Contrôles et assurance
Sachez si vos contrôles fonctionnent réellement, et pas seulement si une politique affirme qu'ils existent.
Reliez les définitions de contrôle à leurs mises en œuvre concrètes, à leurs tests, à leurs preuves et à leur validation indépendante, depuis une bibliothèque unique partagée entre le système de management de la qualité et le management du risque.
Vérifiez si vos contrôles fonctionnent réellement
Une bibliothèque de contrôles contient les définitions : à quoi sert un contrôle, qui en est responsable, s'il est préventif ou détectif, s'il s'exécute manuellement ou automatiquement. Adopter un jeu de contrôles vous donne ce point de départ. Rien de plus.
Ce qui rend un contrôle réel, c'est sa mise en œuvre : où il s'applique vraiment, quand ses preuves sont attendues, qui l'a testé et qui en a validé le résultat. Le système de management de la qualité et le management du risque puisent dans la même bibliothèque : un contrôle utilisé pour traiter un risque est donc l'enregistrement même que teste le programme d'audit.
À quoi cela ressemble
Conservez les définitions de contrôle dans une bibliothèque commune, utilisée à la fois par le système de management de la qualité et le management du risque.
Cas d\u2019usage
Un contrôle, deux usages
Une mesure de maîtrise utilisée pour traiter un risque répond à la même définition que celle testée par le programme d'audit. L'assurance et le management du risque cessent ainsi de diverger sur ce qui existe réellement.
Repérez vos échéances dépassées
Le tableau de suivi affiche les preuves manquantes ou périmées comme telles. Aucune exigence n'est considérée comme satisfaite au seul motif que personne n'a vérifié.
Suivre une défaillance jusqu'à sa source
Une observation non conforme donne lieu à une non-conformité. Celle-ci est reliée à l'action corrective ou au risque qui porte le travail à réaliser.
De la définition à la preuve de son fonctionnement
Une bibliothèque partagée
Définitions de contrôle partagées entre le SMQ et le management du risque, de sorte qu'un contrôle n'est pas maintenu deux fois avec deux réponses différentes.
Mises en œuvre
Implémentations concrètes des cibles et applicabilité, tenues à part de la définition qui en décrit l'intention.
Échéances
Ce qui est dû, ce qui manque et ce qui est devenu obsolète, sans jamais considérer une preuve absente comme une conformité.
Tests et validation
Un test terminé et un résultat approuvé sont deux états distincts. La validation indépendante est enregistrée comme un acte à part entière.
Non-conformités
Une observation en échec devient un enregistrement de non-conformité, orienté vers une action corrective ou vers le management du risque. Il ne s'agit pas d'une correction automatique.
Couverture, avec justification
Déclaration d'applicabilité, exclusions et couverture du référentiel, avec le raisonnement qui reste attaché.
Définition des contrôles
Distinguer la promesse de sa mise en œuvre
La définition d'un contrôle en précise l'objectif, le responsable, la nature et le fonctionnement. La définition ci-dessus est exactement cela : une description de ce que le contrôle doit permettre d'atteindre. Elle ne suffit pas à établir que le contrôle s'exécute.
C'est au niveau des mises en œuvre que la question se tranche. Chacune indique où le contrôle s'applique, quelles preuves sont attendues et à quel moment. Ce sont le résultat du test et sa validation indépendante qui transforment une intention en assurance. Les dérogations à la séparation des tâches, lorsqu'elles sont inévitables, sont consignées plutôt que tolérées en silence.
- Objectif, propriétaire, nature et mode de fonctionnement dans la définition
- Applicabilité et preuves d'audit attendues concernant la mise en œuvre
- Test et approbation enregistrés comme deux états distincts
- Exceptions à la séparation des tâches consignées lorsque l'indépendance n'est pas réalisable