Process mining voor compliance-auditors

Process mining voor compliance-auditors: zie wat er echt is gebeurd

Process mining voor compliance vergelijkt gebeurtenisdata van afgeronde cases met een goedgekeurd procesmodel. Vind afwijkingen, bekijk de bijbehorende casegeschiedenis en exporteer bewijs voor beoordeling. Deze analyse ondersteunt je auditwerk, maar vervangt je oordeel niet en geeft geen certificering van compliance.

Welk bewijs levert process mining op?

Een conformancecheck vergelijkt de geregistreerde procesuitvoering met de norm die je hebt bepaald. De resultaten laten zien welke cases de verwachte route volgden en waar ze daarvan afweken. Gebruik dit bewijs over de procesuitvoering om je beoordeling op uitzonderingen te richten, in plaats van elke case handmatig te reconstrueren.

Het bewijs hangt af van de eventdata en procesnorm die je aanlevert. Een verschil tussen geregistreerde activiteiten en de vastgelegde beheersmaatregel verklaart niet waarom het is ontstaan en bewijst niet dat een beheersmaatregel heeft gefaald. Jij beoordeelt wat de bevinding betekent.

Lees hoe Process Mining helpt bij conformancechecks.

Hoe herleid je een bevinding tot de broncase?

Begin met een afwijking in de analyse en bekijk de procesgeschiedenis van de betreffende case. Ga van de samenvatting naar de geregistreerde gebeurtenissen voor die case en beoordeel de volgorde en timing in de juiste context.

Bewaar relevante case-ID’s en brongegevens bij je export, zodat de resultaten makkelijker te beoordelen zijn. Je eventdata moet de activiteiten, timestamps en caseverwijzingen bevatten die nodig zijn om de uitvoering tot de bron te herleiden.

Wat kun je exporteren en welke informatie moet erbij blijven?

Exporteer na het beoordelen van de afwijkingen de bevindingen en het ondersteunende bewijs voor je auditdossier. Bewaar de export samen met het goedgekeurde procesmodel, de testomvang en -periode en verwijzingen naar de gebruikte bronddata.

Zonder deze context is een lijst met afwijkingen lastig te beoordelen. ProcessMind levert bewijs voor je beoordeling. Jij bepaalt of dat voldoende is voor de audit.

Hoe leg je uitzonderingen vast en beoordeel je ze?

Een afwijking is een verschil tussen de geregistreerde uitvoering en het procesmodel waaraan je toetst. Het kan gaan om een overgeslagen activiteit, een onverwachte volgorde of een andere afwijking van de vastgelegde route.

Leg de uitzondering, het bewijs per case en je beoordeling afzonderlijk vast. De analyse helpt je variaties te vinden en te onderzoeken, maar bepaalt niet of een uitzondering gerechtvaardigd is, een beheersmaatregel is geschonden of er sprake is van een complianceprobleem. Daarvoor zijn je eigen oordeel en de relevante context van de organisatie nodig.

Hoe voer je een conformancecheck uit?

1. Kies het proces en de controlevraag. Bepaal wat je wilt toetsen, welke periode je onderzoekt en welke procesnorm is goedgekeurd.
2. Bereid de eventdata voor. Neem de case-ID’s en activiteiten op die nodig zijn om de uitvoering naar de broncases te herleiden.
3. Vergelijk de uitvoering met de norm. Voer een conformancecheck uit en beoordeel de gevonden afwijkingen.
4. Onderzoek uitzonderingen. Open de relevante casegeschiedenis, controleer de brongegevens en leg je beoordeling vast.
5. Exporteer het bewijs. Bewaar de bevindingen, caseverwijzingen, het procesmodel en de testomvang bij elkaar voor beoordeling.

Lees de gids voor procesgovernance om te zien hoe je procesnormen vaststelt en bijhoudt.

Hoe ziet een conformancecheck er in de praktijk uit?

Stel dat je goedgekeurde proces voorschrijft dat een aanvraag wordt ingediend, beoordeeld en goedgekeurd voordat er wordt betaald. Modelleer die volgorde en vergelijk die vervolgens met eventdata van afgeronde cases.

De analyse kan cases markeren waarin de geregistreerde activiteiten afwijken van het model, bijvoorbeeld als een betaling vóór de goedkeuring is vastgelegd. Bekijk de casegeschiedenis en herleid de bevinding tot de brongegevens. Beoordeel daarna of de volgorde wijst op een uitzondering op een beheersmaatregel, een dataprobleem of een goedgekeurde afwijking. Leg je conclusie vast voor beoordeling.

Het resultaat is bewijs over de procesuitvoering, geen automatische beslissing over compliance.

Hoe helpt process mining bij de voorbereiding van een audit?

Process mining kan afwijkingen vinden in alle beschikbare cases, zodat je niet alleen hoeft te vertrouwen op een handmatig gekozen steekproef. Gebruik de resultaten om je onderzoek te richten, bewijs rond casegeschiedenissen te ordenen en dezelfde test te herhalen voor een andere periode.

De dekking hangt af van de volledigheid en kwaliteit van je eventdata. Ontbrekende gebeurtenissen, inconsistente case-ID’s of een onvolledig procesmodel kunnen de resultaten beïnvloeden. Controleer de data en de norm voordat je op je bevindingen vertrouwt.

Wat is de relatie met ISO 9001 en DORA?

Voor procesdocumentatie volgens ISO 9001 kan een vastgelegd procesmodel dienen als norm om de geregistreerde uitvoering mee te vergelijken. De analyse kan laten zien waar echte cases van dat model afwijken. Op zichzelf bewijst dit niet dat je documentatie of kwaliteitsmanagementsysteem aan de eisen van ISO 9001 voldoet.

Voor bewijs van operationele weerbaarheid volgens DORA kan procesdata helpen bij het onderzoeken van geregistreerde activiteiten rond ICT-processen en incidenten. Of het bewijs aan je verplichtingen voldoet, hangt af van de eis, de beschikbare gegevens en je beoordeling. Process mining certificeert geen DORA-compliance.

Bekijk de usecase voor compliance in de levenswetenschappen voor een ander voorbeeld van procesanalyse in een gereguleerde omgeving.

Wat moet je controleren voordat je op de resultaten vertrouwt?

Controleer het volgende voordat je een export in een audit gebruikt:

• Het procesmodel komt overeen met de goedgekeurde norm voor de onderzochte periode.
• De eventdata bevat de cases en activiteiten binnen de testomvang.
• Met case-ID’s kun je bevindingen herleiden tot brongegevens.
• Je hebt de testomvang en eventuele beperkingen van de data vastgelegd.
• Je hebt uitzonderingen beoordeeld en niet elke afwijking als een tekortkoming in een beheersmaatregel aangemerkt.

Begin met één proces en één duidelijk omschreven controlevraag. Beoordeel daarna of de bevindingen per case en de export van het bewijs aansluiten op je auditbehoeften.