Контроль і гарантії
Знайте, чи ваші контролі справді працюють, а не лише те, що вони існують на папері згідно з політикою.
Прив’яжіть визначення контролів до реальних реалізацій, тестів, доказів і незалежного підтвердження. Усе це - в одній бібліотеці, спільній для управління якістю та ризиками.
Перевірте, чи ваші заходи контролю справді працюють
Бібліотека заходів контролю містить визначення: для чого потрібен захід, хто за нього відповідає, є він запобіжним чи виявним, виконується вручну чи автоматично. Готовий набір заходів дає вам відправну точку. І не більше того.
Реальним захід контролю робить його впровадження: де він застосовується насправді, коли треба надати докази, хто його перевіряв і хто затвердив результат. Управління якістю та управління ризиками спираються на ту саму бібліотеку. Тож захід, яким ви обробляєте ризик, - це той самий запис, який перевіряє програма аудиту.
Як це виглядає
Зберігайте визначення контролів у спільній бібліотеці, якою користуються і система управління якістю, і система управління ризиками.
Сценарії використання
Один захід контролю - два застосування
Контроль, на який ви покладаєтеся для обробки ризику, має те саме визначення, що й контроль, який перевіряє програма аудиту. Тож оцінка відповідності та управління ризиками більше не сперечаються про те, що існує насправді.
Знайте, що прострочено
Дошка контролю показує відсутні та застарілі докази саме як відсутні й застарілі. Жоден пункт не стає виконаним через те, що на нього ніхто не подивився.
Простежте помилку до її джерела
Невдале спостереження створює невідповідність. Ця невідповідність пов'язана з коригувальною дією або ризиком, за якими закріплено відповідну роботу.
Від визначення до доказу, що воно працює
Спільна бібліотека
Визначення контролів спільні для модулів QMS і Risk Management. Тож ви не ведете один контроль двічі й не отримуєте дві різні відповіді.
Впровадження
Конкретні реалізації для цільового середовища та сфера застосування. Зберігаються окремо від визначення, яке описує призначення.
Дедлайни
Що потрібно надати, чого бракує, а що застаріло. Відсутні докази не зараховуються як виконана вимога.
Тестування та узгодження
Пройдений тест і затверджений результат - це різні стани. Незалежне підтвердження фіксується як окрема дія.
Невідповідності
Невдале спостереження стає записом про невідповідність. Далі його можна спрямувати в коригувальні дії або в оцінку ризику. Автоматичного усунення не відбувається.
Область охоплення та її обґрунтування
Заява про застосовність, винятки та охоплення нормативних вимог із збереженим обґрунтуванням.
Визначення контролю
Відділіть обіцянку від її реалізації
Опис контролю фіксує його мету, власника, характер і спосіб роботи. Наведений вище опис саме такий: він показує, чого контроль має досягти. Сам по собі він не доводить, що контроль справді працює.
Це вирішується на рівні впровадження. Кожне впровадження визначає, де застосовується контроль, які докази очікуються і коли. Саме результат перевірки та його незалежне підтвердження перетворюють намір на реальну гарантію. Винятки з розподілу обов'язків, якщо їх не уникнути, фіксуються, а не допускаються мовчки.
- Мета, власник, характер і спосіб роботи щодо визначення
- Сфера застосування та очікувані докази впровадження
- Тестування та затвердження фіксуються як окремі стани
- Зафіксовані винятки з поділу обов'язків у випадках, коли незалежність недосяжна