Gromadzenie dowodów na audyty wewnętrzne i certyfikacyjne

Audyty wewnętrzne i certyfikacyjne

Audyt wewnętrzny przeprowadzają Państwo sami u siebie, aby sprawdzić, czy praktyka odpowiada temu, co mówią procedury. Audyt certyfikacyjny przeprowadza zewnętrzna jednostka certyfikująca według normy, najczęściej normy systemu zarządzania, takiej jak ISO 9001 (jakość), ISO 14001 (środowisko) lub ISO 45001 (bezpieczeństwo i higiena pracy). Audyty klientów i dostawców plasują się gdzieś pomiędzy.

Ta witryna nie opisuje wymagań tych norm punkt po punkcie; w tym celu warto sięgnąć do samej normy lub zapytać jednostkę certyfikującą. Ogólnie rzecz biorąc, audyt systemu zarządzania szuka dowodów na to, że określili Państwo sposób działania, że faktycznie tak działają, że prowadzą zapisy, które to pokazują, oraz że go przeglądają i doskonalą. Dowodami są zwykle zwyczajne dokumenty firmowe: procedury, rejestry, ewidencja szkoleń, karty kontroli, protokoły ze spotkań, działania korygujące.

To dobra wiadomość dla automatyzacji. Dowody już istnieją, rozproszone po folderach, skrzynkach pocztowych i ludziach. Praca polega na ich zebraniu.

Od planu audytu do listy dowodów

Większość audytów zaczyna się od planu lub listy żądań audytora albo od Państwa własnej listy kontrolnej audytu wewnętrznego. Przekształcenie jej w zebrane dowody wymaga za każdym razem tych samych kroków:

1. Rozbić żądanie na pojedyncze pozycje, każdą z właścicielem.
2. Znaleźć to, co już istnieje w Państwa plikach.
3. Poprosić właścicieli o to, czego nie da się znaleźć.
4. Sprawdzić, czy każda pozycja jest w aktualnej wersji i obejmuje audytowany okres.
5. Uporządkować ją tak, by audytor mógł prześledzić ślad.
6. Prowadzić listę braków i zdecydować, co zrobić z każdym z nich.

Kroki 1, 2, 3, 5 oraz lista braków to administracja. Krok 4 to częściowo administracja (daty i wersje), a częściowo osąd. Decyzja, co zrobić z brakami, to osąd.

Jak pracownik AI zestawia dowody

The Everything może odczytać przekazany mu plan audytu lub listę kontrolną i przejść przez nią w Państwa dzierżawie Microsoft 365 (tenant):

• Wyszukiwanie. Szuka pasujących zapisów w SharePoint i OneDrive, takich jak protokoły z dwóch ostatnich przeglądów zarządzania, aktualny rejestr ryzyk czy zapisy z kontroli dla danej lokalizacji i okresu.
• Zestawianie. Kopiuje znalezione materiały lub umieszcza do nich linki w jednym folderze audytowym, wraz ze spisem przyporządkowującym każdą pozycję żądania do pliku, który na nią odpowiada.
• Ponaglanie. W przypadku pozycji, których nie może znaleźć, pyta prawdopodobnego właściciela e-mailem lub w Teams, wraca do sprawy i zapisuje to, co otrzyma.
• Sygnalizowanie. Odnotowuje pozycje, które wyglądają na nieaktualne lub wykraczają poza audytowany okres, i sporządza listę braków do Państwa przeglądu.
• Przygotowywanie projektów. Po audycie może przekształcić ustalenia w listę działań korygujących z właścicielami i terminami oraz przypominać właścicielom o zbliżających się terminach.

Ponieważ te same zapisy zasilają każdy audyt, utrzymywanie przez cały rok aktualności rejestrów, dokumentów nadzorowanych i ewidencji szkoleń sprawia, że każdy audyt wymaga znacznie mniej pracy.

Oryginały zamiast rozjeżdżających się kopii

Folder audytowy powinien wskazywać na Państwa rzeczywiste zapisy, a nie stawać się ich drugim zestawem. Praktyczne zasady, które dobrze się sprawdzają:

• Tam, gdzie to możliwe, linkować do wersji nadzorowanej, a kopiować tylko wtedy, gdy audytor potrzebuje utrwalonego stanu na dany moment.
• Nigdy nie edytować zapisu, aby lepiej wyglądał na audycie. Jeśli czegoś brakuje, odnotować lukę.
• Przechowywać spis z datą jego sporządzenia i informacją, kto go zatwierdził.

Niektóre branże regulowane mają wyraźne zasady dotyczące ścieżki audytu. W Stanach Zjednoczonych przepisy FDA (amerykańskiej Agencji Żywności i Leków) dotyczące zapisów elektronicznych (21 CFR Part 11, §11.10(e)) wymagają „bezpiecznych, generowanych komputerowo ścieżek audytu z oznaczeniem czasu” i stanowią, że „zmiany w zapisach nie mogą zasłaniać wcześniej zarejestrowanych informacji”. Jeśli podlegają Państwo takim zasadom, proszę sprawdzić, jak Państwa systemy ewidencyjne je spełniają; asystent AI nie zmienia tych obowiązków.

Co pozostaje przy człowieku

• Adekwatność. To, czy zapis rzeczywiście pokazuje to, czego potrzebuje audytor, ocenia ktoś, kto zna dany proces.
• Rozmowa z audytorem. Ludzie odpowiadają na pytania, wyjaśniają kontekst oraz przyjmują lub kwestionują ustalenia.
• Braki. Sposób reakcji na brakujące dowody, w tym uczciwe postawienie sprawy, to decyzja kierownictwa.
• Działania korygujące. AI może je śledzić, ale to właściciel decyduje, na czym polega poprawka, i potwierdza jej wykonanie.

Zanim Państwo zaczną

The Everything działa w Państwa dzierżawie Microsoft 365 (tenant) z wąsko określonymi uprawnieniami, ale Państwa dane opuszczają dzierżawę w celu przetwarzania przez AI. Polityka prywatności wymienia Microsoft (Azure OpenAI) i OpenAI jako dostawców AI i zaznacza, że dostawcy mogą przetwarzać informacje poza Państwa krajem. Publiczna witryna nie deklaruje żadnej certyfikacji, takiej jak SOC 2 czy ISO 27001, ani nie wskazuje kraju hostingu.

W folderach audytowych zwykle gromadzą się materiały wrażliwe: akta osobowe, raporty z incydentów, umowy z klientami. Przed rozpoczęciem warto sprawdzić własne obowiązki w zakresie prywatności i przechowywania dokumentacji, wszelkie klauzule poufności wobec klientów lub jednostki certyfikującej, a także zdecydować, które witryny i foldery AI może przeszukiwać. The Everything sam nie deklaruje żadnej certyfikacji, więc korzystanie z niego nie jest dowodem zgodności z jakąkolwiek normą.

Najczęściej zadawane pytania