Being Compliant Is Not Enough: You Must Also Prove It

La autora advierte que muchas organizaciones cumplen en la práctica, pero no pueden demostrarlo cuando un regulador, un banco o un auditor lo exige, y que el control no documentado se trata como inexistente. Explica que la propia normativa ha desplazado la carga de la prueba, con ejemplos del RGPD, la Bribery Act británica, el Reglamento de sanciones de la UE y la Directiva 2024/1226. Enumera qué debe quedar registrado (evaluación de riesgos, verificaciones de terceros, decisiones dudosas, formación, pruebas y supervisión del consejo) y concluye que la evidencia es un activo que protege a la empresa y a sus directivos.