Заметки из диспетчерской · Черновик

Папка с доказательствами, которая была очень тщательной

Собирательная история из организации среднего размера.

Перед аудитом команда собрала папку под названием «Доказательства». Это была радость. Скриншоты, выгрузки и документы, названные в едином стиле, датированные, разложенные по подпапкам в соответствии с контролями. Кто-то даже добавил оглавление. Такая папка, что хочется обнять электронную таблицу.

Аудитор открыл её, какое-то время листал с заметным уважением и задал совсем маленький вопрос: «Из какой системы этот скриншот?»

Поворот

Ответы приходили один за другим. Этот был из тестовой среды, потому что до production добраться было труднее. Этот сделан за неделю до аудита, для настройки, которая, как считалось, весь год была прежней. Этот показывал не тот контроль, что в названии файла. Эти два были снимками документа, описывавшего контроль, а не самого контроля в работе.

Тогда аудитор попросил один образец, снятый вживую из системы учёта прямо сейчас, пока все смотрят. Комната вместе и довольно тепло обнаружила, что никто не знает, как получить его по запросу.

Урок

Папка доказала старательность. Она не доказала контроль. Скриншот — это утверждение о доказательстве: он говорит «вот что система показала однажды человеку с камерой». Доказательство — это то, что записывает сама система, и его можно получить снова по запросу, вместе с источником и временем.

Команда изменила форму работы. Проверки теперь идут по расписанию и пишут результаты прямо из системы учёта: что проверялось, откуда это взято, когда выполнялось и что вернулось. Время от времени человек сверяет несколько из них с реальностью, а результат, который нельзя воспроизвести, не засчитывается. Папка уменьшилась. Следующий разговор с аудитором был короче и заметно дружелюбнее.

Доказательство, которое нельзя воспроизвести из источника, — это утверждение, а не доказательство.