コンプライアンス規制の変化に企業が対応できる方法

金融や医療などの規制の厳しい業界の企業は、地方自治体や州政府と緊密に連携する企業と同様に、絶えず変化するコンプライアンス規制に直面しています。 新しいポリシーとルールは、組織の多くのレベルで調整する必要があり、「倫理とコンプライアンスの専門家」の役割は、人事（HR）マネージャーと情報技術（IT）部門に委ねられることがよくあります。 これらの専門家は、インフラストラクチャ管理やネットワークセキュリティなどの責任を負うことがよくあります。これには、リモートの従業員がアクセスした場合に仮想プライベートネットワーク（VPN）を使用して企業の機密データを保護することが含まれます。 人事およびITの専門家は、これらのシステムを維持しながら、ビジネスがデータ、プライバシー、およびその他の規制に準拠していることを確認する必要があります。

しかし、企業はどのようにしてコンプライアンスを維持できますか？ NAVEX Globalの調査によると、答えはより良い自動化されたポリシー管理ソフトウェアを使用することである可能性があります。 同社の2016 Ethics&Compliance Third-Party Policy Management Benchmark Reportは、幅広い業界にわたって世界中で1, 075人の回答者（米国では75％）を調査しました。 これらの業界には、医療、製造、銀行業、非営利団体への金融、保険、エネルギーおよびユーティリティ、政府および行政、テクノロジー企業が含まれます。 このレポートでは、倫理とコンプライアンスを担当する上級管理職とマネージャーを対象に、ポリシー管理に関する現在の課題、および組織のプロセスを改善できる戦略とソリューションについて調査しました。 （2018年の同じ名前のレポートはこちらをご覧ください。）

NAVEX Globalのアドバイザリーサービス担当副社長であるRandy Stephens（および2016年のレポートの共著者）に、研究からの重要なポイントと、テクノロジーと組織の両方の観点から企業が積極的なコンプライアンスに取り組む方法について話を聞きました。

「私たちが発見したのは、一般に、これは驚くことではありませんでした。多くの人々はコンプライアンスに関してポリシー管理プログラムに不満を抱いています。満足している人でさえ、常に改善の余地があります」 。 「ポリシー管理の予算と責任の両方をビジネスユニットの大規模なグループに分散させることができ、組織内の分散した責任が効率の欠如に寄与する可能性があることがわかりました。」

レポートの内訳

NAVEX Globalの調査サンプルは、小規模（25パーセント）、中規模（31パーセント）、およびエンタープライズ（43パーセント）の企業の回答者にまたがり、収益は5, 000万ドル未満から10億ドル以上、政府および非営利組織に及んでいます。 最も一般的なタイプの回答者は、倫理とコンプライアンスの専門家でしたが、調査には、ビジネスアナリスト、HR、IT、内部監査、法務、リスク管理、組織内のコンプライアンスを管理するセキュリティプロフェッショナルなどの回答者も含まれていました。

以下は、レポートからの重要なポイントです。 回答者は複数の回答を選択できます。

• 組織のほぼ半数（47％）が、ポリシー管理の最大の課題は、新しい変化する規制に合わせてポリシーを最新の状態に保つことであると述べています。
• その他の主要なポリシー管理の課題には、ポリシーに関する従業員のトレーニング（40パーセント）、ポリシーの冗長性と不正確性（32パーセント）、法令遵守に特に関連する要求（31パーセント）、現在のポリシーと手順への容易なアクセス（28パーセント）、およびドキュメント管理が含まれます（DM）（23パーセント）。
• 組織の50％以上が7つ以上の部門を持ち、ポリシー管理と予算編成プロセスをある程度所有しています。また、50％近くが、ポリシー管理のための資金がないか、会社全体の予算の一部であると答えています。
• 回答者の57％がオンライントレーニングを使用してポリシーを理解し、続いて55％が対面トレーニングを使用しています。
• レポートでは、自動化されたソフトウェアにより、ポリシー管理の実行が全体で16％改善され、特にポリシーの品質、通信、ワークフロー、およびアクセスの効率が向上するという効果がありました。

NAVEX Globalは、コンプライアンスおよびポリシー管理ソフトウェア、サービス、コンサルティングを提供します。 スティーブンスは、同社が自動化ソフトウェアの使用に既得権益を有していることを認めたが、報告書はベンダーに依存しないことを強調した。

「最大の課題の1つは、変化する法律や規制に対応することです」とStephens氏は述べています。 「それは人々が本当に苦労した分野の1つです。自動化されたプロセスが作用する方法は、効果的なプログラムのポリシーが定期的に見直されることです-更新、翻訳、バージョン管理、人々が最新のものにアクセスできるようにするために必要なすべて最終的に、レポートで最も明白だったのは、ソフトウェア主導の戦略である自動化されたポリシー管理プロセスを持つ人々が、プログラムが最も効果的であると認識した人たちであったということです。 」

ビジネスが実行できる5つのポリシー管理手順

ポリシー管理ソフトウェアは、業界によって大きく異なる場合があります。 Accountableなどのオンライン健康保険コンプライアンストレーニングソフトウェアから、Microsoft SharePoint Onlineなどの既存のコラボレーションおよびDMソフトウェア向けの特別なソリューションまで、ソリューションはあらゆる形とサイズで提供され、既存のシステムとの統合の深さによって異なります。

しかし、コンプライアンスとポリシーを管理するためにビジネスで使用しているシステムに関係なく、Stephensは、組織内の全員が最新の状態を維持しながら、ポリシー管理と説明責任を改善するために実行できるいくつかの重要な組織手順があると述べました。 以下は彼の5つの推奨事項です。

1.専用のポリシー所有者

ステファンズは、コンプライアンスの失敗は、ポリシーが制定されてから数ヶ月または数年の間、誰もポリシーをチェックしていないことに起因することが多いと述べました。 従業員がポリシーに違反しているが、コンプライアンス担当者が違反したポリシーに指を当てることさえできない場合、企業は説明責任や懲戒処分に関してトラブルに直面する可能性があります。

「ポリシーには所有者が必要です」とStephensは言いました。 「入力を行う複数の当事者が存在する場合がありますが、誰かがそのポリシーを所有し、法律、規制、および企業慣行の変更を反映していることを確認する必要があります。

2.簡単なアクセスと可用性

スティーブンスは、人事やITのポリシーから安全衛生のポリシーに至るまで、組織全体にポリシーが分散していることが多いと述べました。 そのため、企業は、ポリシー管理ソフトウェア、企業イントラネットまたはHRポータル、またはDMプラットフォームを介して、ポリシーが容易に利用可能であることを確認する必要があります。

「従業員が質問をするとき、彼らは方針を見ることができる必要があります。もし彼らがそれを見つけられないなら、彼らは訓練されることができません」とスティーブンスは言いました。 「これらのポリシーは一元管理されているため、自動化ソリューションが勝者となります。SharePointサイトとイントラネットサイトは機能しますが、多くの場合、集中管理はまだできていません。そのポリシーはすぐに利用でき、大部分のユーザーが理解できるものであり、コンプライアンスを順守することはできません。」

3.部門間のコミュニケーション

企業または大規模組織内の部門間で責任とポリシー管理を委任するには、すべての同期を維持するためにオープンなコミュニケーションが必要です。 スティーブンズは、何らかのポリシー委員会であろうと定期的なレビューであろうと、企業は組織全体で協力し、懲戒処分などの共通点に同意するコンプライアンス担当者を必要とすると述べた。

「法務部門が規制の観点からポリシーを検討する必要があること、そして開発グループまたは人事チームがポリシーを検討して読みやすく理解しやすいものにすることを考えてください」とStephens氏は言います。 「責任者を確保し、ポリシーが更新され、すべての人が利用できるようにするために、定期的にこれらの人々を集めます。」

4.オンライントレーニング

スティーブンス氏は、この調査の主なポイントの1つは、オンライントレーニングがポリシー変更の更新を配信し、組織全体の認識を確保するための最も効果的な方法であるということです。 PCMagは、このタイプのトレーニング情報をEditors 'Choice Doceboを含む従業員に提供できる優れたオンライン学習プラットフォームと学習管理システム（LMS）を多数レビューしました。

「ポリシーとトレーニングをシームレスに結び付けることです」とStephensは言いました。 「自動システムでこれを行うと、ポリシーの電子メールを見た人や、新規または更新されたポリシーのトレーニング、読んだ人、承認した人、認証を完了した人を簡単に追跡できます。」

5.自動化とインシデント管理

Stephensは、自動化されたソフトウェアが、ポリシーの作成、更新、レビュー、および投稿のプロセスを制御する最も簡単な方法であると説明しました。 また、バージョン管理も重要であり、企業がポリシーをレビューまたは更新したユーザーと、最新バージョンを扱っているかどうかを追跡できます。 その点で、スティーブンスは、ポリシーへのアクセスを制限し、ポリシーの更新をインシデント管理と結び付けて、より積極的なコンプライアンスを実現することが重要だと述べました。

「特に、多国籍組織のさまざまな部門や複数の国でポリシーを扱う場合、このアクセスと可視性により、ポリシーが本当に英国の従業員に適用されるようになります」とStephensは説明しました。 「そして、どの変更が行われ、誰がそれをレビューしたかを確認するためのバージョン管理があり、旅行ポリシーに変更を加えたことを知らせるためにユーザーに更新を迅速に送信します。」

「その後、ユーザーと共有したものを管理し、トレーニングしたものを監視している間に、インシデント管理レポートにリンクすることもできます」と彼は付け加えました。 「ユーザーが質問や問題を抱えている場合、問題を提起し、それを自動的にレポートに変換して、取り扱っているポリシーへのコンプライアンスの効率を高めることができます。人々が順守することは期待できません期待が何であるかわからない場合のポリシー。」