내부 감사와 인증 심사를 위한 감사 증빙 수집

내부 감사와 인증 심사

내부 감사는 실제로 일어나는 일이 절차서의 내용과 일치하는지 확인하기 위해 스스로 실시하는 감사입니다. 인증 심사는 외부 인증 기관이 표준에 따라 실시하며, 대개 ISO 9001(품질), ISO 14001(환경), ISO 45001(산업 보건 및 안전) 같은 경영 시스템 표준이 대상입니다. 고객 감사와 공급업체 감사는 그 중간쯤에 있습니다.

이 사이트는 이러한 표준의 요구사항을 조항별로 설명하지 않습니다. 표준 자체를 읽거나 인증 기관에 문의하십시오. 일반적으로 경영 시스템 심사에서는 업무 방식을 정의했는지, 실제로 그 방식대로 일하는지, 이를 보여 주는 기록을 보관하는지, 그리고 이를 검토하고 개선하는지에 대한 증거를 찾습니다. 증빙은 대개 절차서, 관리 대장, 교육 기록, 점검표, 회의록, 시정 조치 같은 평범한 업무 기록입니다.

이는 자동화에 좋은 소식입니다. 증빙은 이미 존재하며, 여러 폴더와 메일함과 사람들에게 흩어져 있을 뿐입니다. 해야 할 일은 그것을 모으는 것입니다.

감사 계획에서 증빙 목록으로

대부분의 감사는 심사원의 계획이나 요청 목록, 또는 자체 내부 감사 체크리스트로 시작합니다. 이를 수집된 증빙으로 바꾸는 과정은 매번 같은 단계를 거칩니다.

1. 요청을 개별 항목으로 나누고, 각 항목에 담당자를 정합니다.
2. 파일에 이미 있는 것을 찾습니다.
3. 찾을 수 없는 것은 담당자에게 요청합니다.
4. 각 항목이 현행 버전이고 감사 대상 기간을 포괄하는지 확인합니다.
5. 심사원이 흐름을 따라갈 수 있도록 정리해 둡니다.
6. 공백 목록을 관리하고 각 공백에 어떻게 대응할지 결정합니다.

1, 2, 3, 5단계와 공백 목록은 행정 업무입니다. 4단계는 일부는 행정(날짜와 버전)이고 일부는 판단입니다. 공백에 어떻게 대응할지 결정하는 것은 판단입니다.

AI 직원이 증빙을 취합하는 방법

The Everything은 귀하가 제공한 감사 계획이나 체크리스트를 읽고 귀사의 Microsoft 365 테넌트 안에서 하나씩 처리할 수 있습니다.

• 검색. SharePoint와 OneDrive에서 해당하는 기록을 찾습니다. 예를 들어 최근 두 차례의 경영 검토 회의록, 현행 위험 대장, 특정 현장과 기간의 점검 기록 등입니다.
• 취합. 찾은 것을 하나의 감사 폴더에 복사하거나 링크로 연결하고, 각 요청 항목을 그에 답하는 파일과 대응시킨 색인을 만듭니다.
• 독촉. 찾지 못한 항목은 담당자로 보이는 사람에게 이메일이나 Teams로 요청하고, 후속 확인을 하며, 회신된 것을 정리합니다.
• 표시. 오래되어 보이거나 감사 기간을 벗어난 항목을 기록하고, 귀하가 검토할 수 있도록 공백 목록을 만듭니다.
• 초안 작성. 감사 후에는 지적 사항을 담당자와 기한이 정해진 시정 조치 목록으로 정리하고, 기한이 다가오면 담당자에게 알릴 수 있습니다.

모든 감사에 같은 기록이 쓰이므로, 관리 대장, 관리 문서, 교육 기록을 일 년 내내 최신으로 유지하면 감사마다 드는 수고가 훨씬 줄어듭니다.

흐트러지는 사본이 아니라 원본을 유지하십시오

감사 폴더는 실제 기록을 가리켜야 하며, 또 하나의 기록 세트가 되어서는 안 됩니다. 효과적인 실무 규칙은 다음과 같습니다.

• 가능하면 관리되는 버전에 링크하고, 심사원이 고정된 스냅숏을 필요로 할 때만 복사합니다.
• 감사에서 더 좋아 보이게 하려고 기록을 수정하지 마십시오. 무언가 누락되었다면 그 공백을 기록하십시오.
• 색인에 작성 날짜와 승인자를 함께 보관하십시오.

일부 규제 산업에는 명시적인 감사 추적 규칙이 있습니다. 미국에서는 전자 기록에 관한 FDA(미국 식품의약국) 규정인 21 CFR 파트 11(FDA 전자기록 규정)의 §11.10(e)가 “안전하고, 컴퓨터가 생성하며, 타임스탬프가 찍힌 감사 추적”을 요구하고 “기록 변경이 이전에 기록된 정보를 가려서는 안 된다”고 규정합니다. 이러한 규칙이 적용된다면 귀사의 기록 시스템이 이를 어떻게 충족하는지 확인하십시오. AI 비서가 그 의무를 바꾸지는 않습니다.

사람에게 남는 일

• 충분성. 기록이 실제로 심사원이 필요로 하는 것을 보여 주는지는 해당 프로세스를 아는 사람이 판단합니다.
• 심사원과의 대화. 질문에 답하고, 맥락을 설명하고, 지적 사항을 수용하거나 이의를 제기하는 것은 사람입니다.
• 공백. 누락된 증빙에 어떻게 대응할지, 그리고 그에 대해 정직하게 밝히는 것은 경영상의 결정입니다.
• 시정 조치. AI가 추적할 수는 있지만, 무엇이 해결책인지 결정하고 완료를 확인하는 것은 담당자입니다.

시작하기 전에

The Everything은 엄격하게 범위가 제한된 권한으로 귀사의 Microsoft 365 테넌트 안에서 실행되지만, AI 처리를 위해 데이터가 테넌트 밖으로 전송됩니다. 개인정보 처리방침은 AI 제공업체로 Microsoft(Azure OpenAI)와 OpenAI를 명시하고, 제공업체가 귀하의 국가 밖에서 정보를 처리할 수 있다고 밝힙니다. 공개 웹사이트는 SOC 2나 ISO 27001(정보보안 관리 표준) 같은 인증을 주장하지 않으며, 호스팅 국가도 밝히지 않습니다.

감사 폴더에는 인사 파일, 사고 보고서, 고객 계약서처럼 민감한 자료가 모이기 쉽습니다. 시작하기 전에 귀사의 개인정보 보호 및 기록 보관 의무, 고객이나 인증 기관과의 기밀 유지 조건을 확인하고, AI가 검색해도 되는 사이트와 폴더를 정하십시오. The Everything 자체는 어떤 인증도 주장하지 않으므로, 이를 사용한다고 해서 어떤 표준을 준수한다는 증거가 되지는 않습니다.

자주 묻는 질문