Process Mining para auditoria

Process Mining para auditores: veja o que realmente aconteceu

Compare os dados de eventos dos casos concluídos com um modelo de processo aprovado. Identifique desvios, consulte o histórico de cada caso e exporte evidências para análise. Essa análise apoia seu trabalho de auditoria, mas não substitui seu julgamento nem certifica a conformidade.

Que evidências o Process Mining produz?

Um teste de conformidade compara a execução registrada do processo com o padrão que você define. Os resultados mostram quais casos seguiram o caminho esperado e onde houve diferenças. Use essas evidências de conformidade do processo para concentrar a análise nas exceções, em vez de reconstruir cada caso manualmente.

As evidências dependem dos dados de eventos e do padrão de processo que você fornece. Uma diferença entre a atividade registrada e o controle definido não explica por que ela ocorreu nem comprova que houve falha no controle. Cabe a você avaliar o significado do resultado.

Saiba como o Process Mining apoia a verificação de conformidade.

Como rastrear um resultado até o caso de origem?

Comece com um desvio identificado na análise e examine o histórico do processo daquele caso. Passe do resultado resumido para os eventos registrados no caso e, em seguida, analise a sequência e o momento em que ocorreram, considerando o contexto.

Para facilitar a análise dos resultados, mantenha os identificadores relevantes dos casos e os registros de origem junto com a exportação. Os dados de eventos precisam incluir os registros das atividades, as datas e horas e as referências aos casos necessárias para rastrear a execução até a origem.

O que você pode exportar e quais informações devem acompanhar a exportação?

Depois de analisar os desvios, exporte os resultados e as evidências de apoio para o arquivo da auditoria. Mantenha a exportação junto com o modelo de processo aprovado, o escopo e o período do teste e as referências aos dados de origem usados na análise.

Sem esse contexto, é difícil avaliar uma lista de desvios. O ProcessMind fornece evidências para sua análise; cabe a você decidir se são suficientes para a auditoria.

Como registrar e avaliar exceções?

Um desvio é uma diferença entre a execução registrada e o modelo de processo usado como referência no teste. Ele pode indicar uma atividade ignorada, uma sequência inesperada ou outro afastamento do caminho definido.

Registre separadamente a exceção, as evidências do caso e sua avaliação. A análise pode ajudar você a encontrar e investigar variações, mas não determina se uma exceção é justificável, representa uma violação de controle ou é um problema de conformidade. Essa avaliação exige seu julgamento e o contexto relevante da organização.

Como executar um teste de conformidade?

1. Escolha o processo e a questão de controle. Defina o que você quer testar, o período abrangido e o padrão de processo aprovado.
2. Prepare os dados de eventos. Inclua os identificadores dos casos e os registros das atividades necessários para rastrear a execução até os casos de origem.
3. Compare a execução com o padrão. Faça uma verificação de conformidade e analise os desvios identificados.
4. Investigue as exceções. Abra os históricos dos casos relevantes, confira os registros de origem e documente sua avaliação.
5. Exporte as evidências. Mantenha juntos os resultados, as referências aos casos, o modelo de processo e o escopo do teste para análise.

Leia o guia de governança de processos para saber como definir e manter padrões de processo.

Como funciona um teste de conformidade na prática?

Imagine que o processo aprovado exige que uma solicitação seja enviada, analisada e aprovada antes do pagamento. Modele essa sequência e compare-a com os dados de eventos de casos concluídos.

A análise pode sinalizar casos em que as atividades registradas diferem do modelo, como um pagamento registrado antes da aprovação. Examine o histórico do caso e rastreie o resultado até os registros de origem. Em seguida, avalie se a sequência representa uma exceção de controle, um problema nos dados ou uma variação aprovada e documente sua conclusão para análise.

O resultado é uma evidência de conformidade do processo, não uma decisão automática sobre conformidade.

Como o Process Mining pode ajudar na preparação para auditorias?

O Process Mining pode ajudar você a encontrar desvios em todos os casos disponíveis, em vez de depender apenas de uma amostra selecionada manualmente. Use os resultados para direcionar a investigação, organizar as evidências por histórico de caso e repetir o mesmo teste ao analisar outro período.

A cobertura depende da integridade e da qualidade dos dados de eventos. Eventos ausentes, identificadores de caso inconsistentes ou um modelo de processo incompleto podem afetar os resultados. Valide os dados e o padrão antes de confiar nas conclusões.

Qual é a relação com a ISO 9001 e o DORA?

Na documentação de processos para a ISO 9001, um modelo de processo definido pode servir como padrão para comparar a execução registrada. A análise pode ajudar você a identificar onde os casos reais diferem desse modelo. Por si só, ela não comprova que sua documentação ou seu sistema de gestão da qualidade atende aos requisitos da ISO 9001.

Para reunir evidências de resiliência operacional exigidas pelo DORA, os dados de processo podem ajudar você a analisar atividades registradas relacionadas a processos e incidentes de TIC. A adequação das evidências às suas obrigações depende do requisito, dos registros disponíveis e da sua avaliação. O Process Mining não certifica a conformidade com o DORA.

Veja o caso de uso de conformidade em ciências da vida para conhecer outro exemplo de análise de processos em um setor regulamentado.

O que verificar antes de confiar nos resultados?

Antes de usar uma exportação em uma auditoria, confirme se:

• O modelo de processo representa o padrão aprovado para o período analisado.
• Os dados de eventos cobrem os casos e as atividades incluídos no escopo.
• Os identificadores dos casos permitem rastrear os resultados até os registros de origem.
• O escopo do teste e as limitações dos dados estão documentados.
• As exceções foram avaliadas, em vez de tratar todo desvio como uma falha de controle.

Comece com um processo e uma questão de controle claramente definida. Depois, avalie se os resultados por caso e a exportação de evidências atendem às necessidades da auditoria.