Como reunir evidências para auditorias internas e de certificação

Auditorias internas e auditorias de certificação

Uma auditoria interna é aquela que você faz em si mesmo, para verificar se o que acontece na prática corresponde ao que dizem os seus procedimentos. Uma auditoria de certificação é feita por um organismo certificador externo segundo uma norma, geralmente uma norma de sistema de gestão como a ISO 9001 (qualidade), a ISO 14001 (meio ambiente) ou a ISO 45001 (saúde e segurança ocupacional). Auditorias de clientes e de fornecedores ficam em algum ponto entre as duas.

Este site não descreve os requisitos dessas normas cláusula por cláusula; leia a própria norma ou pergunte ao seu organismo certificador. Em termos gerais, uma auditoria de sistema de gestão procura evidências de que você definiu como trabalha, de que trabalha dessa forma, de que mantém registros que mostram isso e de que analisa e melhora o processo. As evidências costumam ser registros comuns da empresa: procedimentos, registros, registros de treinamento, fichas de inspeção, atas de reunião, ações corretivas.

Isso é uma boa notícia para a automação. As evidências já existem, espalhadas por pastas, caixas de correio e pessoas. O trabalho é reuni-las.

Do plano de auditoria à lista de evidências

A maioria das auditorias começa com um plano ou uma lista de solicitações do auditor, ou com o seu próprio checklist de auditoria interna. Transformar isso em evidências reunidas envolve sempre as mesmas etapas:

1. Dividir a solicitação em itens individuais, cada um com um responsável.
2. Encontrar o que já existe nos seus arquivos.
3. Pedir aos responsáveis o que você não encontrar.
4. Verificar se cada item é a versão vigente e cobre o período auditado.
5. Arquivar de forma que o auditor consiga seguir a trilha.
6. Manter uma lista de lacunas e decidir o que fazer com cada uma.

As etapas 1, 2, 3 e 5 e a lista de lacunas são rotina administrativa. A etapa 4 é em parte rotina administrativa (datas e versões) e em parte julgamento. Decidir o que fazer com as lacunas é julgamento.

Como um colaborador de IA reúne evidências

O The Everything pode ler o plano de auditoria ou o checklist que você fornecer e trabalhar nele dentro do seu locatário do Microsoft 365:

• Busca. Ele procura registros correspondentes no SharePoint e no OneDrive, como as atas das duas últimas análises críticas pela direção, o registro de riscos vigente ou os registros de inspeção de um local e período específicos.
• Reunião. Ele copia ou cria links do que encontra em uma pasta de auditoria, com um índice que associa cada item solicitado ao arquivo que o atende.
• Cobrança. Para os itens que não encontra, ele pergunta ao provável responsável por e-mail ou pelo Teams, faz o acompanhamento e arquiva o que receber.
• Sinalização. Ele anota os itens que parecem desatualizados ou fora do período auditado e lista as lacunas para você analisar.
• Redação. Depois da auditoria, ele pode transformar as constatações em uma lista de ações corretivas com responsáveis e prazos, e lembrar os responsáveis à medida que as datas se aproximam.

Como os mesmos registros alimentam todas as auditorias, manter atualizados o ano inteiro seus registros, seus documentos controlados e seus registros de treinamento reduz muito o trabalho de cada auditoria.

Mantenha os originais, não cópias que se desatualizam

Uma pasta de auditoria deve apontar para os seus registros reais, e não se tornar um segundo conjunto deles. Regras práticas que funcionam bem:

• Use link para a versão controlada sempre que puder e copie apenas quando o auditor precisar de um retrato fixo.
• Nunca edite um registro para que ele pareça melhor em uma auditoria. Se algo estiver faltando, registre a lacuna.
• Guarde o índice com a data em que foi montado e quem o aprovou.

Alguns setores regulados têm regras explícitas sobre trilhas de auditoria. Nos Estados Unidos, as regras da FDA para registros eletrônicos (21 CFR Part 11, §11.10(e), a regulamentação federal norte-americana sobre registros e assinaturas eletrônicos) exigem “trilhas de auditoria seguras, geradas por computador e com registro de data e hora” e determinam que “as alterações nos registros não devem ocultar informações registradas anteriormente”. Se você estiver sujeito a regras como essas, verifique como os seus sistemas de registro as cumprem; um assistente de IA não muda essas obrigações.

O que fica com uma pessoa

• Adequação. Se um registro realmente mostra o que o auditor precisa é um julgamento de alguém que conhece o processo.
• A conversa com o auditor. Pessoas respondem às perguntas, explicam o contexto e aceitam ou contestam as constatações.
• Lacunas. Decidir como responder à falta de evidências, e ser honesto sobre isso, é uma decisão da gestão.
• Ações corretivas. A IA pode acompanhá-las, mas o responsável decide qual é a correção e confirma que ela foi feita.

Antes de começar

O The Everything funciona dentro do seu locatário (tenant) do Microsoft 365 com permissões estritamente delimitadas, mas seus dados saem do locatário para o processamento por IA. A política de privacidade dele cita a Microsoft (Azure OpenAI) e a OpenAI como fornecedoras de IA e informa que os fornecedores podem processar informações fora do seu país. O site público não declara nenhuma certificação, como SOC 2 ou ISO 27001, e não informa um país de hospedagem.

As pastas de auditoria tendem a acumular material sensível: fichas de funcionários, relatórios de incidentes, contratos com clientes. Antes de começar, verifique suas próprias obrigações de privacidade e de guarda de registros e eventuais cláusulas de confidencialidade com clientes ou com o seu organismo certificador, e decida em quais sites e pastas a IA pode pesquisar. O The Everything não declara nenhuma certificação própria, portanto usá-lo não é evidência de conformidade com nenhuma norma.

Perguntas frequentes