Nachweise für interne Audits und Zertifizierungsaudits zusammentragen

Interne Audits und Zertifizierungsaudits

Ein internes Audit führen Sie bei sich selbst durch, um zu prüfen, ob die Praxis mit Ihren Verfahrensanweisungen übereinstimmt. Ein Zertifizierungsaudit führt eine externe Zertifizierungsstelle anhand einer Norm durch, häufig einer Managementsystemnorm wie ISO 9001 (Qualität), ISO 14001 (Umwelt) oder ISO 45001 (Sicherheit und Gesundheit bei der Arbeit). Kunden- und Lieferantenaudits liegen irgendwo dazwischen.

Diese Website beschreibt die Anforderungen dieser Normen nicht Abschnitt für Abschnitt; lesen Sie die Norm selbst oder fragen Sie Ihre Zertifizierungsstelle. Allgemein gesagt sucht ein Managementsystemaudit nach Nachweisen, dass Sie festgelegt haben, wie Sie arbeiten, dass Sie auch so arbeiten, dass Sie Aufzeichnungen führen, die das belegen, und dass Sie das Ganze bewerten und verbessern. Die Nachweise sind meist gewöhnliche Geschäftsunterlagen: Verfahrensanweisungen, Register, Schulungsnachweise, Prüfprotokolle, Besprechungsprotokolle, Korrekturmaßnahmen.

Das sind gute Nachrichten für die Automatisierung. Die Nachweise existieren bereits, verstreut über Ordner, Postfächer und Personen. Die Arbeit besteht darin, sie zusammenzutragen.

Vom Auditplan zur Nachweisliste

Die meisten Audits beginnen mit einem Plan oder einer Anforderungsliste des Auditors oder mit Ihrer eigenen Checkliste für das interne Audit. Daraus gesammelte Nachweise zu machen, umfasst jedes Mal dieselben Schritte:

1. Die Anforderung in einzelne Punkte zerlegen, jeweils mit einer verantwortlichen Person.
2. Finden, was in Ihren Dateien bereits vorhanden ist.
3. Die Verantwortlichen um alles bitten, was Sie nicht finden.
4. Prüfen, ob jeder Punkt die aktuelle Fassung ist und den auditierten Zeitraum abdeckt.
5. Alles so ablegen, dass der Auditor der Spur folgen kann.
6. Eine Liste der Lücken führen und für jede entscheiden, was zu tun ist.

Die Schritte 1, 2, 3 und 5 sowie die Lückenliste sind Verwaltung. Schritt 4 ist teils Verwaltung (Daten und Versionen) und teils Urteilsvermögen. Zu entscheiden, was mit Lücken geschieht, ist Urteilsvermögen.

Wie ein KI-Mitarbeiter Nachweise zusammenstellt

The Everything kann den Auditplan oder die Checkliste lesen, die Sie ihm geben, und sie in Ihrem Microsoft-365-Mandanten abarbeiten:

• Suchen. Er sucht passende Aufzeichnungen in SharePoint und OneDrive, etwa die Protokolle der letzten beiden Managementbewertungen, das aktuelle Risikoregister oder die Prüfprotokolle für einen bestimmten Standort und Zeitraum.
• Zusammenstellen. Er kopiert oder verlinkt das Gefundene in einen Auditordner, mit einem Index, der jedem angeforderten Punkt die Datei zuordnet, die ihn beantwortet.
• Nachhaken. Für Punkte, die er nicht findet, fragt er die vermutlich zuständige Person per E-Mail oder Teams, hakt nach und legt ab, was zurückkommt.
• Markieren. Er vermerkt Punkte, die veraltet wirken oder außerhalb des Auditzeitraums liegen, und listet Lücken zur Prüfung durch Sie auf.
• Entwerfen. Nach dem Audit kann er die Feststellungen in eine Liste von Korrekturmaßnahmen mit Verantwortlichen und Fälligkeitsterminen umwandeln und die Verantwortlichen erinnern, wenn Termine näher rücken.

Weil dieselben Aufzeichnungen in jedes Audit einfließen, macht es jedes Audit deutlich weniger aufwendig, wenn Sie Ihre Register, gelenkten Dokumente und Schulungsnachweise das ganze Jahr über aktuell halten.

Originale behalten, keine Kopien, die abdriften

Ein Auditordner sollte auf Ihre echten Aufzeichnungen verweisen und kein zweiter Satz davon werden. Praktische Regeln, die sich bewährt haben:

• Verlinken Sie wo möglich auf die gelenkte Fassung, und kopieren Sie nur, wenn der Auditor einen festen Stand braucht.
• Ändern Sie nie eine Aufzeichnung, damit sie im Audit besser aussieht. Wenn etwas fehlt, halten Sie die Lücke fest.
• Bewahren Sie den Index mit dem Datum seiner Erstellung und dem Namen der Person auf, die ihn freigegeben hat.

Einige regulierte Branchen haben ausdrückliche Regeln für Audit-Trails. In den Vereinigten Staaten verlangen die FDA-Vorschriften für elektronische Aufzeichnungen (21 CFR Part 11, §11.10(e), die US-Bundesvorschrift zu elektronischen Aufzeichnungen und Signaturen) „sichere, computergenerierte, mit Zeitstempel versehene Audit-Trails“ und legen fest, dass „Änderungen an Aufzeichnungen zuvor erfasste Informationen nicht verdecken dürfen“. Wenn Sie solchen Regeln unterliegen, prüfen Sie, wie Ihre Aufzeichnungssysteme sie erfüllen; ein KI-Assistent ändert nichts an diesen Pflichten.

Was bei einem Menschen bleibt

• Angemessenheit. Ob eine Aufzeichnung tatsächlich zeigt, was der Auditor braucht, beurteilt jemand, der den Prozess kennt.
• Das Gespräch mit dem Auditor. Menschen beantworten Fragen, erklären den Zusammenhang und akzeptieren oder bestreiten Feststellungen.
• Lücken. Zu entscheiden, wie Sie auf fehlende Nachweise reagieren, und ehrlich damit umzugehen, ist eine Managemententscheidung.
• Korrekturmaßnahmen. Die KI kann sie verfolgen, aber die verantwortliche Person entscheidet, worin die Abhilfe besteht, und bestätigt, dass sie umgesetzt ist.

Bevor Sie anfangen

The Everything läuft in Ihrem Microsoft-365-Mandanten (Tenant) mit eng begrenzten Berechtigungen, aber Ihre Daten verlassen den Mandanten für die KI-Verarbeitung. Die Datenschutzerklärung nennt Microsoft (Azure OpenAI) und OpenAI als KI-Anbieter und weist darauf hin, dass Anbieter Informationen außerhalb Ihres Landes verarbeiten können. Die öffentliche Website nennt keine Zertifizierung wie SOC 2 oder ISO 27001 und kein Land, in dem gehostet wird.

In Auditordnern sammelt sich oft sensibles Material: Personalakten, Vorfallberichte, Kundenverträge. Prüfen Sie vor dem Start Ihre eigenen Pflichten zu Datenschutz und Aufbewahrung sowie etwaige Vertraulichkeitsvereinbarungen mit Kunden oder Ihrer Zertifizierungsstelle, und legen Sie fest, welche Websites und Ordner die KI durchsuchen darf. The Everything beansprucht selbst keine Zertifizierung, daher ist seine Nutzung kein Nachweis der Konformität mit irgendeiner Norm.

Häufige Fragen