Een afwijking is niet het falen; zij is de vastlegging ervan. Een interne audit vindt een beoordeling die niet is gedaan, een incident laat een maatregel zien die niet heeft standgehouden, de vragenlijst van een klant brengt een beleid aan het licht dat niemand heeft goedgekeurd, en ISO 27001 vraagt niet dat niets hiervan ooit gebeurt. Zij vraagt, in paragraaf 10.2, wat het bedrijf daarna doet, en zij vraagt het bewijs. De bevinding die dezelfde middag wordt verholpen en nooit wordt opgeschreven, is voor de certificatie-auditor een bevinding die nooit is afgehandeld, en zij duikt bij de volgende audit weer op als een tweede afwijking over de eerste. Dit artikel leest de paragraaf als een reeks, noemt de zeven secties van een record dat een auditor aanvaardt, houdt de correctie gescheiden van de corrigerende maatregel, somt de fouten op die een gesloten bevinding heropenen, en wijst naar de gratis pagina die het record in de volgorde van de paragraaf schrijft uit de bevinding, de oorzaak, de maatregel en de controle.

Wat de paragraaf vraagt, als een reeks

De paragraaf is kort en het is een reeks. Eerst reageren: het probleem stoppen en corrigeren waar dat kan, en afhandelen wat het al heeft veroorzaakt. Dan de oorzaak zoeken: nagaan wat er is gebeurd, uitzoeken waarom de bestaande regeling het doorliet, en vragen of dezelfde of een vergelijkbare afwijking elders bestaat of zou kunnen bestaan. Vervolgens op de oorzaak ingrijpen waar een maatregel nodig is, zodat zij hier niet terugkomt en daar niet opduikt. Daarna controleren dat de maatregel heeft gewerkt. Ten slotte het managementsysteem zelf wijzigen waar de oorzaak zat, in een procedure, een rol, een maatregel of het risicoregister. Daaromheen staat één zin over verhouding, dat de maatregel moet passen bij het effect van de afwijking, en één eis aan registraties: wat de afwijking was en wat eraan is gedaan, en wat de corrigerende maatregel heeft opgeleverd, bewaard als gedocumenteerde informatie onder paragraaf 7.5. Twee dingen volgen uit deze lezing. Een record dat alleen de eerste stap bevat, is een half record, omdat de paragraaf de meeste van haar woorden aan de oorzaak en de controle besteedt. En de laatste stap is de vaakst overgeslagen: de oorzaak wordt gevonden, de maatregel wordt uitgevoerd, en de procedure die het toeliet wordt nooit gewijzigd, zodat dezelfde bevinding een jaar later met een nieuw nummer terugkomt.

De zeven secties van een record dat een auditor aanvaardt

Het record heeft zeven secties, in de volgorde van de norm. Eén: de afwijking, geschreven als bewijs en niet als mening, met wat is gevonden, waar, wanneer, door wie, en tegen welke eis van de norm of welke maatregel uit de eigen verklaring van toepasselijkheid. Twee: de correctie en de gevolgen, wat meteen is gedaan om het geval te stoppen en te herstellen, en wat het al had veroorzaakt en hoe dat is afgehandeld, het account van de vertrokken medewerker verwijderd en het gebruik ervan sinds de vertrekdatum gecontroleerd. Drie: de oorzaak, met de methode waarmee zij is gevonden, vijf keer waarom, een oorzaak-gevolgdiagram of een gewone doorlichting, en geschreven als de reden waarom de regeling faalde in plaats van als het symptoom: niet "de beoordeling is gemist" maar "de beoordeling was op naam aan één persoon toegewezen en niemand nam haar over tijdens diens verlof". Vier: of hetzelfde probleem elders bestaat, omdat een oorzaak van dat soort zelden op één plek leeft, en het antwoord, gecontroleerd en opgeschreven, verbreedt de maatregel of legt vast dat de andere plekken zijn bekeken. Vijf: de corrigerende maatregel, een aanpassing van de regeling in plaats van nog een herinnering, met een eigenaar en een einddatum, en in verhouding: een tikfout in een beleid vraagt een correctie en een notitie, een gemiste toegangsbeoordeling van de productiedatabase vraagt de hele reeks. Zes: de doeltreffendheidscontrole, met een datum na de maatregel en een manier van controleren die bewijs is, de volgende twee kwartaalbeoordelingen binnen het kwartaal afgerond en zichtbaar in het takensysteem, en een resultaatregel die leeg blijft tot de controle is gedaan. Zeven: de wijziging van het managementsysteem, welk document, welke regel in het risicoregister, welke maatregel, en de hernieuwde goedkeuring, of een zin die zegt dat geen wijziging nodig is en waarom. Het record sluit pas wanneer sectie zes een resultaat heeft, en het wordt bewaard met de status en de datum.

Correctie is geen corrigerende maatregel

De paragraaf gebruikt twee woorden die het record uit elkaar moet houden. De correctie is wat het geval herstelt: de beoordeling alsnog gedaan, het account verwijderd, het document goedgekeurd. De corrigerende maatregel is wat de regeling zo verandert dat het geval niet terugkomt: de beoordeling toegewezen aan een rol met een plaatsvervanger en door het takensysteem geopend op de eerste dag van het kwartaal. Een record dat de correctie onder corrigerende maatregel opbergt, de meest voorkomende bevinding over bevindingen, zegt de auditor dat de oorzaak nooit is gezocht, en de toets van de norm zelf is de vraag naar herhaling: als hetzelfde volgend kwartaal op dezelfde manier zou kunnen gebeuren, is alleen de correctie gedaan. De zin over verhouding snijdt de andere kant op en weegt even zwaar: niet elke afwijking vraagt een oorzaakanalyse, een maatregelenplan en een wijziging van het systeem, en een bedrijf dat de hele reeks op elke tikfout loslaat, produceert een register dat niemand leest. Het oordeel, in één regel vastgelegd, is wat de paragraaf vraagt, het effect van de afwijking bepaalt hoe ver de reeks gaat, en de auditor leest de regel.

De fouten die een bevinding heropenen

Het record gesloten op de dag dat de maatregel is uitgevoerd, zonder controle dat zij heeft gewerkt; de auditor vraagt om het bewijs van doeltreffendheid en het is er niet. De oorzaak geschreven als het symptoom, zodat de maatregel een herinnering is en de bevinding terugkomt. Niemand heeft gevraagd of hetzelfde probleem elders bestaat, en de auditor vindt het daar. De maatregel heeft geen eigenaar of geen datum, zodat de directiebeoordeling er onder paragraaf 9.3 niet over kan rapporteren en de volgende interne audit onder paragraaf 9.2 haar nog open aantreft. De procedure die het doorliet is nooit gewijzigd, of gewijzigd en nooit opnieuw goedgekeurd, zodat de gedocumenteerde informatie onder paragraaf 7.5 het record tegenspreekt. De bevindingen van de certificatie-audit zijn afgehandeld en die van de interne audits niet, of andersom, omdat de twee op verschillende plekken leefden. Het record is gesloten door de persoon die eigenaar was van de maatregel, zonder dat iemand anders meekeek. En geen register, zodat niemand kan zeggen hoeveel afwijkingen in de periode zijn geopend en gesloten, wat de eerste van de vier trends is waarover de directiebeoordeling rapporteert. Elk van deze fouten wordt vermeden door het record in de volgorde van de paragraaf te schrijven en een sectie leeg te laten in plaats van haar over te slaan, want een lege sectie is zichtbaar en een overgeslagen sectie niet.

Wat ermee te doen

Voer de bevinding in op de gratis pagina: het bedrijf, de referentie, de datum en waar de bevinding vandaan komt, de betrokken eis, dan de afwijking, de correctie en de gevolgen, de oorzaak en de methode, of zij elders bestaat, de maatregel met eigenaar en einddatum, hoe en wanneer de doeltreffendheid wordt gecontroleerd, en of het managementsysteem verandert. De pagina schrijft het record in de volgorde van de paragraaf, met de feiten van het record in de link en de vrije tekst op de pagina, en laat het resultaat van de doeltreffendheid open tot de controle is gedaan. Kopieer het, laat het sluiten door iemand anders dan de eigenaar van de maatregel, archiveer het als de gedocumenteerde informatie van de afwijking, en tel het mee in de volgende directiebeoordeling. StandardOS opent een afwijking uit een auditbevinding, een mislukte controle of een incident, met de correctie, de oorzaak, de maatregel, de eigenaar en de verificatie als velden, de einddatum in beeld, en de directiebeoordeling die de open afwijkingen meeneemt; het interne auditprogramma is waar de meeste bevindingen vandaan komen, de notulen van de directiebeoordeling zijn waar ze worden geteld, en de maatregelen van bijlage A zijn waar de betrokken eis meestal wordt genoemd.