Коригувальні дії: як закривати невідповідності, щоб вони не поверталися

Різниця між зрілою системою і формальною найкраще видно в тому, як компанія працює з невідповідностями. Формальна — «виправили і забули». Зріла — знайшла причину, усунула її і перевірила, що проблема не повторюється.

Корекція ≠ коригувальна дія

Корекція — загасити пожежу: заблокувати акаунт звільненого, який лишився активним. Коригувальна дія — усунути причину: звязати HR-процес звільнення з автоматичним відкликанням доступів, щоб таких акаунтів більше не виникало. Аудитор чекає обох.

Аналіз кореневої причини без магії

Для більшості випадків достатньо «5 чому». Акаунт не заблокували — чому? Ніхто не повідомив ІТ — чому? Немає кроку в процесі офбордингу — чому? Процес не переглядали після переходу на нову HR-систему. От і справжня причина — а не «людський фактор», яким люблять закривати розбори.

Що фіксувати в реєстрі

• Опис невідповідності та джерело (аудит, інцидент, скарга);
• корекція (що зробили одразу);
• коренева причина;
• коригувальна дія, відповідальний, строк;
• перевірка результативності — окремим кроком через 1–3 місяці: чи справді не повторюється.

Типові помилки

Причина «неуважність співробітника» (це не причина, а симптом); дія «провели бесіду» (не змінює систему); закриття дії в день створення (перевірити результативність неможливо). Такі реєстри я розбираю в кожному другому звіті — поряд з іншими типовими невідповідностями. Живий реєстр — головне джерело для аналізу керівництвом.

Читайте також

• Внутрішній аудит: чек-лист
• Аналіз керівництвом
• Управління інцидентами ІБ

Автор — Кирило Проскурня (Kyrylo Proskurnya), провідний аудитор ISO та міжнародний експерт із систем менеджменту. Проводжу сертифікаційні та внутрішні аудити ISO 27001, ISO 9001, ISO 27701, ISO 42001 для компаній України, Європи та США. Про мене · Замовити консультацію