En afvigelse er ikke fejlen; den er registreringen af den. En intern audit finder en gennemgang, der ikke blev udført, en hændelse viser en foranstaltning, der ikke holdt, en kundes spørgeskema afslører en politik, ingen har godkendt, og ISO 27001 kræver ikke, at intet af dette nogensinde sker. Den spørger, i punkt 10.2, hvad virksomheden gør derefter, og den kræver beviset. Den konstatering, der bliver rettet samme eftermiddag og aldrig skrevet ned, er for certificeringsauditoren en konstatering, der aldrig blev håndteret, og den dukker op ved næste audit som en anden afvigelse om den første. Denne artikel læser punktet som en rækkefølge, nævner de syv afsnit i en registrering, en auditor anerkender, holder korrektionen adskilt fra den korrigerende handling, opregner de fejl, der genåbner en lukket konstatering, og peger på den gratis side, der skriver registreringen i punktets rækkefølge ud fra konstateringen, årsagen, handlingen og kontrollen.

Hvad punktet kræver, som en rækkefølge

Punktet er kort, og det er en rækkefølge. Først reagere: stoppe problemet og korrigere det, hvor det er muligt, og håndtere det, det allerede har forårsaget. Dernæst lede efter årsagen: gennemgå hvad der skete, finde ud af hvorfor den eksisterende ordning lod det slippe igennem, og spørge om den samme eller en lignende afvigelse findes andre steder eller kunne gøre det. Så handle på årsagen, hvor en handling er nødvendig, så den ikke kommer igen her og ikke opstår dér. Derefter kontrollere, at handlingen virkede. Til sidst ændre selve ledelsessystemet dér, hvor årsagen lå, i en procedure, en rolle, en foranstaltning eller risikoregistret. Rundt om det står én sætning om proportion, at handlingen skal svare til afvigelsens virkning, og ét krav om registreringer: hvad afvigelsen var, og hvad der blev gjort ved den, og hvad den korrigerende handling opnåede, opbevaret som dokumenteret information efter punkt 7.5. To ting følger af at læse det sådan. En registrering, der kun har det første trin, er en halv registrering, fordi punktet bruger de fleste af sine ord på årsagen og kontrollen. Og det sidste trin er det, der oftest springes over: Årsagen findes, handlingen udføres, og den procedure, der tillod det, ændres aldrig, så den samme konstatering vender tilbage et år senere med et nyt nummer.

De syv afsnit i en registrering, en auditor anerkender

Registreringen har syv afsnit, i standardens rækkefølge. Et: afvigelsen, skrevet som bevis og ikke som mening, med hvad der blev fundet, hvor, hvornår, af hvem, og imod hvilket krav i standarden eller hvilken foranstaltning i virksomhedens egen erklæring om anvendelighed. To: korrektionen og følgerne, hvad der blev gjort med det samme for at stoppe og rette tilfældet, og hvad det allerede havde forårsaget, og hvordan det blev håndteret, den fratrådtes konto fjernet og dens brug siden fratrædelsesdatoen kontrolleret. Tre: årsagen, med den metode der blev brugt til at finde den, fem gange hvorfor, et årsag-virkning-diagram eller en almindelig gennemgang, og skrevet som grunden til, at ordningen svigtede, ikke som symptomet: ikke "gennemgangen blev sprunget over", men "gennemgangen var tildelt én person ved navn, og ingen holdt den under vedkommendes ferie". Fire: om det samme problem findes andre steder, fordi en årsag af den slags sjældent bor ét sted, og svaret, kontrolleret og skrevet ned, enten udvider handlingen eller noterer, at de andre steder blev set efter. Fem: den korrigerende handling, en ændring af ordningen frem for endnu en påmindelse, med en ejer og en frist, og i proportion: En slåfejl i en politik kræver en korrektion og en note, en sprunget gennemgang af adgange til produktionsdatabasen kræver hele rækkefølgen. Seks: effektivitetskontrollen, med en dato efter handlingen og en kontrolmåde, der er bevis, de næste to kvartalsgennemgange afsluttet inden for kvartalet og synlige i opgavesystemet, og en resultatlinje, der forbliver tom, indtil kontrollen er gennemført. Syv: ændringen af ledelsessystemet, hvilket dokument, hvilken post i risikoregistret, hvilken foranstaltning, og dens fornyede godkendelse, eller en sætning om, at ingen ændring er nødvendig, og hvorfor. Registreringen lukkes først, når afsnit seks har et resultat, og den opbevares med status og dato.

Korrektion er ikke korrigerende handling

Punktet bruger to ord, som registreringen skal holde adskilt. Korrektionen er det, der retter tilfældet: gennemgangen udført for sent, kontoen fjernet, dokumentet godkendt. Den korrigerende handling er det, der ændrer ordningen, så tilfældet ikke gentager sig: gennemgangen tildelt en rolle med en stedfortræder og oprettet af opgavesystemet den første dag i kvartalet. En registrering, der arkiverer korrektionen under korrigerende handling, den hyppigste konstatering om konstateringer, fortæller auditoren, at årsagen aldrig blev søgt, og standardens egen prøve er spørgsmålet om gentagelse: Hvis det samme kunne ske næste kvartal på samme måde, er kun korrektionen gjort. Sætningen om proportion skærer den anden vej og vejer lige så tungt: Ikke enhver afvigelse kræver en årsagsanalyse, en handlingsplan og en ændring af systemet, og en virksomhed, der kører hele rækkefølgen på hver slåfejl, frembringer et register, ingen læser. Skønnet, noteret i én linje, er det, punktet kræver, afvigelsens virkning afgør, hvor langt rækkefølgen går, og auditoren læser linjen.

De fejl, der genåbner en konstatering

Registreringen lukket den dag, handlingen blev udført, uden kontrol af, at den virkede; auditoren beder om beviset for effektiviteten, og der er intet. Årsagen skrevet som symptomet, så handlingen er en påmindelse, og konstateringen vender tilbage. Ingen spurgte, om det samme problem findes andre steder, og auditoren finder det dér. Handlingen har ingen ejer eller ingen dato, så ledelsens evaluering ikke kan rapportere om den efter punkt 9.3, og den næste interne audit efter punkt 9.2 finder den stadig åben. Den procedure, der lod det slippe igennem, blev aldrig ændret, eller ændret og aldrig godkendt igen, så den dokumenterede information efter punkt 7.5 modsiger registreringen. Konstateringerne fra certificeringsauditten blev håndteret, og dem fra de interne audits blev ikke, eller omvendt, fordi de to boede forskellige steder. Registreringen blev lukket af den person, der ejede handlingen, uden at nogen anden så på den. Og intet register, så ingen kan sige, hvor mange afvigelser der blev oprettet og lukket i perioden, hvilket er den første af de fire tendenser, ledelsens evaluering rapporterer om. Hver af disse fejl undgås ved at skrive registreringen i punktets rækkefølge og lade et afsnit stå tomt frem for at springe det over, for et tomt afsnit er synligt, og et oversprunget er det ikke.

Hvad I skal gøre med det

Indtast konstateringen på den gratis side: virksomheden, referencen, datoen og hvor konstateringen kom fra, det berørte krav, derefter afvigelsen, korrektionen og følgerne, årsagen og metoden, om den findes andre steder, handlingen med ejer og frist, hvordan og hvornår effektiviteten kontrolleres, og om ledelsessystemet ændres. Siden skriver registreringen i punktets rækkefølge, med registreringens fakta i linket og den frie tekst på siden, og lader effektivitetsresultatet stå som et hul, indtil kontrollen er gennemført. Kopiér den, lad en anden end handlingens ejer lukke den, arkivér den som afvigelsens dokumenterede information, og tæl den med i den næste ledelsesevaluering. StandardOS åbner en afvigelse fra en auditkonstatering, en fejlet kontrol eller en hændelse, med korrektionen, årsagen, handlingen, ejeren og verifikationen som felter, fristen i sigte, og ledelsens evaluering, der samler de åbne op; det interne auditprogram er dér, hvor de fleste konstateringer kommer fra, referatet af ledelsens evaluering er dér, hvor de tælles, og foranstaltningerne i anneks A er dér, hvor det berørte krav som regel nævnes.