Constatações de auditoria

Definição

A ISO 19011 define as constatações como os resultados da avaliação das evidências face aos critérios, que mostram conformidade, não conformidade ou oportunidade de melhoria. A prática da auditoria interna apresenta-as muitas vezes como critério, condição, causa e consequência.

Porque é importante

A direção age sobre o que uma constatação torna claro. Uma constatação vaga é contestada, e a ação que dela sai tende a tratar o sintoma.

Como funciona

Indique o critério e os factos, com referências suficientes para que outra pessoa os possa verificar, e deixe a sua opinião de fora.

Explique o efeito no negócio e procure a causa raiz, com os cinco porquês ou um método semelhante. Gradue numa escala definida antecipadamente.

Confirme os factos com a equipa auditada. Acorde uma correção para o problema imediato, uma ação corretiva para a causa, um responsável e uma data. Mais tarde, verifique que resultou.

Um caso prático

Critério: cifragem dos portáteis, exigida pela política IS-04, secção 3. Constatação: 6 de 40 portáteis amostrados a 12 de março não estão cifrados, segundo o relatório de equipamentos. Efeito: um portátil perdido exporia dados de clientes. Causa: os equipamentos comprados localmente contornam a configuração da informática. Gravidade: maior.

A correção é cifrar os seis até 20 de março. A ação corretiva vai mais fundo: as compras passam pela informática a partir de 30 de abril.

Boas práticas

• Escreva uma constatação por problema, para que cada uma possa ser fechada separadamente.
• Gradue pelo efeito nos objetivos. Dez casos triviais podem pesar menos do que um grave.
• Discuta os factos antes de o relatório sair, porque as surpresas viram a equipa auditada contra si.
• Mantenha as constatações em aberto visíveis para a direção até serem fechadas.

Erros frequentes

• Apontar uma pessoa como causa. Termina a análise cedo demais e põe as pessoas na defensiva.
• Escrever «melhorar o processo» como ação.
• Misturar vários assuntos numa constatação, que assim nunca fecha.
• Fechar constatações sem testar se a solução resultou.

Perguntas

Qual a diferença entre não conformidades maiores e menores?

Na certificação, uma maior afeta a capacidade do sistema de atingir os seus resultados, como um requisito totalmente em falta. Uma menor é uma falha isolada.

O que é uma observação de auditoria?

Um ponto que não é uma não conformidade mas pode vir a sê-lo, ou pode ser melhorado. A terminologia varia consoante o esquema de auditoria.

Qual a diferença entre correção e ação corretiva?

Uma correção resolve o problema encontrado. Uma ação corretiva elimina a sua causa, para que não volte.

A equipa auditada pode discordar de uma constatação?

Sim. Pode contestar os factos, e a ISO 19011 prevê que as divergências não resolvidas fiquem registadas.

Quanto tempo há para fechar uma constatação?

O plano de ação fixa a data. Os organismos de certificação fixam os seus próprios limites para as não conformidades maiores.