Definire i dati degli eventi di procurement per una traccia decisionale verificabile

Cosa include un percorso decisionale di approvvigionamento verificabile?

I contratti federali statunitensi offrono un utile riferimento per l'ambito. Le norme del FAR relative ai fascicoli di contratto impongono agli uffici di contrattazione governativa di conservare una documentazione sufficiente a costituire una cronologia completa della transazione, elencando i record dalla richiesta di acquisto e dalle giustificazioni fino alle richieste di offerta, alle offerte, alla selezione della fonte, alle approvazioni di aggiudicazione e alle modifiche. Tali norme regolano i fascicoli interni degli uffici federali piuttosto che gli acquisti di un'azienda, quindi considera l'elenco come un controllo di copertura per la tua progettazione.

Pensa al percorso come agli eventi che modificano lo stato di un acquisto, più le prove su cui ciascuno si è basato: una richiesta approvata, un elenco di fornitori fissato, offerte ricevute, una valutazione firmata, un'assegnazione approvata, un contratto modificato, merci ricevute e una fattura pagata. Ogni momento ha un attore, un orario e un documento, e un revisore dovrebbe essere in grado di muoversi tra di essi senza chiedere a tre team di cercare nelle loro caselle di posta.

Quali campi dovrebbe registrare ogni evento di approvvigionamento?

Un articolo sui metodi di process mining fornisce un minimo compatto. Chiu, Brown-Liburd e Vasarhelyi descrivono un registro degli eventi che contiene l'istanza di processo, l'attività, la risorsa che l'ha eseguita e una marca temporale. I loro percorsi illustrativi da acquisto a pagamento (procure-to-pay), come ordine di acquisto, firma, entrata merce, ricezione fattura, svincolo e pagamento, separano le sequenze standard da quelle non standard, il che dipende dal fatto che ciascun evento contenga la propria istanza di processo, attività e marca temporale, mentre il campo delle risorse supporta altri test come la separazione delle mansioni.

Gli eventi di procurement richiedono qualche campo in più rispetto a un log di sistema generico, poiché un revisore degli acquisti richiede anche informazioni su autorità e fondamento. Aggiungere il sistema di registrazione e il suo numero di record nativo, la regola di approvazione applicata, l'importo e la valuta quando l'evento modifica un impegno e un link alla versione archiviata del documento di supporto. Registrare l'attore come persona nominata o account di servizio, oltre al ruolo e alla delega in vigore quel giorno, in modo che i test sulla separazione dei compiti possano individuare un richiedente che approva la propria richiesta.

Se i dati alimenteranno strumenti di process mining o di analisi di audit, un formato di interscambio pubblicato può risparmiarvi un progetto di traduzione in seguito. Lo standard XES IEEE 1849-2023 definisce un formato XML per lo scambio di log di eventi tra i sistemi che li generano e gli strumenti che li analizzano, e il suo ambito include i sistemi di procurement tra tali origini. Mappare il proprio schema su di esso garantisce che il significato di ciascun campo rimanga chiaro durante il trasferimento dei dati, sebbene la completezza dipenda comunque da ciò che ciascun sistema registra.

In che modo i dati dovrebbero collegarsi tra i sistemi di richiesta, sourcing, contratto ed ERP?

Un percorso può attraversare diversi sistemi: la richiesta in uno strumento di intake, le offerte in una piattaforma di e-sourcing, l'accordo nella gestione contrattuale e l'impegno e il pagamento nell'ERP. Il manuale dell'Open Contracting Data Standard gestisce un problema simile per gli appalti pubblici con un unico identificativo per ciascun processo di contrattazione. Ogni modifica viene pubblicata come una versione (release) che non può essere modificata una volta pubblicata, e un registro indicizza tali versioni e può includere una versione compilata contenente l'ultimo valore di ciascun campo.

Lo stesso schema funziona all'interno di un'azienda. Assegna un identificativo del caso al momento dell'inserimento, riportalo nell'evento di approvvigionamento, nel contratto, nell'ordine di acquisto e nella fattura, e memorizza un riferimento incrociato ogni volta che un sistema emette il proprio numero; per gli accordi quadro, fai in modo che il contratto sia l'elemento centrale a cui fanno riferimento gli ordini di prelievo, le ricevute e le fatture. Mantieni la cronologia di sola aggiunta (append-only) e costruisci la vista corrente a partire da essa, in modo che il nome di un fornitore o un prezzo corretto compaia come un nuovo evento con la relativa motivazione, mentre il valore precedente rimanga leggibile.

Quali eventi di approvvigionamento richiedono i controlli più rigorosi?

Le eccezioni richiedono i controlli più rigorosi perché il percorso standard integra già la propria documentazione, mentre un'eccezione deve generare un proprio record. Un audit del 2016 della Contea di Cook sugli acquisti da fornitore unico e di emergenza illustra il divario: è emerso che i reparti di origine non fornivano costantemente una giustificazione sufficiente per gli acquisti da fornitore unico. È emerso inoltre che il modulo per gli acquisti d'emergenza non prevedeva alcun obbligo di motivare la mancata richiesta di tre preventivi.

Registra ogni eccezione come un proprio tipo di evento: una giustificazione per fornitore unico o offerta singola, una concorrenza o un requisito di preventivo a cui si è rinunciato, un'altra fase di policy a cui si è rinunciato o una modifica manuale del prezzo o della quantità dopo l'aggiudicazione. Ognuna dovrebbe riportare la regola da cui si discosta, il motivo scritto, l'approvatore e la relativa autorità, e quando è avvenuta l'approvazione rispetto all'impegno. Tratta i limiti di delega di autorità come non derogabili nel registro, in modo che un'approvazione superiore al limite di qualcuno venga registrata come un'escalation o come un impegno non autorizzato con la relativa ratifica e una registrazione della violazione.

I registri di valutazione meritano lo stesso trattamento. In un audit interno del 2024 sugli acquisti locali nel Sudan del Sud, i revisori delle Nazioni Unite hanno riscontrato che le valutazioni tecniche e finanziarie hanno seguito i criteri di gara in 16 dei 30 casi campionati, mentre per i restanti 14 mancava una documentazione adeguata che consentisse ai revisori di valutarle. Lo stesso audit ha rilevato che in seguito il comitato di apertura delle offerte ha registrato l'orario di ricevimento di ogni offerta presentata, ovvero il tipo di evento con marcatura temporale da cui può iniziare un percorso di valutazione.

Per quanto tempo devono essere conservati i registri degli eventi di procurement?

La conservazione dipende dalla giurisdizione e dal tipo di record, quindi va definita insieme ai reparti legale e finanziario anziché scegliere un unico numero per tutto. Per i contratti federali statunitensi, la tabella di conservazione della FAR mostra i contratti e i relativi record, incluse le proposte andate a buon fine e non, conservati per 6 anni dopo il pagamento finale. La stessa sottosezione richiede procedure di trasferimento, archiviazione e recupero dei dati che proteggano i dati originali da alterazioni.

Le norme fiscali raggiungono gli stessi registri da un'altra prospettiva. La Revenue Procedure 98-25 dell'Internal Revenue Service richiede ai contribuenti che rientrano nel suo ambito di applicazione di conservare registri leggibili a macchina fintanto che il loro contenuto può diventare rilevante ai fini dell'amministrazione fiscale. Richiede inoltre di documentare i processi aziendali che creano e modificano tali registri e di stabilire piste di controllo (audit trail) tra i registri conservati, i libri contabili e la dichiarazione dei redditi, pertanto è necessario mantenere lo schema degli eventi e la relativa cronologia delle modifiche insieme ai dati.

Per quanto riguarda i registri stessi, la bozza di revisione dello standard NIST SP 800-92 definisce la gestione dei log come la generazione, trasmissione, conservazione, accesso ed eliminazione dei dati di log, ed elenca la conservazione dei registri per il periodo richiesto tra le finalità. È scritto per i log di sicurezza informatica, quindi va utilizzato per la disciplina di conservazione, accesso ed eliminazione piuttosto che per decidere quali eventi di procurement siano importanti.

In che modo i team possono testare la traccia prima di un audit?

Eseguite i test che eseguirebbe un revisore. Mettete in sequenza gli eventi per ciascun caso e cercate percorsi che violano le vostre regole, come una firma registrata dopo la ricezione della merce. Nell'esempio di Chiu e colleghi, tale percorso è considerato non standard e gli stessi autori avvertono che un registro degli eventi incompleto produce informazioni che i revisori non possono utilizzare. Cercate poi le eccezioni non dichiarate da nessuno, come ordini superiori alla soglia di concorrenza privi di un evento di sourcing o fatture datate prima dei relativi ordini, e verificate che ogni eccezione dichiarata abbia la sua motivazione e il relativo approvatore.

La qualità dei singoli campi richiede un controllo specifico, anche nei sistemi obbligatori. Nella sua revisione del 2025 dei dati sugli acquisti federali, GAO ha riscontrato che 36 delle 70 agenzie che trasmettono dati al Federal Procurement Data System per l'anno fiscale 2023 hanno confermato il completamento di un rapporto sulla qualità dei dati, mentre le restanti rappresentavano circa lo 0.26 per cento delle obbligazioni contrattuali. È inoltre emerso che due agenzie non avevano documentato piani di azione correttiva per gli elementi di dati con tassi di accuratezza ripetutamente bassi. Campiona i campi chiave in ogni periodo e assegna a un responsabile il compito di individuare la causa degli errori ripetuti.

Cosa dovrebbe contenere un registro degli eventi di approvvigionamento?

Utilizzate il registro sottostante per concordare, sistema per sistema, quali eventi esistono, cosa ciascuno deve includere e chi è responsabile di un campo mancante. Iniziate con una categoria e un evento di sourcing recente, tracciatelo dalla richiesta al pagamento e contrassegnate ogni punto in cui avete dovuto chiedere a una persona invece di leggere un record. Se i vostri eventi di sourcing già seguono un flusso di lavoro strutturato RFQ, le sue fasi si mappano sulle righe di sourcing.

I record dei fornitori necessitano di due percorsi separati. Quando un nuovo fornitore supera una valutazione del rischio del fornitore a livelli, registrare la versione della valutazione, il risultato e il revisore come eventi su quel fornitore. Trattare qualsiasi modifica dei dettagli bancari come un evento di dati anagrafici ad alto rischio per tutti i fornitori, indipendentemente dal livello, registrando chi l'ha richiesta, come è stata confermata tramite un contatto già presente in archivio, chi l'ha verificata e approvata e quando, in modo che una revisione dei pagamenti possa verificare cosa è stato controllato prima del trasferimento di fondi.

In che modo gli agenti AI modificano il percorso decisionale degli acquisti?