Audit readiness
L’audit dovrebbe verificare. Non ricostruire.
Le evidenze devono nascere durante il processo, essere collegate ai controlli e avere ownership, data, validità e tracciabilità.
Il giorno dell’audit è troppo tardi per iniziare a cercare le prove.
Quando documenti, approvazioni e responsabilità sono distribuiti tra cartelle, email e persone diverse, ogni verifica diventa un lavoro di ricostruzione. Il problema non è soltanto trovare i file: è dimostrare a quale controllo appartengono, chi li ha prodotti e se sono ancora validi.
Ogni evidenza deve avere un contesto
- 01
Control: quale requisito o controllo dimostra?
- 02
Owner: chi è responsabile?
- 03
Evidence: quale documento, registro o attività produce la prova?
- 04
Frequency: con quale frequenza deve essere aggiornata?
- 05
Validity: fino a quando può essere considerata valida?
- 06
Traceability: chi l’ha prodotta e quando?
Dalla raccolta manuale alla disponibilità continua
Collegare
Associamo ogni controllo alle evidenze realmente necessarie.
Assegnare
Definiamo owner, frequenza e responsabilità di aggiornamento.
Verificare
Identifichiamo evidenze mancanti, scadute o non sufficientemente tracciabili.
Cosa deve essere disponibile prima dell’audit
registro dei controlli
mappa delle evidenze
owner per controllo ed evidenza
data di raccolta e validità
evidenze mancanti o scadute
storico delle verifiche
struttura esportabile per revisori e auditor
Richiesta
Quanto tempo richiede oggi ricostruire le evidenze?
Descrivi il framework, l’audit o il processo di verifica che devi gestire. Il primo obiettivo è capire dove si trovano le prove e chi ne è responsabile.