Préparer les preuves d'audit de sécurité afin que l'histoire soit facile à suivre

L'audit approche et plusieurs équipes téléchargent des documents dans un dossier partagé. Il existe de nombreux documents, mais il est difficile de dire quel dossier répond à quelle question. Une bonne préparation des éléments probants consiste moins à produire une vaste collection qu’à établir le lien entre la portée de l’audit, les enregistrements pertinents et le travail réellement effectué.

Commencez par la portée convenue. Une revue de processus interne, un audit client et un audit de certification peuvent poser différentes questions. Confirmez les critères et la période demandée avec les personnes appropriées au lieu de deviner à partir du dossier du dernier audit.

Construisez une carte des preuves autour des questions

Prenez chaque sujet dans son champ d'application et identifiez les enregistrements qui peuvent aider à l'aborder. Pour un processus d'inspection, cela pourrait inclure les contrôles planifiés, un échantillon de dossiers complétés et le suivi des constatations sélectionnées. Il s’agit de montrer la relation entre le procédé et son utilisation.

Conservez un index simple avec le sujet, le lieu d'enregistrement, la date ou la période, le site pertinent et la personne qui peut l'expliquer. Ajoutez une brève note sur la portée lorsqu'un document ne couvre qu'une partie de la question. Cela aide les réviseurs à éviter de supposer qu'un enregistrement s'applique plus largement qu'il ne l'est.

Ne renommez pas ou ne réorganisez pas les preuves de manière à ce que vos collègues ne puissent plus les reconnaître. Si une collection d’audit distincte est nécessaire, conservez un lien clair avec le document faisant autorité et le contexte dans lequel il a été créé.

Choisissez un échantillon avec une séquence lisible

Un échantillon utile peut suivre un problème depuis son observation initiale jusqu'à la vérification de la réponse et de l'achèvement. L'examinateur doit être capable de comprendre ce qui s'est passé sans se fier entièrement à la personne qui le présente.

Incluez la conclusion initiale, l’action convenue, la personne responsable et les preuves de résultats pertinentes. Si le travail est encore ouvert, montrez-le honnêtement. Un élément en attente peut démontrer la position actuelle plus clairement qu'un enregistrement incomplet présenté comme terminé.

Évitez de sélectionner uniquement les exemples les plus précis si l’approche d’audit convenue nécessite un échantillon plus large. Laissez la portée de l’audit et les modalités d’échantillonnage guider la sélection. La préparation des preuves devrait rendre l’examen possible, et non mettre en scène une version du processus que le personnel ne reconnaît pas.

Identifier les lacunes avant la réunion

Demandez à un collègue de suivre la carte des preuves. Peuvent-ils ouvrir les fichiers, identifier la version actuelle et comprendre à quelle question répond chaque enregistrement ? Les autorisations manquantes et les noms de fichiers ambigus sont plus faciles à résoudre avant le début de l'examen.

Lorsqu’il manque des preuves, notez l’écart et l’étape suivante. Ne recréez pas un document historique comme s’il avait été réalisé à l’époque. Si une explication ultérieure est nécessaire, indiquez clairement son timing et sa source. La distinction entre les preuves contemporaines et les clarifications ultérieures est importante pour un récit honnête.

Le HSE britannique note dans ses guides sur les systèmes de gestion que ses inspecteurs prennent en compte une série de preuves et d'observations, plutôt que de s'appuyer uniquement sur une norme revendiquée. Il s’agit d’un rappel utile qu’une collection de documents à elle seule ne permet pas d’établir comment le travail est géré.

Préparer les personnes qui comprennent le travail

Informez les collègues concernés de la portée et de l’emplacement de leurs dossiers. Ils devraient être capables d’expliquer le processus normal, y compris ce qui se passe en cas de problème. Ils n’ont pas besoin d’un scénario répété ou d’affirmer que chaque disque est parfait.

Si une personne clé est absente, identifiez une couverture appropriée et organisez un transfert factuel. Évitez de demander à quelqu'un d'expliquer une activité technique qu'il ne comprend pas simplement parce qu'il est disponible le jour même.

Vérifiez comment les informations sensibles seront traitées. Convenez d’une manière appropriée de fournir les preuves nécessaires tout en limitant les détails personnels ou confidentiels sans rapport. Suivez les dispositions approuvées par l'organisation et les besoins légitimes d'information de l'audit.

Transformez vos résultats en un travail que les gens peuvent s'approprier

Après l’audit, conservez la constatation dans son contexte approprié. Clarifiez la réponse requise et les éventuels délais convenus tout au long du processus d’audit. Confiez le travail qui en résulte à une personne ayant une compréhension claire du problème et disposant du soutien nécessaire pour agir.

Gardez les preuves de suivi connectées afin que le prochain examen puisse voir ce qui a changé. Un dossier étiqueté « fermé » est beaucoup moins utile qu'un dossier expliquant le résultat.

Audits et Gestion de la conformité font partie de CerthixCO. Pour le suivi qui est au point mort, lisez Pourquoi les actions correctives sont en retard. La préparation fonctionne mieux lorsqu’elle rend les enregistrements quotidiens plus faciles à comprendre tout au long de l’année.