Preparar evidencia de auditoría de seguridad para que la historia sea fácil de seguir.

Se acerca la auditoría y varios equipos están subiendo documentos a una carpeta compartida. Hay mucho material, pero es difícil decir qué archivo responde a qué pregunta. Una buena preparación de la evidencia de auditoría se trata menos de producir una gran colección y más de establecer la conexión entre el alcance de la auditoría, los registros relevantes y el trabajo que realmente ocurrió.

Comience con el alcance acordado. Una revisión de proceso interno, una auditoría de cliente y una auditoría de certificación pueden plantear diferentes preguntas. Confirme los criterios y el período solicitado con las personas adecuadas en lugar de adivinar desde la carpeta de la última auditoría.

Construya un mapa de evidencia en torno a las preguntas.

Considere el alcance de cada tema e identifique los registros que pueden ayudar a abordarlo. Para un proceso de inspección, eso podría incluir los controles planificados, una muestra de registros completados y el seguimiento de los hallazgos seleccionados. El punto es mostrar la relación entre el proceso y su uso.

Mantenga un índice simple con el tema, ubicación del registro, fecha o período, sitio relevante y persona que pueda explicarlo. Agregue una breve nota sobre el alcance cuando un documento cubra solo una parte de la pregunta. Esto ayuda a los revisores a evitar asumir que un registro se aplica más ampliamente de lo que realmente es.

No cambie el nombre ni reorganice la evidencia de manera tan amplia que los colegas ya no puedan reconocerla. Si se necesita una recopilación de auditoría separada, conserve una conexión clara con el registro autorizado y el contexto en el que se creó.

Elija una muestra con una secuencia legible

Una muestra útil puede seguir un tema desde su observación inicial hasta la respuesta y la verificación de finalización. El revisor debería poder comprender lo sucedido sin depender exclusivamente de la persona que lo presenta.

Incluya el hallazgo original, la acción acordada, la persona responsable y la evidencia del resultado relevante. Si el trabajo aún está abierto, muéstralo honestamente. Un elemento pendiente puede demostrar la situación actual más claramente que un registro incompleto presentado como terminado.

Evite seleccionar sólo los ejemplos más limpios si el enfoque de auditoría acordado requiere una muestra más amplia. Deje que el alcance de la auditoría y las disposiciones de muestreo guíen la selección. La preparación de evidencia debería hacer posible la revisión, no presentar una versión del proceso que el personal no reconozca.

Identificar lagunas antes de la reunión

Pídale a un colega que siga el mapa de evidencia. ¿Pueden abrir los archivos, identificar la versión actual y comprender qué pregunta aborda cada registro? Los permisos faltantes y los nombres de archivos ambiguos son más fáciles de resolver antes de que comience la revisión.

Cuando falte evidencia, registre la brecha y el siguiente paso. No recree un registro histórico como si se hubiera hecho en ese momento. Si se necesita una explicación posterior, aclare el momento y la fuente. La distinción entre evidencia contemporánea y aclaración posterior es importante para un relato honesto.

El HSE del Reino Unido señala en su guía sobre sistemas de gestión que sus inspectores consideran una variedad de pruebas y observaciones, en lugar de basarse únicamente en una norma declarada. Este es un útil recordatorio de que una colección de documentos por sí sola no establece cómo se gestiona el trabajo.

Preparar a las personas que entienden el trabajo.

Informe a los colegas relevantes el alcance y dónde se encuentran sus registros. Deberían poder explicar el proceso normal, incluido lo que sucede cuando algo sale mal. No necesitan un guión ensayado ni la afirmación de que cada disco es perfecto.

Si una persona clave estará ausente, identifique una cobertura adecuada y organice una transferencia factual. Evite asignar a alguien para que le explique una actividad técnica que no entiende simplemente porque está disponible ese día.

Compruebe cómo se manejará la información sensible. Acordar una forma adecuada de proporcionar las pruebas necesarias limitando al mismo tiempo los detalles personales o confidenciales no relacionados. Seguir los acuerdos aprobados por la organización y las necesidades legítimas de información de la auditoría.

Convertir los hallazgos en trabajo que la gente pueda poseer

Después de la auditoría, conserve el hallazgo en su contexto adecuado. Aclare la respuesta requerida y los plazos acordados a través del proceso de auditoría. Asigne el trabajo resultante a alguien que tenga una comprensión clara del problema y el apoyo necesario para actuar.

Mantenga conectada la evidencia del seguimiento para que la próxima revisión pueda ver qué cambió. Una carpeta con la etiqueta "cerrada" es mucho menos útil que un registro que explique el resultado.

Auditorías y Gestión de Cumplimiento son parte de CerthixCO. Para el seguimiento que se ha estancado, lea Por qué las acciones correctivas están atrasadas. La preparación funciona mejor cuando hace que los registros cotidianos sean más fáciles de entender durante todo el año.