Samle revisjonsbevis til interne revisjoner og sertifiseringsrevisjoner

Interne revisjoner og sertifiseringsrevisjoner

En intern revisjon er en du gjennomfører på deg selv, for å kontrollere at det som skjer i praksis, stemmer med det prosedyrene dine sier. En sertifiseringsrevisjon gjennomføres av et eksternt sertifiseringsorgan mot en standard, ofte en standard for styringssystemer som ISO 9001 (kvalitet), ISO 14001 (miljø) eller ISO 45001 (arbeidsmiljø, helse og sikkerhet). Kunde- og leverandørrevisjoner ligger et sted mellom de to.

Dette nettstedet beskriver ikke kravene i disse standardene punkt for punkt; les selve standarden eller spør sertifiseringsorganet ditt. Generelt ser en revisjon av et styringssystem etter bevis for at du har definert hvordan du jobber, at du faktisk jobber slik, at du har dokumentasjon som viser det, og at du gjennomgår og forbedrer det. Bevisene er som regel vanlig forretningsdokumentasjon: prosedyrer, registre, opplæringsregistre, inspeksjonsskjemaer, møtereferater, korrigerende tiltak.

Det er gode nyheter for automatisering. Bevisene finnes allerede, spredt på mapper, postbokser og personer. Jobben er å samle dem.

Fra revisjonsplan til bevisliste

De fleste revisjoner starter med en plan eller en forespørselsliste fra revisoren, eller med din egen sjekkliste for internrevisjon. Å gjøre den om til innsamlede bevis innebærer de samme trinnene hver gang:

1. Del forespørselen opp i enkeltpunkter, hvert med en ansvarlig.
2. Finn det som allerede finnes i filene dine.
3. Be de ansvarlige om det du ikke finner.
4. Kontroller at hvert punkt er gjeldende versjon og dekker perioden som revideres.
5. Arkiver det slik at revisoren kan følge sporet.
6. Før en liste over mangler, og avgjør hva du skal gjøre med hver av dem.

Trinn 1, 2, 3, 5 og manglelisten er administrasjon. Trinn 4 er delvis administrasjon (datoer og versjoner) og delvis skjønn. Å avgjøre hva du skal gjøre med manglene, er skjønn.

Slik samler en AI-medarbeider bevisene

The Everything kan lese revisjonsplanen eller sjekklisten du gir den, og arbeide seg gjennom den i Microsoft 365-leietakeren din:

• Søk. Den ser etter samsvarende dokumentasjon i SharePoint og OneDrive, for eksempel referatene fra de to siste ledelsesgjennomgangene, det gjeldende risikoregisteret eller inspeksjonsdokumentasjon for et bestemt sted og en bestemt periode.
• Sammenstilling. Den kopierer eller lenker det den finner, inn i én revisjonsmappe, med en oversikt som kobler hvert forespurte punkt til filen som besvarer det.
• Purring. For punkter den ikke finner, spør den den sannsynlige ansvarlige på e-post eller i Teams, følger opp og arkiverer det som kommer tilbake.
• Flagging. Den noterer punkter som ser utdaterte ut eller ligger utenfor revisjonsperioden, og lister opp mangler som du kan gå gjennom.
• Utkast. Etter revisjonen kan den gjøre funnene om til en liste over korrigerende tiltak med ansvarlige og frister, og minne de ansvarlige på når fristene nærmer seg.

Fordi de samme dataene inngår i hver revisjon, blir hver revisjon langt mindre arbeid når du holder registrene, de styrte dokumentene og opplæringsregistrene oppdatert hele året.

Behold originalene, ikke kopier som glir fra hverandre

En revisjonsmappe skal peke til den faktiske dokumentasjonen din, ikke bli et nytt sett av den. Praktiske regler som fungerer godt:

• Lenk til den styrte versjonen der du kan, og kopier bare når revisoren trenger et fast øyeblikksbilde.
• Rediger aldri dokumentasjon for at den skal se bedre ut til en revisjon. Hvis noe mangler, noter mangelen.
• Oppbevar oversikten med datoen den ble satt sammen, og hvem som godkjente den.

Noen regulerte bransjer har uttrykkelige regler for revisjonsspor. I USA krever reglene til FDA (den amerikanske legemiddel- og matmyndigheten) for elektronisk dokumentasjon (21 CFR Part 11, §11.10(e)) «sikre, datagenererte, tidsstemplede revisjonsspor» og sier at «endringer i dokumentasjon ikke skal skjule tidligere registrert informasjon». Hvis du er underlagt slike regler, sjekk hvordan dokumentasjonssystemene dine oppfyller dem; en AI-assistent endrer ikke disse forpliktelsene.

Hva som blir hos en person

• Tilstrekkelighet. Om dokumentasjonen faktisk viser det revisoren trenger, er en vurdering for noen som kjenner prosessen.
• Samtalen med revisoren. Mennesker svarer på spørsmål, forklarer sammenhengen og godtar eller bestrider funn.
• Mangler. Å avgjøre hvordan manglende bevis skal håndteres, og å være ærlig om det, er en ledelsesbeslutning.
• Korrigerende tiltak. AI-en kan følge dem opp, men den ansvarlige bestemmer hva tiltaket er, og bekrefter at det er gjennomført.

Før du begynner

The Everything kjører i Microsoft 365-leietakeren din (tenant) med strengt avgrensede tillatelser, men dataene dine forlater leietakeren for AI-behandling. Personvernerklæringen oppgir Microsoft (Azure OpenAI) og OpenAI som AI-leverandører og sier at leverandørene kan behandle informasjon utenfor landet ditt. Det offentlige nettstedet hevder ingen sertifisering som SOC 2 eller ISO 27001, og det oppgir ikke hvilket land tjenesten driftes i.

Revisjonsmapper har en tendens til å samle sensitivt materiale: personalmapper, hendelsesrapporter, kundekontrakter. Før du begynner, bør du sjekke dine egne plikter knyttet til personvern og oppbevaring og eventuelle konfidensialitetsvilkår med kunder eller sertifiseringsorganet ditt, og bestemme hvilke nettsteder og mapper AI-en kan søke i. The Everything hevder ikke selv noen sertifisering, så bruken av den er ikke bevis på samsvar med noen standard.

Spørsmål folk stiller