Сначала договоритесь, что именно проверяется
Слово «аудит» может означать разные работы: обзор производственных данных, обследование оборудования и сетей, анализ отдельных процессов или проверку готовности к внедрению системы. Поэтому до начала важно письменно определить цель и границы работ.
Сформулируйте вопрос, на который аудит должен помочь ответить. Например: какие данные оборудования доступны, где теряется информация о простоях или что нужно подготовить для пилотного подключения. Если цель звучит как «проверить всё производство», уточните, какие участки и процессы входят в работу, а какие остаются за её пределами.
Этот список относится к подготовке цифрового и технического обследования. Он не заменяет отдельные проверки по требованиям законодательства, промышленной безопасности или информационной безопасности, если такие проверки нужны предприятию.
Назначьте участников и согласуйте время
Определите ответственного со стороны предприятия и основных участников. В зависимости от задачи это могут быть представители производства, АСУ ТП, ИТ, ТОиР, службы информационной безопасности и руководитель участка. Состав команды зависит от границ аудита — приглашать всех специалистов заранее необязательно.
Участникам нужно понимать, зачем проводится работа и какие вопросы будут обсуждаться. Согласуйте дату, время, доступные участки и порядок сопровождения. Если осмотр может затронуть работу оборудования, отдельно уточните, какие действия допустимы и кто разрешает их выполнять.
Перед началом проверьте, что сотрудники на месте знают о визите и понимают его формат. Это помогает избежать ситуации, когда аудиторы приехали, но нужный специалист отсутствует, участок занят или согласованный осмотр невозможно провести по правилам предприятия.
Подготовьте относящиеся к задаче сведения
Соберите материалы, которые помогут понять выбранный процесс. Это могут быть перечень оборудования участка, описание его работы, существующие журналы и отчёты, принятые определения состояний и сведения о действующих системах. Не требуется заранее собирать весь архив предприятия: объём материалов должен соответствовать цели аудита.
Если рассматриваются простои или загрузка оборудования, полезно заранее уточнить, как предприятие определяет эти понятия и откуда берутся соответствующие данные. Один и тот же термин в разных подразделениях может иметь разный смысл. Если единого определения нет, зафиксируйте это как вопрос для обсуждения, а не пытайтесь незаметно привести сведения к одному виду.
Отметьте пробелы и ограничения. Например, часть данных может храниться только на бумаге, не иметь истории или быть недоступной для выбранного периода. Такая информация не делает аудит бесполезным: она помогает определить, какие выводы возможны, а какие пока нельзя подтвердить.
Согласуйте доступ и правила безопасности
До визита определите, кто может разрешить доступ к оборудованию, сетям и документам, какие действия допустимы и как сопровождаются работы. Не предполагается, что аудитору обязательно нужны пароли, исходные проекты ПЛК или прямой доступ ко всем системам. Необходимый объём доступа зависит от задачи и внутренних правил предприятия.
Учётные данные не следует пересылать в открытой переписке или включать в общую анкету. Если для работы требуется доступ, его организуют через утверждённый на предприятии порядок с определёнными правами и ответственными. Не подключайте оборудование к сети и не меняйте настройки без согласования с уполномоченными специалистами.
Если доступ к нужным данным пока невозможен, заранее зафиксируйте это и обсудите допустимый способ проверки. Например, часть вопросов может быть рассмотрена по предоставленным отчётам или во время совместного просмотра системы без передачи учётных данных. Подход нужно согласовать до начала работ.
Заранее определите результат аудита
До обследования договоритесь, что предприятие получит по итогам. Это может быть перечень наблюдений, карта доступных и недоступных данных, список вопросов для проверки или рекомендации по следующим шагам. Формат результата должен соответствовать поставленной цели.
Полезно разделять в итогах:
подтверждённые наблюдения;
сведения, предоставленные участниками;
предположения, которые требуют проверки;
ограничения, помешавшие сделать вывод;
предложенные действия и ответственных за их рассмотрение.
Практический чек-лист перед началом:
цель и границы аудита согласованы;
выбранные участки и процессы определены;
назначен ответственный со стороны предприятия;
участники и время работ согласованы;
подготовлены только относящиеся к задаче сведения;
порядок доступа и сопровождения подтверждён;
требования предприятия по безопасности учтены;
формат итогового результата понятен участникам.
Подготовка не гарантирует, что на месте не возникнет дополнительных вопросов. Она помогает сделать такие вопросы видимыми заранее и не подменять проверку догадками. Если часть сведений отсутствует или доступ ограничен, это нужно отразить в результатах и учитывать при выборе дальнейших действий.
О том, какие выводы можно и нельзя делать по сигналам оборудования, — в статье «Данные оборудования: что они показывают инженеру и чего не объясняют»
Готовите цифровой аудит и хотите определить его цель, границы и необходимые исходные данные? Напишите мне в Telegram @saiarov_digital. Коротко опишите участок и вопрос, на который нужно ответить. Обсудим состав обследования и первые шаги без лишнего объёма на старте.