Eine Nichtkonformität ist nicht das Versagen; sie ist dessen Aufzeichnung. Ein internes Audit findet eine Überprüfung, die nicht stattgefunden hat, ein Vorfall zeigt eine Maßnahme, die nicht gehalten hat, der Fragebogen eines Kunden bringt eine Richtlinie zum Vorschein, die niemand freigegeben hat, und ISO 27001 verlangt nicht, dass nichts davon je passiert. Sie fragt in Abschnitt 10.2, was das Unternehmen als Nächstes tut, und sie verlangt den Nachweis. Die Feststellung, die am selben Nachmittag behoben und nie aufgeschrieben wird, ist für den Zertifizierungsauditor eine Feststellung, die nie behandelt wurde, und sie taucht beim nächsten Audit als zweite Nichtkonformität über die erste wieder auf. Dieser Artikel liest den Abschnitt als Abfolge, benennt die sieben Abschnitte einer Aufzeichnung, die ein Auditor anerkennt, trennt die Korrektur von der Korrekturmaßnahme, zählt die Fehler auf, die eine geschlossene Feststellung wieder öffnen, und verweist auf die kostenlose Seite, die die Aufzeichnung in der Reihenfolge des Abschnitts aus Feststellung, Ursache, Maßnahme und Prüfung schreibt.

Was der Abschnitt verlangt, als Abfolge

Der Abschnitt ist kurz, und er ist eine Abfolge. Erstens reagieren: das Problem stoppen und korrigieren, wo das möglich ist, und mit dem umgehen, was es bereits verursacht hat. Zweitens die Ursache suchen: prüfen, was passiert ist, herausfinden, warum die bestehende Regelung es durchgelassen hat, und fragen, ob dieselbe oder eine ähnliche Nichtkonformität anderswo besteht oder bestehen könnte. Drittens auf die Ursache einwirken, wo eine Maßnahme nötig ist, damit sie hier nicht wiederkehrt und dort nicht auftritt. Viertens hinterher prüfen, ob die Maßnahme gewirkt hat. Fünftens das Managementsystem selbst ändern, wo die Ursache in einem Verfahren, einer Rolle, einer Maßnahme oder dem Risikoregister lag. Darum herum steht ein Satz zum Verhältnis, dass die Maßnahme der Auswirkung der Nichtkonformität entsprechen soll, und eine Anforderung an Aufzeichnungen: was die Nichtkonformität war und was dagegen getan wurde, und was die Korrekturmaßnahme erreicht hat, aufbewahrt als dokumentierte Information nach Abschnitt 7.5. Zwei Dinge folgen aus dieser Lesart. Eine Aufzeichnung, die nur den ersten Schritt enthält, ist eine halbe Aufzeichnung, weil der Abschnitt die meisten seiner Worte auf die Ursache und die Prüfung verwendet. Und der letzte Schritt ist der am häufigsten übersprungene: Die Ursache wird gefunden, die Maßnahme wird umgesetzt, und das Verfahren, das es zugelassen hat, wird nie geändert, sodass dieselbe Feststellung ein Jahr später mit einer neuen Nummer zurückkommt.

Die sieben Abschnitte einer Aufzeichnung, die ein Auditor anerkennt

Die Aufzeichnung hat sieben Abschnitte, in der Reihenfolge der Norm. Eins: die Nichtkonformität, als Beleg und nicht als Meinung geschrieben, mit dem, was gefunden wurde, wo, wann, von wem und gegen welche Anforderung der Norm oder welche Maßnahme der eigenen Erklärung zur Anwendbarkeit. Zwei: die Korrektur und die Folgen, was sofort getan wurde, um den Einzelfall zu stoppen und zu beheben, und was er bereits verursacht hatte und wie damit umgegangen wurde, das Konto des Ausgeschiedenen entfernt und seine Nutzung seit dem Austrittsdatum geprüft. Drei: die Ursache, mit der Methode, mit der sie gefunden wurde, fünf Warum oder ein Ursache-Wirkungs-Diagramm oder eine einfache Durchsicht, und geschrieben als der Grund, aus dem die Regelung versagt hat, nicht als Symptom: nicht "die Überprüfung wurde versäumt", sondern "die Überprüfung war einer namentlich genannten Person zugewiesen, und niemand übernahm sie während ihres Urlaubs". Vier: ob dasselbe Problem anderswo besteht, weil eine Ursache dieser Art selten an einem einzigen Ort lebt, und die Antwort, geprüft und aufgeschrieben, entweder die Maßnahme ausweitet oder festhält, dass die anderen Stellen angesehen wurden. Fünf: die Korrekturmaßnahme, eine Änderung der Regelung statt einer weiteren Erinnerung, mit Verantwortlichem und Termin, und im Verhältnis: Ein Tippfehler in einer Richtlinie braucht eine Korrektur und eine Notiz, eine versäumte Überprüfung der Zugriffsrechte auf die Produktionsdatenbank braucht die ganze Abfolge. Sechs: die Wirksamkeitsprüfung, mit einem Datum nach der Maßnahme und einer Prüfweise, die ein Beleg ist, die nächsten zwei vierteljährlichen Überprüfungen innerhalb des Quartals abgeschlossen und im Aufgabensystem sichtbar, und einer Ergebniszeile, die leer bleibt, bis die Prüfung erfolgt ist. Sieben: die Änderung am Managementsystem, welches Dokument, welcher Eintrag im Risikoregister, welche Maßnahme, und ihre erneute Freigabe, oder ein Satz, der sagt, dass keine Änderung nötig ist und warum. Die Aufzeichnung wird erst geschlossen, wenn Abschnitt sechs ein Ergebnis hat, und sie wird mit Status und Datum aufbewahrt.

Korrektur ist nicht Korrekturmaßnahme

Der Abschnitt verwendet zwei Wörter, die die Aufzeichnung auseinanderhalten muss. Die Korrektur ist das, was den Einzelfall behebt: die Überprüfung nachgeholt, das Konto entfernt, das Dokument freigegeben. Die Korrekturmaßnahme ist das, was die Regelung so ändert, dass der Einzelfall nicht wiederkehrt: die Überprüfung einer Rolle mit Stellvertretung zugewiesen und vom Aufgabensystem am ersten Tag des Quartals angelegt. Eine Aufzeichnung, die die Korrektur unter Korrekturmaßnahme ablegt, die häufigste Feststellung zu Feststellungen, sagt dem Auditor, dass die Ursache nie gesucht wurde, und der Prüfstein der Norm selbst ist die Frage nach der Wiederholung: Wenn dasselbe im nächsten Quartal auf dieselbe Weise passieren könnte, ist nur die Korrektur erfolgt. Der Satz zum Verhältnis schneidet in die andere Richtung und wiegt ebenso schwer: Nicht jede Nichtkonformität braucht eine Ursachenanalyse, einen Maßnahmenplan und eine Änderung am System, und ein Unternehmen, das die ganze Abfolge bei jedem Tippfehler durchläuft, erzeugt ein Register, das niemand liest. Das Urteil, in einer Zeile festgehalten, ist das, was der Abschnitt verlangt, die Auswirkung der Nichtkonformität entscheidet, wie weit die Abfolge geht, und der Auditor liest die Zeile.

Die Fehler, die eine Feststellung wieder öffnen

Die Aufzeichnung am Tag der Umsetzung der Maßnahme geschlossen, ohne Prüfung, ob sie gewirkt hat; der Auditor fragt nach dem Nachweis der Wirksamkeit, und es gibt keinen. Die Ursache als Symptom geschrieben, sodass die Maßnahme eine Erinnerung ist und die Feststellung zurückkommt. Niemand hat gefragt, ob dasselbe Problem anderswo besteht, und der Auditor findet es dort. Die Maßnahme hat keinen Verantwortlichen oder keinen Termin, sodass die Managementbewertung nach Abschnitt 9.3 nicht darüber berichten kann und das nächste interne Audit nach Abschnitt 9.2 sie noch offen vorfindet. Das Verfahren, das es durchgelassen hat, wurde nie geändert, oder geändert und nie erneut freigegeben, sodass die dokumentierte Information nach Abschnitt 7.5 der Aufzeichnung widerspricht. Die Feststellungen des Zertifizierungsaudits wurden behandelt und die der internen Audits nicht, oder umgekehrt, weil beide an verschiedenen Orten lebten. Die Aufzeichnung wurde von der Person geschlossen, die die Maßnahme verantwortete, ohne dass jemand anderes hinsah. Und kein Register, sodass niemand sagen kann, wie viele Nichtkonformitäten im Zeitraum erfasst und geschlossen wurden, was der erste der vier Trends ist, über die die Managementbewertung berichtet. Jeder dieser Fehler wird vermieden, indem man die Aufzeichnung in der Reihenfolge des Abschnitts schreibt und einen Abschnitt leer lässt, statt ihn zu überspringen, denn ein leerer Abschnitt ist sichtbar und ein übersprungener nicht.

Was damit zu tun ist

Geben Sie die Feststellung auf der kostenlosen Seite ein: das Unternehmen, die Kennung, das Datum und woher die Feststellung stammt, die betroffene Anforderung, dann die Nichtkonformität, die Korrektur und die Folgen, die Ursache und die Methode, ob sie anderswo besteht, die Maßnahme mit Verantwortlichem und Termin, wie und wann die Wirksamkeit geprüft wird, und ob sich das Managementsystem ändert. Die Seite schreibt die Aufzeichnung in der Reihenfolge des Abschnitts, mit den Fakten der Aufzeichnung im Link und dem freien Text auf der Seite, und lässt das Ergebnis der Wirksamkeitsprüfung als Lücke, bis die Prüfung erfolgt ist. Kopieren Sie sie, lassen Sie sie von jemand anderem als dem Verantwortlichen der Maßnahme schließen, legen Sie sie als dokumentierte Information der Nichtkonformität ab und zählen Sie sie in der nächsten Managementbewertung mit. StandardOS öffnet eine Nichtkonformität aus einer Auditfeststellung, einer fehlgeschlagenen Prüfung oder einem Vorfall, mit der Korrektur, der Ursache, der Maßnahme, dem Verantwortlichen und der Verifizierung als Feldern, dem Termin im Blick und der Managementbewertung, die die offenen aufnimmt; das interne Auditprogramm ist, woher die meisten Feststellungen kommen, das Protokoll der Managementbewertung ist, wo sie gezählt werden, und die Maßnahmen aus Anhang A sind, wo die betroffene Anforderung meist benannt ist.