Raccogliere evidenze per audit interni e di certificazione

Audit interni e audit di certificazione

Un audit interno è quello che conduce su sé stesso, per verificare che ciò che accade nella pratica corrisponda a ciò che dicono le Sue procedure. Un audit di certificazione è condotto da un organismo di certificazione esterno rispetto a una norma, di solito una norma sui sistemi di gestione come ISO 9001 (qualità), ISO 14001 (ambiente) o ISO 45001 (salute e sicurezza sul lavoro). Gli audit di clienti e fornitori si collocano a metà strada.

Questo sito non descrive i requisiti di queste norme punto per punto; legga la norma stessa o chieda al Suo organismo di certificazione. In termini generali, un audit di un sistema di gestione cerca evidenze che Lei abbia definito come lavora, che lavori effettivamente così, che conservi registrazioni che lo dimostrano e che riesamini e migliori il tutto. Le evidenze sono di solito normali documenti aziendali: procedure, registri, registrazioni della formazione, schede di ispezione, verbali di riunione, azioni correttive.

È una buona notizia per l'automazione. Le evidenze esistono già, sparse tra cartelle, caselle di posta e persone. Il lavoro consiste nel raccoglierle.

Dal piano di audit all'elenco delle evidenze

La maggior parte degli audit inizia con un piano o un elenco di richieste dell'auditor, oppure con la Sua checklist di audit interno. Trasformarlo in evidenze raccolte richiede ogni volta gli stessi passaggi:

1. Suddividere la richiesta in singole voci, ciascuna con un responsabile.
2. Trovare ciò che esiste già nei Suoi file.
3. Chiedere ai responsabili ciò che non si trova.
4. Verificare che ogni voce sia la versione in vigore e copra il periodo sottoposto ad audit.
5. Archiviarla in modo che l'auditor possa seguire il percorso.
6. Tenere un elenco delle lacune e decidere che cosa fare per ciascuna.

I passaggi 1, 2, 3 e 5 e l'elenco delle lacune sono amministrazione. Il passaggio 4 è in parte amministrazione (date e versioni) e in parte giudizio. Decidere che cosa fare delle lacune è giudizio.

Come un collaboratore IA raccoglie le evidenze

The Everything può leggere il piano di audit o la checklist che Lei gli fornisce e lavorarci all'interno del Suo tenant Microsoft 365:

• Ricerca. Cerca le registrazioni corrispondenti in SharePoint e OneDrive, come i verbali degli ultimi due riesami della direzione, il registro dei rischi in vigore o le registrazioni delle ispezioni per un determinato sito e periodo.
• Raccolta. Copia o collega ciò che trova in un'unica cartella di audit, con un indice che associa ogni voce richiesta al file che la soddisfa.
• Solleciti. Per le voci che non trova, chiede al probabile responsabile via e-mail o Teams, fa i solleciti e archivia ciò che riceve.
• Segnalazioni. Annota le voci che sembrano non aggiornate o fuori dal periodo sottoposto ad audit ed elenca le lacune da farLe esaminare.
• Redazione. Dopo l'audit può trasformare i rilievi in un elenco di azioni correttive con responsabili e scadenze, e ricordarle ai responsabili man mano che le date si avvicinano.

Poiché le stesse registrazioni alimentano ogni audit, tenere aggiornati tutto l'anno i Suoi registri, i Suoi documenti controllati e le Sue registrazioni della formazione riduce di molto il lavoro di ogni audit.

Conservi gli originali, non copie che divergono

Una cartella di audit dovrebbe rimandare alle Sue registrazioni reali, non diventarne una seconda serie. Regole pratiche che funzionano bene:

• Inserisca un collegamento alla versione controllata quando possibile, e copi solo quando l'auditor ha bisogno di un'istantanea fissa.
• Non modifichi mai una registrazione per farla apparire migliore in un audit. Se manca qualcosa, registri la lacuna.
• Conservi l'indice con la data in cui è stato compilato e il nome di chi lo ha approvato.

Alcuni settori regolamentati hanno regole esplicite sugli audit trail. Negli Stati Uniti, le norme della FDA sulle registrazioni elettroniche (21 CFR Part 11, §11.10(e), la normativa federale statunitense su registrazioni e firme elettroniche) richiedono «audit trail sicuri, generati dal computer e con marcatura temporale» e stabiliscono che «le modifiche alle registrazioni non devono oscurare le informazioni registrate in precedenza». Se è soggetto a regole di questo tipo, verifichi come i Suoi sistemi di registrazione le soddisfano; un assistente IA non modifica questi obblighi.

Che cosa resta a una persona

• Adeguatezza. Se una registrazione dimostri davvero ciò di cui l'auditor ha bisogno è un giudizio che spetta a chi conosce il processo.
• Il confronto con l'auditor. Sono le persone a rispondere alle domande, spiegare il contesto e accettare o contestare i rilievi.
• Le lacune. Decidere come rispondere alla mancanza di evidenze, e farlo con onestà, è una decisione della direzione.
• Le azioni correttive. L'IA può monitorarle, ma è il responsabile a decidere quale sia la soluzione e a confermare che è stata attuata.

Prima di iniziare

The Everything opera all'interno del Suo tenant Microsoft 365 con autorizzazioni strettamente circoscritte, ma i Suoi dati escono dal tenant per l'elaborazione tramite IA. La sua informativa sulla privacy indica Microsoft (Azure OpenAI) e OpenAI come fornitori di IA e precisa che i fornitori possono trattare le informazioni al di fuori del Suo Paese. Il sito pubblico non dichiara alcuna certificazione, come SOC 2 o ISO 27001, e non indica un Paese di hosting.

Le cartelle di audit tendono ad accumulare materiale sensibile: fascicoli del personale, rapporti sugli incidenti, contratti con i clienti. Prima di iniziare, verifichi i Suoi obblighi in materia di privacy e di conservazione delle registrazioni ed eventuali clausole di riservatezza con i clienti o con il Suo organismo di certificazione, e decida in quali siti e cartelle l'IA può effettuare ricerche. The Everything non dichiara alcuna certificazione propria, quindi usarlo non costituisce evidenza di conformità ad alcuna norma.

Domande frequenti