Indsaml dokumentation til interne audits og certificeringsaudits

Interne audits og certificeringsaudits

En intern audit er en audit, du gennemfører på dig selv for at kontrollere, at det, der sker i praksis, svarer til det, dine procedurer siger. En certificeringsaudit gennemføres af et eksternt certificeringsorgan efter en standard, typisk en standard for ledelsessystemer som ISO 9001 (kvalitet), ISO 14001 (miljø) eller ISO 45001 (arbejdsmiljø). Kunde- og leverandøraudits ligger et sted midt imellem.

Dette websted beskriver ikke kravene i disse standarder punkt for punkt; læs selve standarden, eller spørg dit certificeringsorgan. Generelt leder en audit af et ledelsessystem efter dokumentation for, at du har fastlagt, hvordan du arbejder, at du gør det på den måde, at du fører registreringer, der viser det, og at du evaluerer og forbedrer det. Dokumentationen er som regel almindelige forretningsregistreringer: procedurer, registre, uddannelsesdokumentation, inspektionsskemaer, mødereferater, korrigerende handlinger.

Det er gode nyheder for automatisering. Dokumentationen findes allerede, spredt over mapper, postkasser og personer. Arbejdet består i at samle den.

Fra auditplan til dokumentationsliste

De fleste audits begynder med en plan eller en anmodningsliste fra auditoren eller med din egen tjekliste til intern audit. At omsætte den til indsamlet dokumentation indebærer de samme trin hver gang:

1. Del anmodningen op i enkelte punkter, hver med en ejer.
2. Find det, der allerede findes i dine filer.
3. Bed ejerne om det, du ikke kan finde.
4. Kontrollér, at hvert punkt er den gældende version og dækker den periode, der auditeres.
5. Arkivér det, så auditoren kan følge sporet.
6. Før en liste over huller, og beslut, hvad der skal gøres ved hvert enkelt.

Trin 1, 2, 3, 5 og listen over huller er administration. Trin 4 er delvis administration (datoer og versioner) og delvis vurdering. At beslutte, hvad der skal gøres ved huller, er vurdering.

Sådan samler en AI-medarbejder dokumentation

The Everything kan læse den auditplan eller tjekliste, du giver den, og arbejde sig igennem den i din Microsoft 365-tenant:

• Søgning. Den leder efter matchende registreringer i SharePoint og OneDrive, for eksempel referaterne fra de seneste to ledelsesevalueringer, det gældende risikoregister eller inspektionsregistreringer for et bestemt sted og en bestemt periode.
• Samling. Den kopierer eller linker det, den finder, ind i én auditmappe med en indholdsfortegnelse, der knytter hvert anmodningspunkt til den fil, der besvarer det.
• Rykkere. For punkter, den ikke kan finde, spørger den den sandsynlige ejer via e-mail eller Teams, følger op og arkiverer det, der kommer retur.
• Markering. Den noterer punkter, der ser forældede ud eller ligger uden for auditperioden, og lister huller, som du kan gennemgå.
• Udkast. Efter auditen kan den omsætte fund til en liste over korrigerende handlinger med ejere og frister og minde ejerne om det, når datoerne nærmer sig.

Fordi de samme registreringer indgår i hver audit, bliver hver audit langt mindre arbejdskrævende, når du holder dine registre, styrede dokumenter og din uddannelsesdokumentation opdateret hele året.

Behold originaler, ikke kopier, der glider fra hinanden

En auditmappe skal pege på dine rigtige registreringer, ikke blive et andet sæt af dem. Praktiske regler, der fungerer godt:

• Link til den styrede version, hvor du kan, og kopiér kun, når auditoren har brug for et fastlåst øjebliksbillede.
• Redigér aldrig en registrering for at få den til at se bedre ud til en audit. Hvis noget mangler, så registrér hullet.
• Gem indholdsfortegnelsen med den dato, den blev samlet, og hvem der godkendte den.

Nogle regulerede brancher har udtrykkelige regler for revisionsspor. I USA kræver FDA's regler (FDA er den amerikanske fødevare- og lægemiddelmyndighed) for elektroniske registreringer (21 CFR Part 11, §11.10(e)) »sikre, computergenererede, tidsstemplede revisionsspor« og fastslår, at »ændringer af registreringer ikke må tilsløre tidligere registrerede oplysninger«. Hvis du er underlagt regler som disse, så undersøg, hvordan dine registreringssystemer opfylder dem; en AI-assistent ændrer ikke de forpligtelser.

Hvad der forbliver hos en person

• Tilstrækkelighed. Om en registrering faktisk viser det, auditoren har brug for, er en vurdering for en person, der kender processen.
• Samtalen med auditoren. Mennesker svarer på spørgsmål, forklarer sammenhængen og accepterer eller bestrider fund.
• Huller. At beslutte, hvordan der skal reageres på manglende dokumentation, og at være ærlig om det, er en ledelsesbeslutning.
• Korrigerende handlinger. AI'en kan følge dem, men ejeren beslutter, hvad løsningen er, og bekræfter, at den er gennemført.

Før du begynder

The Everything kører i din Microsoft 365-tenant (din organisations Microsoft-miljø) med snævert afgrænsede tilladelser, men dine data forlader tenanten til AI-behandling. Privatlivspolitikken nævner Microsoft (Azure OpenAI) og OpenAI som AI-udbydere og oplyser, at udbyderne kan behandle oplysninger uden for dit land. Det offentlige websted påberåber sig ikke nogen certificering som SOC 2 eller ISO 27001 og nævner ikke, i hvilket land data hostes.

Auditmapper har en tendens til at samle følsomt materiale: personalesager, hændelsesrapporter, kundekontrakter. Før du begynder, så kontrollér dine egne forpligtelser vedrørende privatliv og opbevaring og eventuelle fortrolighedsvilkår med kunder eller dit certificeringsorgan, og beslut, hvilke websteder og mapper AI'en må søge i. The Everything påberåber sig ikke selv nogen certificering, så brugen af den er ikke dokumentation for overholdelse af nogen standard.

Ofte stillede spørgsmål