I questionari spesso chiedono se un fornitore ha una politica. La prova risultante è spesso un PDF contenente scopo, portata e responsabilità. Può essere necessario, ma risponde solo ad una domanda: l'organizzazione ha documentato un'intenzione?
La scala di prova operativa
- Dichiarazione: l'organizzazione dice che esiste il controllo.
- Documento approvato: il controllo è definito e autorizzato.
- Proprietario: persone di nome capiscono le loro responsabilità.
- Uso: i registri mostrano il controllo operativo nel lavoro normale.
- Eccezione: vengono identificati guasti o deviazioni.
- Correzione: l'azione affronta la causa ed è seguita attraverso.
- Recensione: gestione esamina le prestazioni e cambia il sistema.
Il rung appropriato dipende dalla fase di rischio e di approvvigionamento. Un acquirente non dovrebbe richiedere un pacchetto di prove eccessivo per una conversazione di mercato a basso rischio. Un fornitore non deve fare affidamento su una politica firmata in cui il fallimento potrebbe danneggiare gli utenti, la continuità del servizio o la sicurezza delle informazioni.
Esempio: reclami
Una politica dei reclami può essere testata attraverso un registro del campione, il tempo di riconoscimento, le note di indagine, il risultato, la classificazione della tendenza e le prove che una causa ricorrente ha cambiato il processo. Un modello vuoto non è lo stesso di un sistema di reclamo operativo.
Esempio: continuità aziendale
Un piano di continuità è più forte quando l'organizzazione ha testato alberi di contatto, accesso remoto, dipendenze dei fornitori, ripristino dei dati o capacità alternativa. Il test dovrebbe registrare ciò che è fallito e ciò che è cambiato.
Le prove dovrebbero anche mostrare limiti
I record credibili spiegano la copertura, la data, la dimensione del campione e la debolezza irrisolta. “Nessun reclamo” può significare servizio eccellente, basso volume, cattiva segnalazione o un percorso mancante. Le prove senza contesto possono creare una falsa fiducia.
La Standards & Systems Clinic aiuta le organizzazioni a costruire questa catena di prove senza pretendere che l'implementazione eguali la certificazione indipendente.