Samla underlag för interna revisioner och certifieringsrevisioner

Interna revisioner och certifieringsrevisioner

En intern revision genomför du själv, för att kontrollera att det som händer i praktiken stämmer med vad era rutiner säger. En certifieringsrevision genomförs av ett externt certifieringsorgan mot en standard, ofta en ledningssystemstandard som ISO 9001 (kvalitet), ISO 14001 (miljö) eller ISO 45001 (arbetsmiljö). Kund- och leverantörsrevisioner hamnar någonstans mittemellan.

Den här webbplatsen beskriver inte kraven i de standarderna punkt för punkt; läs standarden själv eller fråga ditt certifieringsorgan. I allmänna termer letar en revision av ett ledningssystem efter belägg för att du har definierat hur ni arbetar, att ni faktiskt arbetar så, att ni har dokumentation som visar det och att ni följer upp och förbättrar det. Underlaget är oftast vanlig verksamhetsdokumentation: rutiner, register, utbildningsregister, kontrollprotokoll, mötesprotokoll, korrigerande åtgärder.

Det är goda nyheter för automatisering. Underlaget finns redan, utspritt över mappar, brevlådor och personer. Arbetet består i att samla ihop det.

Från revisionsplan till underlagslista

De flesta revisioner börjar med en plan eller en lista över begärt underlag från revisorn, eller med din egen checklista för intern revision. Att omvandla den till insamlat underlag innebär samma steg varje gång:

1. Dela upp begäran i enskilda punkter, var och en med en ansvarig.
2. Hitta det som redan finns i era filer.
3. Be de ansvariga om sådant du inte hittar.
4. Kontrollera att varje punkt är den gällande versionen och täcker den period som granskas.
5. Arkivera det så att revisorn kan följa spåret.
6. För en lista över luckor och bestäm vad som ska göras åt var och en.

Steg 1, 2, 3, 5 och listan över luckor är administration. Steg 4 är delvis administration (datum och versioner) och delvis bedömning. Att bestämma vad som ska göras åt luckorna är bedömning.

Så sammanställer en AI-medarbetare underlaget

The Everything kan läsa revisionsplanen eller checklistan du ger den och arbeta sig igenom den i din Microsoft 365-klientorganisation:

• Söka. Den letar efter matchande dokumentation i SharePoint och OneDrive, till exempel protokollen från de två senaste ledningens genomgångar, det aktuella riskregistret eller besiktningsprotokoll för en viss arbetsplats och period.
• Sammanställa. Den kopierar eller länkar det den hittar till en revisionsmapp, med en förteckning som kopplar varje begärd punkt till filen som besvarar den.
• Jaga. För punkter den inte hittar frågar den den troliga ansvariga via e-post eller Teams, följer upp och arkiverar det som kommer tillbaka.
• Flagga. Den noterar punkter som ser inaktuella ut eller ligger utanför revisionsperioden och listar luckor som du får gå igenom.
• Skriva utkast. Efter revisionen kan den göra om revisionsanmärkningarna till en lista med korrigerande åtgärder, ansvariga och förfallodatum, och påminna de ansvariga när datumen närmar sig.

Eftersom samma dokumentation matar varje revision blir varje revision betydligt mindre arbete om du håller dina register, styrda dokument och utbildningsregister aktuella hela året.

Behåll originalen, inte kopior som glider isär

En revisionsmapp ska peka på era riktiga dokument, inte bli en andra uppsättning av dem. Praktiska regler som fungerar bra:

• Länka till den styrda versionen där det går, och kopiera bara när revisorn behöver en fast ögonblicksbild.
• Redigera aldrig ett dokument för att det ska se bättre ut inför en revision. Om något saknas, dokumentera luckan.
• Spara förteckningen med datumet då den sammanställdes och vem som godkände den.

Vissa reglerade branscher har uttryckliga regler för verifieringskedjor (audit trails). I USA kräver reglerna från FDA (den amerikanska livsmedels- och läkemedelsmyndigheten) för elektroniska register (21 CFR Part 11, §11.10(e), de federala föreskrifterna om elektroniska register och signaturer) ”säkra, datorgenererade, tidsstämplade verifieringskedjor” och anger att ”ändringar i register inte får dölja tidigare registrerad information”. Om sådana regler gäller för dig, kontrollera hur era dokumentsystem uppfyller dem; en AI-assistent ändrar inte de skyldigheterna.

Det som stannar hos en människa

• Tillräcklighet. Om ett dokument faktiskt visar det revisorn behöver är en bedömning för någon som känner processen.
• Samtalet med revisorn. Människor svarar på frågor, förklarar sammanhang och accepterar eller bestrider revisionsanmärkningar.
• Luckor. Att bestämma hur man hanterar saknat underlag, och att vara ärlig om det, är ett ledningsbeslut.
• Korrigerande åtgärder. AI:n kan följa upp dem, men den ansvariga bestämmer vad åtgärden är och bekräftar att den är genomförd.

Innan du börjar

The Everything körs i din Microsoft 365-klientorganisation (tenant) med snävt avgränsade behörigheter, men dina data lämnar klientorganisationen för AI-bearbetning. Integritetspolicyn anger Microsoft (Azure OpenAI) och OpenAI som AI-leverantörer och att leverantörerna kan behandla information utanför ditt land. Den offentliga webbplatsen gör inte anspråk på någon certifiering som SOC 2 eller ISO 27001 (standarder för informationssäkerhet), och den anger inte i vilket land tjänsten driftas.

Revisionsmappar tenderar att samla känsligt material: personalakter, incidentrapporter, kundavtal. Innan du börjar, kontrollera dina egna skyldigheter kring integritet och arkivering, eventuella sekretessvillkor med kunder eller ditt certifieringsorgan, och bestäm vilka webbplatser och mappar AI:n får söka i. The Everything gör inte själv anspråk på någon certifiering, så att använda den är inget belägg för att någon standard efterlevs.

Vanliga frågor