Auditbewijs verzamelen voor interne audits en certificeringsaudits

Interne audits en certificeringsaudits

Een interne audit voert u bij uzelf uit, om te controleren of wat er in de praktijk gebeurt overeenkomt met wat uw procedures zeggen. Een certificeringsaudit wordt uitgevoerd door een externe certificatie-instelling tegen een norm, meestal een norm voor managementsystemen zoals ISO 9001 (kwaliteit), ISO 14001 (milieu) of ISO 45001 (gezond en veilig werken). Audits door klanten en leveranciers zitten daar ergens tussenin.

Deze site beschrijft de eisen van die normen niet per clausule; lees daarvoor de norm zelf of vraag het uw certificatie-instelling. In algemene termen zoekt een audit van een managementsysteem naar bewijs dat u hebt vastgelegd hoe u werkt, dat u ook zo werkt, dat u vastleggingen bijhoudt die dat aantonen, en dat u het evalueert en verbetert. Het bewijs bestaat meestal uit gewone bedrijfsvastleggingen: procedures, registers, opleidingsregistraties, inspectieformulieren, notulen, corrigerende maatregelen.

Dat is goed nieuws voor automatisering. Het bewijs bestaat al, verspreid over mappen, mailboxen en mensen. Het werk is het verzamelen.

Van auditplan naar bewijslijst

De meeste audits beginnen met een plan of een verzoeklijst van de auditor, of met uw eigen checklist voor de interne audit. Om dat om te zetten in verzameld bewijs zijn elke keer dezelfde stappen nodig:

1. Splits het verzoek op in afzonderlijke punten, elk met een eigenaar.
2. Zoek wat er al in uw bestanden staat.
3. Vraag eigenaren om alles wat u niet kunt vinden.
4. Controleer of elk punt de actuele versie is en de geauditeerde periode dekt.
5. Archiveer het zo dat de auditor het spoor kan volgen.
6. Houd een lijst van gaten bij en bepaal per gat wat u ermee doet.

Stappen 1, 2, 3, 5 en de lijst met gaten zijn administratie. Stap 4 is deels administratie (data en versies) en deels oordeel. Bepalen wat u met gaten doet, is oordeel.

Hoe een AI-medewerker bewijs bundelt

The Everything kan het auditplan of de checklist die u hem geeft lezen en die doorwerken in uw Microsoft 365-tenant:

• Zoeken. Hij zoekt naar passende vastleggingen in SharePoint en OneDrive, zoals de notulen van de laatste twee directiebeoordelingen, het actuele risicoregister of inspectieverslagen voor een bepaalde locatie en periode.
• Bundelen. Hij kopieert of koppelt wat hij vindt naar één auditmap, met een index die elk verzoekpunt koppelt aan het bestand dat erop antwoordt.
• Nabellen. Voor punten die hij niet kan vinden, vraagt hij de waarschijnlijke eigenaar per e-mail of in Teams, volgt op en archiveert wat er terugkomt.
• Signaleren. Hij noteert punten die verouderd lijken of buiten de auditperiode vallen, en zet de gaten op een lijst zodat u ze kunt beoordelen.
• Opstellen. Na de audit kan hij bevindingen omzetten in een lijst met corrigerende maatregelen, met eigenaren en vervaldata, en eigenaren herinneren als de data naderen.

Omdat dezelfde vastleggingen elke audit voeden, maakt het het hele jaar actueel houden van uw registers, beheerste documenten en opleidingsregistratie elke audit veel minder werk.

Bewaar originelen, geen kopieën die afwijken

Een auditmap hoort naar uw echte vastleggingen te verwijzen, niet een tweede set ervan te worden. Praktische regels die goed werken:

• Verwijs waar mogelijk naar de beheerste versie, en kopieer alleen als de auditor een vaste momentopname nodig heeft.
• Pas nooit een vastlegging aan om die er voor een audit beter uit te laten zien. Als er iets ontbreekt, leg dan het gat vast.
• Bewaar bij de index de datum waarop die is samengesteld en wie hem heeft goedgekeurd.

Sommige gereguleerde sectoren kennen expliciete regels voor audittrails. In de Verenigde Staten eisen de FDA-regels voor elektronische vastleggingen (21 CFR Part 11, de Amerikaanse federale regels voor elektronische dossiers en handtekeningen; §11.10(e)) “beveiligde, door de computer gegenereerde audittrails met tijdstempel” en bepalen ze dat “wijzigingen in vastleggingen eerder vastgelegde informatie niet mogen verhullen”. Als zulke regels voor u gelden, controleer dan hoe uw systemen voor vastleggingen eraan voldoen; een AI-assistent verandert niets aan die verplichtingen.

Wat bij een mens blijft

• Toereikendheid. Of een vastlegging werkelijk laat zien wat de auditor nodig heeft, is een oordeel voor iemand die het proces kent.
• Het gesprek met de auditor. Mensen beantwoorden vragen, lichten context toe en aanvaarden of betwisten bevindingen.
• Gaten. Bepalen hoe u reageert op ontbrekend bewijs, en daar eerlijk over zijn, is een managementbeslissing.
• Corrigerende maatregelen. De AI kan ze volgen, maar de eigenaar bepaalt wat de oplossing is en bevestigt dat die is uitgevoerd.

Voordat u begint

The Everything draait binnen uw Microsoft 365-tenant (de eigen Microsoft-omgeving van uw organisatie) met nauw afgebakende rechten, maar uw gegevens verlaten de tenant wel voor AI-verwerking. Het privacybeleid noemt Microsoft (Azure OpenAI) en OpenAI als AI-aanbieders en vermeldt dat aanbieders informatie buiten uw land kunnen verwerken. De openbare website claimt geen certificering zoals SOC 2 of ISO 27001 (de internationale norm voor informatiebeveiliging) en noemt geen land waar de gegevens worden gehost.

Auditmappen verzamelen vaak gevoelig materiaal: personeelsdossiers, incidentrapporten, klantcontracten. Controleer voordat u begint uw eigen verplichtingen rond privacy en bewaring, eventuele geheimhoudingsafspraken met klanten of uw certificatie-instelling, en bepaal in welke sites en mappen de AI mag zoeken. The Everything claimt zelf geen certificering, dus het gebruik ervan is geen bewijs dat u aan een norm voldoet.

Veelgestelde vragen