Preparar evidências de auditoria de segurança para que a história seja fácil de acompanhar

A auditoria está se aproximando e diversas equipes estão enviando documentos para uma pasta compartilhada. Há muito material, mas é difícil dizer qual arquivo responde a qual pergunta. Uma boa preparação de evidências de auditoria tem menos a ver com produzir uma grande coleção e mais com fazer a conexão entre o escopo da auditoria, os registros relevantes e o trabalho que realmente aconteceu.

Comece com o escopo acordado. Uma revisão de processo interno, uma auditoria de cliente e uma auditoria de certificação podem fazer perguntas diferentes. Confirme os critérios e o período solicitado com as pessoas apropriadas em vez de adivinhar na pasta da última auditoria.

Construa um mapa de evidências em torno das questões

Analise o escopo de cada tópico e identifique os registros que podem ajudar a abordá-lo. Para um processo de inspeção, isso pode incluir as verificações planeadas, uma amostra de registros preenchidos e o acompanhamento das conclusões selecionadas. O objetivo é mostrar a relação entre o processo e seu uso.

Mantenha um índice simples com o tema, local de registro, data ou período, site relevante e pessoa que possa explicá-lo. Adicione uma breve nota sobre o escopo quando um documento cobrir apenas parte da questão. Isso ajuda os revisores a evitar presumir que um registro se aplica de forma mais ampla do que realmente é.

Não renomeie ou reorganize as evidências de forma tão extensa que os colegas não consigam mais reconhecê-las. Se for necessária uma coleção de auditoria separada, preserve uma conexão clara com o registro oficial e o contexto em que foi criado.

Escolha uma amostra com uma sequência legível

Uma amostra útil pode acompanhar um problema desde sua observação inicial até a resposta e verificação de conclusão. O revisor deve ser capaz de compreender o que aconteceu sem depender inteiramente da pessoa que o apresentou.

Inclua a conclusão original, a ação acordada, a pessoa responsável e as evidências dos resultados relevantes. Se o trabalho ainda estiver aberto, mostre isso honestamente. Um item pendente pode demonstrar a posição atual com mais clareza do que um registro incompleto apresentado como finalizado.

Evite selecionar apenas os exemplos mais claros se a abordagem de auditoria acordada exigir uma amostra mais ampla. Deixe que o escopo da auditoria e os arranjos de amostragem orientem a seleção. A preparação de provas deve tornar a revisão possível e não encenar uma versão do processo que o pessoal não reconheça.

Identifique lacunas antes da reunião

Peça a um colega para seguir o mapa de evidências. Eles conseguem abrir os arquivos, identificar a versão atual e entender qual questão cada registro aborda? Permissões ausentes e nomes de arquivos ambíguos são mais fáceis de resolver antes do início da revisão.

Onde faltarem evidências, registre a lacuna e o próximo passo. Não recrie um registro histórico como se tivesse sido feito na época. Se for necessária uma explicação posterior, deixe claro o momento e a origem. A distinção entre evidências contemporâneas e esclarecimentos posteriores é importante para um relato honesto.

A HSE do Reino Unido observa nas suas orientações sobre sistemas de gestão que os seus inspetores consideram uma série de evidências e observações, em vez de confiar apenas numa norma reivindicada. Este é um lembrete útil de que uma recolha de documentos por si só não estabelece como o trabalho é gerido.

Prepare as pessoas que entendem do trabalho

Deixe os colegas relevantes saberem o escopo e onde estão seus registros. Eles devem ser capazes de explicar o processo normal, inclusive o que acontece quando algo dá errado. Eles não precisam de um roteiro ensaiado ou da afirmação de que todo disco é perfeito.

Se uma pessoa chave estiver ausente, identifique uma cobertura adequada e organize uma transferência fatual. Evite designar alguém para explicar uma atividade técnica que ele não entende apenas porque está disponível no dia.

Verifique como as informações confidenciais serão tratadas. Combine uma maneira apropriada de fornecer as evidências necessárias, limitando ao mesmo tempo detalhes pessoais ou confidenciais não relacionados. Siga os acordos aprovados pela organização e as necessidades legítimas de informação da auditoria.

Transforme descobertas em trabalho com responsáveis definidos

Após a auditoria, preserve a descoberta em seu contexto adequado. Esclareça a resposta necessária e quaisquer prazos acordados durante o processo de auditoria. Atribua o trabalho resultante a alguém com uma compreensão clara do problema e com o apoio necessário para agir.

Mantenha as evidências de acompanhamento conectadas para que a próxima revisão possa ver o que mudou. Uma pasta rotulada como “fechada” é muito menos útil do que um registro explicando o resultado.

Auditorias e Gestão de conformidade fazem parte do CerthixCO. Para um acompanhamento que está paralisado, leia Por que as ações corretivas ficam atrasadas. A preparação funciona melhor quando facilita a compreensão dos registros diários ao longo do ano.