Мониторинг соответствия и управление безопасностью используют общую информацию, но отвечают на разные вопросы: выполняется ли требование и контролируется ли риск. Аудит без несоответствий сам по себе не доказывает отсутствие производственных опасностей.
Что необходимо определить в начале?
Определите виды деятельности, организации и интерфейсы, включенные в отчет. Создайте матрицу, которая связывает требование и его пересмотр с процессом, ответственным лицом, процедурой и доказательствами. Укажите применимость и причину исключения положения, если таковое имеется.
ADR.OR.D.005 Регламента (ЕС) No 139/2014 является эталоном системы управления для целевых операторов. Внедрение адаптировано к организации и фактическим операциям, с документированными процессами и механизмами отслеживания.
Как подготовить полезный аудит?
Определите критерии, выборку, период и методы: анализ документов, интервью и полевое наблюдение. Включите соответствующие договорные виды деятельности и обеспечьте независимость аудитора от проверяемой деятельности. Контрольного списка недостаточно без проверяемых доказательств.
В заключении описывается требование, наблюдаемая ситуация и подтверждающие ее записи. Если контроль не может быть проверен из-за отсутствия доступа к доказательствам, зафиксируйте ограничение; не превращайте отсутствие проверки в благоприятный вывод.
Как составить оценку риска?
Четко сформулируйте опасность, нежелательное событие и последствия. Опишите сценарий и степень воздействия, затем задокументируйте существующие меры контроля. Вероятность и серьезность оцениваются с использованием четких критериев и имеющихся данных, а не просто цвета матрицы.
Для остаточного риска объясните, что изменяет мера и как вы проверяете ее функционирование. Выявите зависимости: две меры контроля, выполненные одним и тем же лицом на основе одной и той же неверной информации, не обязательно независимы. Принятие риска документируется на уровне, установленном организацией.
Как закрыть выявленное нарушение?
Разделите исправление ситуации от действий, направленных на устранение первопричины. Ремонт осветительного прибора устраняет конкретный дефект; анализ первопричины может потребовать изменения цепи, защиты или графика проверок. Мера должна устранять причину, подтвержденную доказательствами.
Реестр действий содержит ответственное лицо, крайний срок, документ о реализации и проверку эффективности. Административное закрытие не должно заменять полевую проверку. Повторяющиеся результаты требуют переоценки предыдущих причин и мер.
Что сообщать руководству и что отправлять на тендер?
Выберите показатели с указанием определения, источника, знаменателя и частоты анализа. Ряд событий следует интерпретировать вместе с объемом операций и изменениями в культуре отчетности. Представьте незавершенные действия, основные риски и необходимые решения.
Для участия в тендере отправьте организационную схему, руководства, объем деятельности, программу аудита и анонимизированные примеры реестров. Укажите, требуется ли вам диагностика, пересмотр методологии, конкретный аудит или поддержка в реализации плана действий.
Ознакомьтесь с технической главой в руководстве.
Обсудите проект с командой Sky Meridian.
Соответствие требованиям и СУБ