איסוף ראיות לביקורות פנימיות ולביקורות הסמכה

ביקורות פנימיות וביקורות הסמכה

ביקורת פנימית היא ביקורת שאתם עורכים לעצמכם, כדי לבדוק שמה שקורה בפועל תואם את מה שהנהלים שלכם אומרים. ביקורת הסמכה נערכת על ידי גוף הסמכה חיצוני מול תקן, לרוב תקן של מערכת ניהול כמו ISO 9001 (איכות), ISO 14001 (סביבה) או ISO 45001 (בריאות ובטיחות בעבודה). ביקורות של לקוחות ושל ספקים נמצאות איפשהו באמצע.

האתר הזה אינו מתאר את דרישות התקנים האלה סעיף אחר סעיף; קראו את התקן עצמו או פנו לגוף ההסמכה שלכם. במונחים כלליים, ביקורת של מערכת ניהול מחפשת ראיות לכך שהגדרתם איך אתם עובדים, שאתם אכן עובדים כך, שאתם שומרים רשומות שמראות זאת, ושאתם סוקרים ומשפרים את הדרך. הראיות הן בדרך כלל רשומות עסקיות רגילות: נהלים, מרשמים, רישומי הדרכה, גיליונות בדיקה, פרוטוקולים של ישיבות, פעולות מתקנות.

זו בשורה טובה לאוטומציה. הראיות כבר קיימות, מפוזרות בין תיקיות, תיבות דואר ואנשים. העבודה היא לאסוף אותן.

מתוכנית ביקורת לרשימת ראיות

רוב הביקורות מתחילות בתוכנית או ברשימת בקשות מהמבקר, או ברשימת התיוג של הביקורת הפנימית שלכם. ההפיכה שלה לראיות שנאספו כוללת בכל פעם אותם צעדים:

1. לפרק את הבקשה לפריטים בודדים, לכל אחד בעלים.
2. לאתר מה כבר קיים בקבצים שלכם.
3. לבקש מהבעלים כל מה שאינכם מוצאים.
4. לבדוק שכל פריט הוא הגרסה העדכנית ומכסה את התקופה שנבדקת.
5. לתייק אותו כך שהמבקר יוכל לעקוב אחר השרשרת.
6. לנהל רשימת פערים, ולהחליט מה לעשות בכל אחד מהם.

צעדים 1, 2, 3, 5 ורשימת הפערים הם עבודה מנהלית. צעד 4 הוא בחלקו עבודה מנהלית (תאריכים וגרסאות) ובחלקו שיקול דעת. ההחלטה מה לעשות בפערים היא שיקול דעת.

איך עובד AI מרכז ראיות

The Everything יכול לקרוא את תוכנית הביקורת או את רשימת התיוג שאתם נותנים לו ולעבור עליה בדייר Microsoft 365 שלכם:

• חיפוש. הוא מחפש רשומות מתאימות ב-SharePoint וב-OneDrive, כמו הפרוטוקולים של שתי סקירות ההנהלה האחרונות, מרשם הסיכונים העדכני או רשומות בדיקה של אתר ותקופה מסוימים.
• ריכוז. הוא מעתיק את מה שהוא מוצא, או מקשר אליו, לתיקיית ביקורת אחת, עם אינדקס שממפה כל פריט בבקשה לקובץ שעונה עליו.
• מעקב. לגבי פריטים שהוא לא מוצא, הוא פונה בדואר אלקטרוני או ב-Teams לבעלים הסביר, חוזר ופונה, ומתייק את מה שמתקבל.
• סימון. הוא מציין פריטים שנראים לא עדכניים או מחוץ לתקופת הביקורת, ומפרט פערים לבדיקתכם.
• ניסוח. אחרי הביקורת הוא יכול להפוך ממצאים לרשימת פעולות מתקנות עם בעלים ומועדי יעד, ולהזכיר לבעלים כשהמועדים מתקרבים.

מכיוון שאותן רשומות מזינות כל ביקורת, שמירה על המרשמים, המסמכים המבוקרים ורישומי ההדרכה שלכם עדכניים לאורך כל השנה הופכת כל ביקורת לעבודה קלה בהרבה.

שמרו על המקור, לא על עותקים שמתרחקים ממנו

תיקיית ביקורת צריכה להפנות לרשומות האמיתיות שלכם, ולא להפוך לסט שני שלהן. כללים מעשיים שעובדים היטב:

• קשרו לגרסה המבוקרת היכן שאפשר, והעתיקו רק כשהמבקר צריך תמונת מצב קבועה.
• לעולם אל תערכו רשומה כדי שתיראה טוב יותר בביקורת. אם משהו חסר, תעדו את הפער.
• שמרו את האינדקס יחד עם התאריך שבו הורכב ומי אישר אותו.

בחלק מהענפים המפוקחים יש כללים מפורשים לגבי שובל ביקורת. בארצות הברית, כללי ה-FDA לרשומות אלקטרוניות (21 CFR חלק 11, התקנות הפדרליות האמריקאיות לרשומות ולחתימות אלקטרוניות, סעיף §11.10(e)) מחייבים "שובלי ביקורת מאובטחים, שנוצרים על ידי מחשב ומסומנים בחותמת זמן" וקובעים ש"שינויים ברשומה לא יסתירו מידע שתועד קודם לכן". אם חלים עליכם כללים כאלה, בדקו כיצד מערכות הרשומות שלכם עומדות בהם; עוזר AI אינו משנה את החובות האלה.

מה נשאר אצל אדם

• מידת ההתאמה. האם רשומה אכן מראה את מה שהמבקר צריך היא הכרעה של מי שמכיר את התהליך.
• השיחה עם המבקר. אנשים עונים על שאלות, מסבירים את ההקשר ומקבלים ממצאים או חולקים עליהם.
• פערים. ההחלטה כיצד להגיב לראיות חסרות, והכנות לגביהן, הן החלטה ניהולית.
• פעולות מתקנות. ה-AI יכול לעקוב אחריהן, אבל הבעלים מחליט מה התיקון ומאשר שהוא בוצע.

לפני שמתחילים

The Everything פועל בתוך הדייר (סביבת הארגון) של Microsoft 365 שלכם עם הרשאות מוגבלות בקפידה, אבל הנתונים שלכם כן יוצאים מהדייר לצורך עיבוד AI. מדיניות הפרטיות שלו מציינת את Microsoft (Azure OpenAI) ואת OpenAI כספקי AI, וקובעת שהספקים עשויים לעבד מידע מחוץ למדינה שלכם. האתר הציבורי אינו טוען לשום הסמכה, כגון SOC 2 או ISO 27001 (תקנים לאבטחת מידע), ואינו מציין באיזו מדינה נמצא האירוח.

תיקיות ביקורת נוטות לצבור חומר רגיש: תיקי עובדים, דוחות אירועים, חוזים עם לקוחות. לפני שתתחילו, בדקו את חובות הפרטיות ושמירת הרשומות שלכם ואת תנאי הסודיות מול לקוחות או מול גוף ההסמכה שלכם, והחליטו באילו אתרים ותיקיות ה-AI רשאי לחפש. The Everything אינו טוען לשום הסמכה בעצמו, ולכן השימוש בו אינו ראיה לעמידה באף תקן.

שאלות נפוצות