Auditointiaineiston kokoaminen sisäisiin ja sertifiointiauditointeihin

Sisäiset auditoinnit ja sertifiointiauditoinnit

Sisäinen auditointi on auditointi, jonka teet itsellesi tarkistaaksesi, että käytäntö vastaa menettelyohjeitasi. Sertifiointiauditoinnin tekee ulkopuolinen sertifiointilaitos jonkin standardin perusteella, yleensä johtamisjärjestelmästandardin, kuten ISO 9001 (laatu), ISO 14001 (ympäristö) tai ISO 45001 (työterveys ja -turvallisuus). Asiakas- ja toimittaja-auditoinnit sijoittuvat näiden kahden väliin.

Tämä sivusto ei kuvaa näiden standardien vaatimuksia kohta kohdalta; lue itse standardi tai kysy sertifiointilaitokseltasi. Yleisesti ottaen johtamisjärjestelmän auditoinnissa etsitään näyttöä siitä, että olet määritellyt toimintatapasi, että toimit niin, että säilytät sitä osoittavia tallenteita ja että arvioit ja parannat toimintaasi. Näyttö on yleensä tavallisia liiketoiminnan tallenteita: menettelyohjeita, rekisterejä, koulutustallenteita, tarkastuslomakkeita, kokouspöytäkirjoja, korjaavia toimenpiteitä.

Se on hyvä uutinen automaation kannalta. Näyttö on jo olemassa hajallaan kansioissa, postilaatikoissa ja ihmisillä. Työ on sen kokoamista.

Auditointisuunnitelmasta aineistoluetteloon

Useimmat auditoinnit alkavat auditoijan suunnitelmasta tai pyyntöluettelosta tai omasta sisäisen auditoinnin tarkistuslistastasi. Sen muuttaminen kootuksi aineistoksi edellyttää joka kerta samoja vaiheita:

1. Jaa pyyntö yksittäisiin kohtiin, joilla kullakin on omistaja.
2. Etsi, mitä tiedostoistasi jo löytyy.
3. Pyydä omistajilta kaikki, mitä et löydä.
4. Tarkista, että kukin kohta on voimassa oleva versio ja kattaa auditoitavan jakson.
5. Arkistoi se niin, että auditoija pystyy seuraamaan polkua.
6. Pidä luetteloa puutteista ja päätä, mitä kullekin tehdään.

Vaiheet 1, 2, 3, 5 ja puuteluettelo ovat hallintoa. Vaihe 4 on osittain hallintoa (päivämäärät ja versiot) ja osittain harkintaa. Sen päättäminen, mitä puutteille tehdään, on harkintaa.

Miten tekoälytyöntekijä kokoaa aineiston

The Everything voi lukea antamasi auditointisuunnitelman tai tarkistuslistan ja käydä sen läpi Microsoft 365 -vuokraajassasi:

• Haku. Se etsii vastaavia tallenteita SharePointista ja OneDrivesta, kuten kahden viimeisimmän johdon katselmuksen pöytäkirjat, voimassa olevan riskirekisterin tai tietyn toimipaikan ja jakson tarkastustallenteet.
• Kokoaminen. Se kopioi tai linkittää löytämänsä yhteen auditointikansioon hakemiston kera, joka yhdistää kunkin pyyntökohdan siihen vastaavaan tiedostoon.
• Perään kyseleminen. Kohdista, joita se ei löydä, se kysyy todennäköiseltä omistajalta sähköpostilla tai Teamsissa, muistuttaa ja arkistoi saamansa.
• Merkitseminen. Se merkitsee kohdat, jotka näyttävät vanhentuneilta tai auditointijakson ulkopuolisilta, ja listaa puutteet tarkistettaviksesi.
• Luonnostelu. Auditoinnin jälkeen se voi muuttaa havainnot korjaavien toimenpiteiden luetteloksi omistajineen ja määräpäivineen ja muistuttaa omistajia päivien lähestyessä.

Koska samat tallenteet syöttävät jokaista auditointia, rekisteriesi, ohjattujen asiakirjojesi ja koulutusrekisteriesi pitäminen ajan tasalla läpi vuoden vähentää kunkin auditoinnin työmäärää huomattavasti.

Säilytä alkuperäiset, älä eriytyviä kopioita

Auditointikansion pitää viitata todellisiin tallenteisiisi, ei muodostua niiden toiseksi sarjaksi. Hyviksi havaittuja käytännön sääntöjä:

• Linkitä ohjattuun versioon aina kun voit ja kopioi vain, kun auditoija tarvitsee kiinteän tilannekuvan.
• Älä koskaan muokkaa tallennetta, jotta se näyttäisi auditoinnissa paremmalta. Jos jotain puuttuu, kirjaa puute.
• Säilytä hakemisto yhdessä sen kokoamispäivän ja hyväksyjän tiedon kanssa.

Joillakin säännellyillä toimialoilla on nimenomaisia kirjausketjusääntöjä. Yhdysvalloissa FDA:n (Yhdysvaltain elintarvike- ja lääkevirasto) sähköisiä tallenteita koskevat säännöt (21 CFR Part 11, §11.10(e), liittovaltion säädös sähköisistä tallenteista ja allekirjoituksista) edellyttävät ”turvallisia, tietokoneen tuottamia, aikaleimattuja kirjausketjuja” ja toteavat, että ”tallenteiden muutokset eivät saa peittää aiemmin kirjattuja tietoja”. Jos sinua koskevat tällaiset säännöt, tarkista, miten tallennejärjestelmäsi täyttävät ne; tekoälyavustaja ei muuta näitä velvoitteita.

Mikä jää ihmiselle

• Riittävyys. Se, osoittaako tallenne todella sen, mitä auditoija tarvitsee, on prosessin tuntevan henkilön harkinnassa.
• Keskustelu auditoijan kanssa. Ihmiset vastaavat kysymyksiin, selittävät taustan ja hyväksyvät tai kiistävät havainnot.
• Puutteet. Sen päättäminen, miten puuttuvaan näyttöön reagoidaan, ja rehellisyys siitä, on johdon päätös.
• Korjaavat toimenpiteet. Tekoäly voi seurata niitä, mutta omistaja päättää, mikä korjaus on, ja vahvistaa sen tehdyksi.

Ennen kuin aloitat

The Everything toimii Microsoft 365 -vuokraajassasi (tenant) tarkasti rajatuin käyttöoikeuksin, mutta tietosi lähtevät vuokraajan ulkopuolelle tekoälykäsittelyä varten. Sen tietosuojakäytäntö nimeää tekoälypalvelujen tarjoajiksi Microsoftin (Azure OpenAI) ja OpenAI:n ja kertoo, että palveluntarjoajat voivat käsitellä tietoja maasi ulkopuolella. Julkisella verkkosivustolla ei väitetä minkäänlaista sertifiointia, kuten SOC 2 tai ISO 27001 (tietoturvastandardeja), eikä siinä mainita, missä maassa palvelua ylläpidetään.

Auditointikansioihin kertyy usein arkaluonteista aineistoa: henkilöstökansioita, vaaratilanneraportteja, asiakassopimuksia. Tarkista ennen aloittamista omat tietosuoja- ja arkistointivelvoitteesi sekä asiakkaiden tai sertifiointilaitoksesi kanssa sovitut luottamuksellisuusehdot ja päätä, mitä sivustoja ja kansioita tekoäly saa hakea. The Everything ei väitä itsellään olevan mitään sertifiointia, joten sen käyttö ei ole näyttöä minkään standardin noudattamisesta.

Usein kysyttyä