O Auditor Interno Automático da Norma: Riscos e Não Conformidades Que Se Atualizam Sozinhos

A maioria das auditorias internas acontece com um calendário definido: trimestral, semestral, talvez mensal se uma equipa for disciplinada. Entre auditorias, as lacunas acumulam-se em silêncio, um controlo deixa de ser seguido, uma evidência fica desatualizada, uma política que ninguém atualizou depois de um processo mudar, e ninguém repara até à próxima ronda de auditoria, ou pior, até um auditor externo reparar.

O auditor interno da Norma foi construído para fechar essa lacuna, não esperando por uma verificação agendada.

O que faz, na prática

O auditor interno funciona continuamente sobre o sistema de gestão: cada Controlo, cada Política, cada evidência associada. Quando deteta algo que não se sustenta, uma atualização de evidência em atraso, um controlo sem responsável, um processo que já não corresponde ao procedimento documentado, não se limita a assinalar isso num relatório que será lido no próximo trimestre. Cria ou atualiza o registo que devia existir por causa dessa deteção.

Concretamente, isto significa:

• É criado um novo Risco quando o auditor identifica uma exposição que ainda não está registada, um ativo sem controlo correspondente, uma dependência de um fornecedor sem risco avaliado em ficha.
• É aberta uma Não Conformidade quando um controlo que devia estar a funcionar não está, a evidência está em falta para além da sua janela de atualização, ou um procedimento documentado e a prática real divergiram.
• Os registos existentes são atualizados, não duplicados. Se já existir um Risco ou Não Conformidade para algo que o auditor volta a encontrar, atualiza o registo existente, o seu estado e o histórico de evidências, em vez de criar ruído.

Cada um destes registos mantém-se ligado ao Controlo, Norma e espaço de trabalho de onde surgiu, para que nada apareça como uma tarefa desligada, sem contexto.

Porque isto importa mais do que uma auditoria agendada

Uma auditoria interna agendada responde a "estamos em conformidade neste dia específico". A monitorização contínua responde a uma pergunta mais útil: "quando deixámos de estar em conformidade, e já há alguém a tratar disso". A diferença entre estas duas perguntas é exatamente de onde vêm a maioria das surpresas em auditoria, questões que existiam há semanas ou meses antes de alguém agendar uma verificação.

Também significa que o trabalho real de preparação de auditoria da equipa diminui. Em vez de uma correria duas semanas antes de uma auditoria externa para encontrar todas as lacunas acumuladas desde a última, o registo de Riscos e Não Conformidades já está atualizado, porque tem estado a atualizar-se sozinho o tempo todo.

O que a equipa continua a fazer

O auditor interno não toma decisões sobre apetite ao risco, planos de tratamento, ou se uma não conformidade é aceitável manter durante um trimestre enquanto uma correção é planeada. Revela o que mudou e cria o registo para que um humano não tenha de se lembrar de o fazer. Alguém da equipa continua a rever, priorizar e fechar cada um, o papel do auditor é garantir que nada fica por detetar até se transformar numa surpresa.