Una mappa delle evidenze è un indice controllato che collega ogni requisito a evidenze correnti, responsabilità e metodo di verifica dell’attuazione. Non è un elenco di nomi di policy.
Campi minimi
Registra codice del requisito, process owner, identificativo dell’evidenza, versione o data, posizione, periodo, popolazione, restrizioni di accesso e domanda di audit a cui può rispondere.
Separa evidenze di progetto, attuazione ed esito
Una procedura mostra il progetto; un record campionato mostra che un’azione è avvenuta; osservazione o intervista verificano pratica e comprensione; i dati sugli esiti indicano se il controllo può essere efficace. Una buona mappa rende esplicite tali funzioni.
Rendi visibili i gap prima dell’invio
Classifica le evidenze come correnti, parziali, mancanti, inaccessibili o non testate. Non creare record retrospettivi; identifica la debolezza, correggi il processo e lascia maturare evidenze operative sufficienti.