, IT a osobami zodpovednými za danú agendu pravidlá pre hlavné skupiny dokumentov. Pri zákazníckych zmluvách, personálnych dokumentoch a servisných protokoloch môžu byť požiadavky rozdielne. Spoločné pravidlá zároveň znižujú počet prípadov, pri ktorých musí organizácia opakovane riešiť tú istú otázku od začiatku.

Čo má firma vedieť pri kontrole doložiť

Rozsah potrebných podkladov závisí od typu dokumentu, procesu a príslušných požiadaviek. Na úvodné posúdenie však pomôže niekoľko základných otázok.

Ak odpovede vyžadujú kontaktovanie niekoľkých ľudí a prehľadávanie ich schránok, firma má priestor na zlepšenie procesu. Auditná stopa, označovaná aj ako audit trail, zaznamenáva vybrané udalosti pri práci s dokumentom.

Pre jej použiteľnosť je dôležité, aby bolo jasné, ku ktorému prípadu a verzii sa záznamy vzťahujú, kto k nim môže pristupovať a ako sú chránené pred neoprávnenými zmenami. Bežný aplikačný záznam s dátumom pritom nie je automaticky kvalifikovanou elektronickou časovou pečiatkou. Konkrétne mechanizmy treba vybrať podľa požiadaviek procesu.

Slabé miesto sa často ukáže pri zmene dokumentu

Štandardný priebeh môže byť dobre zvládnutý. Dokument sa pripraví, schváli a podpíše. Nejasnosti vzniknú až vtedy, keď zákazník požiada o zmenu alebo časť podkladov pribudne dodatočne.

Napríklad v prípade zmluvy, ktorú obchod po internom schválení upraví, zmení sa platobná podmienka a nové znenie sa odošle zákazníkovi na podpis. Pôvodné schválenie však zostane pripojené k staršej verzii. Pri neskoršej kontrole firma nájde podpis aj súhlas manažéra. Stále však musí preveriť, či manažér odsúhlasil podmienky, ktoré zákazník skutočne podpísal. Riadený postup má preto určiť, ako sa podobná situácia vyrieši.

Cieľom je, aby firma vedela významné výnimky rozpoznať, prideliť zodpovednej osobe a doložiť spôsob ich vyriešenia. Tieto pravidlá majú byť súčasťou bežnej práce, nie dodatočného pátrania pred auditom.

Dohľadateľnosť musí fungovať aj po organizačnej zmene

Dokumenty môžu zostať potrebné dlho po tom, čo sa pôvodný tím zmení. Zodpovednosť za agendu preto nemá byť naviazaná iba na osobnú emailovú schránku alebo znalosť jedného zamestnanca.

Firma potrebuje mať jasno v prístupových právach, pravidlách uchovávania aj v tom, ako získa podklady pri zmene systému alebo dodávateľa. Relevantné informácie majú zostať čitateľné a použiteľné počas požadovanej doby.

V personálnych procesoch sa napríklad pracuje s údajmi, ku ktorým nemajú mať prístup všetci zamestnanci. Pri klientskych agendách treba obsah spojiť so správnou osobou a obchodným prípadom. Dohľadateľnosť a ochranu údajov treba navrhovať spoločne.

Európska komisia pri zásadách GDPR pripomína obmedzenie uchovávania osobných údajov na potrebné obdobie so zohľadnením účelu a zákonných povinností. Jednotná lehota pre všetky zmluvy, protokoly a personálne podklady preto nemusí byť primeraná.

Pravidlá uchovávania majú zohľadniť aj situácie, keď je potrebné podklady zachovať pre prebiehajúci spor alebo inú právnu povinnosť. O ich uplatnení má rozhodovať určená zodpovedná osoba.

Pripravenosť na audit sa dá preveriť na vzorke prípadov

Úvodné posúdenie môže začať niekoľkými reprezentatívnymi prípadmi. Vyberte dokončenú zmluvu, dokument vrátený na doplnenie a prípad so zmenou podmienok.

Pri každom sledujte:

• či je dostupná správna verzia dokumentu a príloh,
• či sa schválenia vzťahujú na príslušný obsah,
• či sú dohľadateľné podpisové podklady,
• či možno vysvetliť zmeny a výnimky,
• koľko času a ľudí treba na získanie celého súboru podkladov.

Pre firmu je užitočné merať čas potrebný na doloženie prípadu a podiel prípadov, pri ktorých niečo chýba. Takéto údaje pomáhajú určiť prioritu zmeny aj neskôr vyhodnotiť jej prínos.

Posúďte pripravenosť svojich firemných procesov a riadenia dokumentov

Ak sa pri kontrole opakovane dohľadávajú schválenia, podpisy alebo verzie, začnite agendou, pri ktorej má chýbajúca informácia najväčší obchodný alebo právny dosah.  Odborníci zo SIGNATUS vám pomôžu posúdiť, ako podporiť dohľadateľnosť a kontrolu dokumentov digitálnym workflowom. Požiadavky pritom treba zosúladiť s vaším právnym tímom, IT a vlastníkmi príslušnej agendy.

Často kladené otázky o európskej peňaženke digitálnej identity (EUDI wallet)