Подготовка IT-контура к аудитам заказчиков и инспекциям регуляторов

Подготовка IT-контура к аудитам заказчиков и инспекциям регуляторов

Готовим информационные системы, документацию и команду к аудиту клиента или проверке регулятора. Проводим gap-анализ, закрываем расхождения, репетируем ответы на типовые вопросы и сопровождаем вас в день аудита. На системах нашей разработки заказчики прошли более тридцати аудитов и более десяти инспекций регуляторов.

Коротко о задаче

Аудит проваливают не из-за плохих систем. Проваливают из-за неготовности к разговору о них.

Типичная картина. Приходит уведомление о проверке за две недели. Начинается спешка: ищут документы, обнаруживают, что часть протоколов не подписана, что процедура утверждена три года назад и описывает прежний порядок, что журнал изменений вёлся до определённого момента, а потом перестал. Параллельно готовят людей, которые никогда не разговаривали с аудитором и не понимают, чего от них хотят.

Дальше на аудите инженер отвечает подробно и честно, рассказывая в том числе про обходные пути и ручные правки, о которых его не спрашивали. Наблюдение возникает не из-за нарушения, а из-за неумения ответить.

Отдельная категория — аудиты со стороны заказчиков. Для компании, которая оказывает услуги фарме или проводит исследования, такой аудит стоит дороже проверки регулятора: не пройдёшь — потеряешь контракт.

Мы готовим и контур, и людей.

Что входит в услугу

• GAP-анализ

Проверяем текущее состояние по перечню вопросов, которые задают на аудите: валидационная документация, управление изменениями, разграничение доступа, аудиторский след, резервное копирование и проверка восстановления, квалификация инфраструктуры, оценка поставщиков, обучение персонала. По каждому пункту фиксируем состояние и расхождение с требованием.

• Приоритизация и план закрытия

Расхождения разделяем по риску: что закроем до аудита обязательно, что можно предъявить как запланированное с обоснованными сроками, что не влияет. Открытое несоответствие с планом устранения выглядит лучше, чем спрятанное и найденное аудитором.

• Приведение документации в порядок

Дописываем недостающее, актуализируем устаревшее, восстанавливаем прослеживаемость, закрываем незакрытые отклонения и корректирующие действия. Проверяем, что подписи, даты и версии не противоречат друг другу.

• Подготовка команды

Разбираем типовые вопросы и учим отвечать по существу: коротко, точно, без домысливания и без рассказа о том, о чём не спрашивали. Проводим репетицию в формате разговора с аудитором.

• Подготовка комнаты и материалов

Помогаем собрать пакет, который предъявляется по запросу: перечень систем, схемы, документация, журналы, протоколы. Быстрый доступ к документу производит на аудитора не меньшее впечатление, чем сам документ.

• Сопровождение в день аудита

Присутствуем при обсуждении технической части, помогаем формулировать ответы, фиксируем запросы аудитора и оперативно готовим материалы.

• Отработка наблюдений

После аудита помогаем составить план корректирующих действий, реализовать техническую часть и подготовить ответ аудитору.

Что это даёт заказчику

• Проверка вместо сюрприза. Gap-анализ находит расхождения раньше аудитора, и у вас остаётся время их закрыть.
• Спокойная команда. Люди знают, о чём спросят и как отвечать, поэтому не создают наблюдений там, где их не было.
• Технический собеседник на вашей стороне. Вопросы по архитектуре, журналированию и резервированию берём на себя.
• Сохранённые контракты. Для подрядчика фармацевтической компании пройденный аудит клиента — условие продолжения работы.
• Опыт с обеих сторон. Мы регулярно участвуем в аудитах как поставщик системы и знаем, как выглядит проверка изнутри.

Как мы работаем

Готовиться лучше заранее, а не по уведомлению. Оптимальный формат — периодический внутренний аудит раз в год: тот же перечень вопросов, тот же порядок, но без последствий. К моменту настоящей проверки контур уже в форме.

Если времени мало, начинаем с приоритетов: целостность данных, управление изменениями, разграничение доступа, восстановление из резервных копий. На эти четыре темы приходится большая часть наблюдений.

Смежные направления: {{ссылка: Валидация компьютеризированных систем по GAMP 5}}, {{ссылка: Целостность данных и аудиторский след}}, {{ссылка: Разработка документации по IT-процессам}}.

Наш опыт

Платформа фармаконадзора нашей разработки прошла более тридцати аудитов со стороны клиентов заказчика и более десяти проверок регуляторов. Мы участвовали в подготовке к ним и отвечали за техническую часть: валидационную документацию, аудиторский след, разграничение доступа, резервирование.

Мы также выступаем предметом аудита сами. Заказчик из регулируемой отрасли обязан оценивать поставщиков программного обеспечения, и мы регулярно проходим такую оценку: предоставляем документацию по процессам разработки, отвечаем на опросные листы, принимаем аудиторов у себя.

Если у вас назначен аудит или вы хотите проверить готовность заранее, начнём с gap-анализа. Он покажет реальную картину за несколько дней.