بعد القراءة، ستتمكن من كتابة قائمة توجّه التدقيق دون أن تقيّده، وتترك وراءها أدلة قابلة للاستخدام.
التعريف
يعامل معيار ISO 19011 قوائم التحقق كوثائق عمل تساعد المدققين على تتبع العمل، وينبّه إلى أنها يجب ألا تقيّد التدقيق. فما يظهر في الطريق يستحق المتابعة مع ذلك.
لماذا يهم
تضمن تغطية النطاق، وتبيّن بعد ذلك ما فُحص وما لم يُفحص.
كما يكسب المدقق الأقل خبرة بنية تحافظ على اتساق عمله.
كيف يعمل
خذ المعايير الواقعة ضمن النطاق. واكتب لكل منها ما تتوقع رؤيته عملياً، والوثائق والسجلات التي ستطلبها، والأشخاص الذين ستقابلهم.
حدد عيناتك مسبقاً: كم عددها، وعن أي فترة، وكيف ستُختار.
أثناء التدقيق، سجّل الأدلة بدقة، مع اسم الوثيقة وإصدارها وتاريخها وأرقام السجلات التي اطلعت عليها. واختم كل سطر بنتيجة.
حالة تطبيقية
المعيار: الضابط 5.18 من ISO/IEC 27001، حقوق الوصول. يتوقع المدقق مراجعة سنوية يوقعها مالكو الأنظمة، فيطلب آخر مراجعة للنظام المالي وقائمة الموظفين الخمسة عشر الذين انضموا أو غيّروا أدوارهم هذا العام.
الدليل مراجعة بتاريخ 14 فبراير وقّعها المدير المالي، و15 تغييراً من أصل 15 في صلاحيات الوصول معتمدة. النتيجة: مطابق.
ممارسات جيدة
- صِف الممارسة التي تتوقع رؤيتها. فنسخ نص المعيار لا يضيف شيئاً.
- اترك مكاناً في كل سطر لتسجيل الدليل.
- أعدّ نسخة جديدة لكل تدقيق، انطلاقاً مما كشفه التدقيق السابق.
- تابع ما تكتشفه، حتى لو كان خارج القائمة.
أخطاء شائعة
- إعادة استخدام قائمة العام الماضي دون النظر فيما تغيّر.
- طرح أسئلة مغلقة وقبول الإجابة بنعم. فالناس يميلون إلى قول ما يبدو أنك تريد سماعه.
- تحويل التدقيق إلى ملء استمارة، فيكف المدقق عن رفع عينيه عن الورقة.
- كتابة «تم الفحص» دون مرجع، فلا يبقى ما يُعتمد عليه لاحقاً.
أسئلة
- هل قائمة تحقق التدقيق إلزامية؟
- لا. يدرجها معيار ISO 19011 ضمن وثائق العمل التي يمكن للمدقق إعدادها.
- هل ينبغي مشاركة القائمة مسبقاً؟
- تُشارك خطة التدقيق. وإرسال قائمة السجلات المطلوب تحضيرها يوفر الوقت، ما دام المدقق يختار العينات في الموقع.
- كم سطراً تحتاج قائمة تحقق التدقيق؟
- بقدر ما يسمح النطاق والوقت بفحصه جيداً، وهو عادة أقل بكثير من نص المعيار كاملاً.
- ما حجم العينة المناسب للتدقيق؟
- لا يناسب رقم واحد كل الحالات. فهو يتوقف على المجتمع الإحصائي والخطر وتواتر الضابط. ودوّن كيف اخترت.
- هل يمكن أن تكون النتائج غير ناجح أو راسب؟
- نعم: مطابق، وغير مطابق، وفرصة للتحسين، ولم يُدقق، كلها نتائج مفيدة.