Altid auditklar med besøgslogs: tjekliste til ISO 27001, NIS2, GxP og kundeaudits

Forestil dig, at din virksomhed står over for en audit. Sidder du dage eller uger før mødet og roder rundt for at samle al den dokumentation, der skal bruges?

Sådan griber mange organisationer det an: de begynder først at samle dokumenter, når auditten er varslet. Den tilgang giver stress, huller i dokumentationen og uensartede processer. Med andre ord er det ikke opskriften på succes.

At forberede sig godt på en audit er ikke noget, du gør lige inden mødet. Det er noget, du gør hele året.

Uanset om det handler om ISO 27001, NIS2, GxP eller en kundeaudit, skal du kunne vise, at dine processer ikke bare findes på papir, men også bliver fulgt konsekvent i praksis. At være auditklar betyder, at din organisation hele året har opdaterede politikker, pålidelige logs, dokumentation, hændelsesrapporter, klare ansvar og hurtigt tilgængelig dokumentation.

Besøgsregistrering spiller også en rolle her. Digital besøgsregistrering er nemlig mere end et gnidningsfrit check-in i receptionen. De data, du indsamler, er værdifuld dokumentation i en audit: besøgslogs, papirer på entreprenører, underskrevne fortrolighedsaftaler, sikkerhedsinstrukser og evakueringslister.

I denne artikel gennemgår vi, hvordan digital besøgsregistrering holder dig auditklar hele året, uden søgen i sidste øjeblik. Hvilke data ligger klar med det samme i en auditklar besøgslog, og hvordan hjælper dit besøgsregistreringssystem med afgørende auditkrav som opbevaringsperioder og logs, der ikke kan ændres ubemærket?

I dette blogindlæg:

• Hvad vil det sige at være auditklar?
• Hvilke auditspørgsmål kan besøgsregistrering hjælpe med at besvare?
• Hvilke data om besøgende har du brug for?
• Hvordan sikrer du, at data er pålidelige?
• Opbevaring, entreprenører og evakuering: tre afgørende auditpunkter
• Tjekliste: er du klar til en audit?
• Konklusion

Hvad vil det sige at være auditklar?

At være auditklar betyder, at din organisation ikke først begynder at samle dokumentation lige inden en audit, men holder processer, logs og dokumenter i orden hele året. Løbende auditparathed er en tilgang, hvor forberedelsen er en del af den daglige drift.

Konkret betyder det, at du når som helst kan vise, at de vigtige processer er under kontrol, dokumenteret og til at gentage. Auditorer ser ikke kun på, hvad der står i en politik. De vil også se, hvordan politikken bliver brugt i praksis. For eksempel: hvem fik adgang? Hvornår skete det? Hvem godkendte det? Hvilke dokumenter blev underskrevet? Og kan du vise det hele hurtigt og pålideligt?

Det er her, digital besøgsregistrering kommer ind. Et besøgsregistreringssystem (VMS) registrerer den slags data automatisk. Dokumenter som fortrolighedsaftaler, sikkerhedsinstrukser, oplysninger om entreprenører og evakueringslister kan også knyttes til besøget.

På den måde har du altid en auditklar besøgslog og behøver ikke længere at samle data sammen bagefter, når en auditor spørger. Data bliver skabt automatisk under det almindelige check-in.

Besøgsregistrering er derfor ikke bare en administrativ opgave, men en vigtig kilde til dokumentation i en audit. Det gør ikke i sig selv din organisation compliant med ISO 27001, NIS2, GxP eller kravene i en kundeaudit, men det understøtter den dokumentation, auditorer og kunder har brug for.

Hvilke auditspørgsmål kan besøgsregistrering hjælpe med at besvare?

Et velopsat besøgsregistreringssystem hjælper først og fremmest med én ting: at besvare de praktiske auditspørgsmål hurtigt og pålideligt. I stedet for at lede i besøgsbøger i papir, spredte regneark eller mailbokse kan du slå oplysningerne op og eksportere dem ét sted fra.

Tænk på spørgsmål som:

• Hvem var til stede på en bestemt dato eller i et bestemt tidsrum?
• Hvornår tjekkede en besøgende, en leverandør eller en entreprenør ind og ud?
• Hvem var den interne vært eller ansvarlige?
• Hvad var formålet med besøget?
• Hvilken lokation, afdeling eller zone fik den besøgende adgang til?
• Hvilke fortrolighedsaftaler, sikkerhedsinstrukser eller politikker blev bekræftet?
• Hvilke entreprenører var til stede, og var deres dokumenter gyldige?
• Hvem var til stede under en hændelse, en øvelse eller en evakuering?
• Kan du hurtigt eksportere data til en auditor eller en kunde?

Til ISO 27001 kan den slags data hjælpe med at vise, hvem der havde fysisk adgang til din lokation, hvornår og under hvis ansvar. Det understøtter kontrollerne omkring adgangsstyring og informationssikkerhed.

Til NIS2 hjælper besøgsregistrering dig med bedre at holde styr på ekstern adgang, entreprenører og leverandører. Det er relevant for risikostyring, håndtering af hændelser og sikkerheden omkring de kritiske processer.

Til kvalitetssystemerne i medicinal- og fødevareindustrien (GxP) hjælper besøgslogs med at vise, hvem der havde adgang til regulerede zoner, hvilke instrukser der blev bekræftet, og hvilke papirer på entreprenører eller uddannelse der forelå.

I kundeaudits viser de, at aftalerne om sikkerhed, privatliv og adgangsstyring ikke bare findes på papir, men også bliver fulgt i praksis.

Læs også: Integrer besøgsregistrering med adgangskontrol: fordele og overvejelser

Hvilke data om besøgende har du brug for?

En auditklar besøgslog er mere end en digital udgave af besøgsbogen i papir. Det er en struktureret registrering, der gør det muligt bagefter at vise, hvem der havde adgang til din lokation, hvorfor vedkommende var der, og under hvis ansvar.

Præcis hvilke data du har brug for, afhænger af din branche, dine risici og dine interne procedurer. Alligevel er der et sæt basisoplysninger, der er nyttige i næsten enhver audit:

• Den besøgendes navn
• Virksomhed eller organisation
• Type af besøgende (for eksempel kunde, leverandør, entreprenør, auditor, jobkandidat)
• Dato og tidspunkt for check-in
• Dato og tidspunkt for check-ud
• Intern vært eller ansvarlig
• Formålet med besøget
• Lokation, afdeling eller zone, der blev besøgt
• Oplysninger om besøgskort eller adgang
• Underskrevet fortrolighedsaftale eller besøgsvilkår
• Bekræftelse af sikkerhedsinstrukser eller husregler
• Status som entreprenør, hvor det er relevant

Stærkt regulerede miljøer kan kræve flere oplysninger. Det kan være certifikater, arbejdstilladelser, uddannelsespapirer eller bekræftelse på, at en bestemt sikkerhedsinstruks er læst. I medicinal-, finans- og produktionsbranchen kan den slags detaljer være vigtige for at vise, at besøgende og entreprenører blev ordentligt fulgt og tjekket.

Du vil også bede om forskellige oplysninger for forskellige besøgstyper alt efter risikoen og formålet med besøget. For en almindelig besøgende er basisoplysninger som navn, vært, check-in og check-ud ofte nok. For entreprenører, leverandører eller auditorer kan der være brug for mere, for eksempel fortrolighedsaftaler, sikkerhedsinstrukser, certifikater, arbejdstilladelser eller adgang til bestemte zoner.

Pas dog på med at bede om for meget. At være auditklar betyder ikke at indsamle så mange data som muligt. Det betyder at registrere de rigtige data på en ensartet måde og gemme dem sikkert, så længe det er nødvendigt. GDPR kalder det dataminimering: du indsamler og bruger kun de personoplysninger, der er strengt nødvendige for formålet, uden at skabe unødvendige risici for privatlivet.

Hvordan sikrer du, at data er pålidelige?

En auditklar besøgslog skal ikke bare være komplet, den skal også kunne efterprøves. Data om besøgende er kun brugbare, når en auditor kan stole på dem. En besøgslog, der bagefter frit kan ændres, udbygges eller slettes uden spor, er ikke pålidelig.

Du skal derfor kunne vise, at du bruger logs, der ikke kan ændres ubemærket. Det betyder ikke, at data aldrig må rettes, men det betyder, at hver eneste ændring er synlig og sporbar. Retter nogen for eksempel et tidspunkt for check-ud eller ændrer en registrering, skal det være tydeligt, hvem der gjorde det, hvornår det skete, og hvad der blev ændret.

Pålidelige besøgslogs bør derfor indeholde:

• Automatiske dato- og tidsstempler ved check-in og check-ud
• Et revisionsspor over ændringer
• Registrering af, hvem der har oprettet eller ændret oplysningerne
• Adgang til data om besøgende ud fra funktion eller rolle
• Begrænsede rettigheder til at ændre eller slette data
• Sikker opbevaring af data om besøgende

Jo bedre du kan vise, hvor data kommer fra, hvem der har ændret dem, og hvordan de er beskyttet, jo stærkere står de som dokumentation i en audit.

Det betyder også noget, at data kan eksporteres. Under en audit vil du ikke samle oplysninger manuelt fra forskellige systemer, regneark eller mailbokse. Du vil hurtigt kunne vise eller eksportere et pålideligt overblik. Derfor er eksport efter dato, lokation, besøgstype eller vært meget nyttigt.

Opbevaring, entreprenører og evakuering: tre afgørende auditpunkter

Ud over en komplet og pålidelig besøgslog er der tre områder, der ofte får ekstra opmærksomhed under en audit, men som har det med at blive overset i hverdagen. Derfor tager vi dem med her: opbevaringsperioder, papirer på entreprenører og evakueringslister.

Opbevaring: hvor længe gemmer du data om besøgende?

Data om besøgende må ikke gemmes vilkårligt eller i det uendelige. Efter GDPR skal du kunne forklare, hvorfor du gemmer bestemte oplysninger, og hvor længe det er nødvendigt. Den rigtige opbevaringsperiode afhænger blandt andet af din branche, dine risici og dine aftaler med kunderne.

Sørg derfor for at have en klar politik for opbevaring. Fastlæg, hvor længe besøgslogs bliver gemt, hvornår data bliver slettet eller anonymiseret, og hvilke undtagelser der gælder ved hændelser eller undersøgelser. Med et digitalt besøgsregistreringssystem kan du slette data automatisk, når opbevaringsperioden er udløbet.

Papirer på entreprenører: kræver mere opfølgning

Entreprenører kræver ofte mere opfølgning end almindelige besøgende. De får måske adgang til teknikrum, produktionszoner, laboratorier eller følsomme oplysninger. Derfor kan der være brug for flere papirer, for eksempel fortrolighedsaftaler, sikkerhedsinstrukser, certifikater, arbejdstilladelser eller uddannelsesbeviser.

Det er også vigtigt, at hver entreprenør er knyttet til en intern ansvarlig. Så kan du under en audit vise, hvem der gav adgang, hvorfor og om de rigtige dokumenter var gyldige.

Evakueringslister: hav styr på, hvem der er inde

Besøgsregistrering spiller også en rolle i nødsituationer. Med opdaterede evakueringslister kan du vise, hvem der var til stede under en hændelse, en evakuering eller en øvelse.

En liste over til stede i realtid hjælper dit beredskab, din driftsafdeling eller dit sikkerhedsteam med hurtigt at se, hvilke besøgende, leverandører eller entreprenører der stadig er inde. Det er naturligvis afgørende for sikkerheden i selve øjeblikket, men det kan også være værdifuld dokumentation i undersøgelser efter en hændelse eller i kundeaudits.

Læs også: Besøgspolitik: sådan skriver du en (gratis skabelon)

Tjekliste: er du klar til en audit?

En god test er ganske enkelt: hvis en auditor eller en kunde bad om data om besøgende i dag, kunne du så svare hurtigt og pålideligt? Denne tjekliste hjælper dig med at vurdere, om din besøgsregistrering er klar til en audit.

Kan du glat svare ja til alle spørgsmålene, er der god chance for, at dine data om besøgende reelt bidrager til en auditklar organisation. Din besøgsregistrering løser ikke alle compliancekrav for dig, men den giver dig konkret og pålidelig dokumentation for fysisk adgang, styring af entreprenører, sikkerhed og håndtering af hændelser.

Konklusion

Det bliver langt lettere at være auditklar, når dokumentationen opstår af sig selv i de daglige processer. Digital besøgsregistrering hjælper ved at registrere besøgslogs, data om check-in og check-ud, papirer på entreprenører, underskrevne dokumenter, opbevaringsperioder og evakueringslister på en struktureret måde.

Derfor har du hurtigere pålidelig dokumentation ved hånden, når en auditor eller en kunde spørger, hvem der var til stede, hvorfor nogen fik adgang, hvilke dokumenter der blev bekræftet, eller hvem der var på stedet under en hændelse. Besøgsregistrering er altså ikke bare en administrativ pligt, men en praktisk håndsrækning i din forberedelse til audit.

Husk dog: digital besøgsregistrering gør ikke i sig selv din organisation compliant med rammeværker som ISO 27001, NIS2 og GxP eller med kravene i en kundeaudit. Det kræver stadig andre byggesten som sikkerhedspolitikker, adgangsprocedurer, risikostyring, håndtering af hændelser og leverandørstyring. Det, digital besøgsregistrering gør, er at hjælpe din virksomhed med at være auditklar hele året, når det gælder dokumentationen.

Vil du danne dig et indtryk af, hvordan digital besøgsregistrering kan hjælpe din virksomhed, kan du prøve Vizito gratis i 14 dage. Skriv med os i chatten, eller book en demo, hvis du vil vide mere.