audit

Аудит в ITSM — это формализованная деятельность по независимой проверке того, как организация выполняет принятые требования и договорённости: внутренние политики, стандарты, регламенты, а также целевые показатели рациональности и результативности. Ценность аудита в том, что он даёт управлению объективное подтверждение соответствия требованиям и качества управленческих данных, а также выявляет отклонения, риски и области для постоянного совершенствования. На практике аудит применяют к практикам и процессам управления услугами: оценивают, соблюдаются ли процедуры, корректно ли ведутся записи, насколько полно и своевременно фиксируются ключевые решения, и поддерживается ли доказательная база (например, кто утвердил изменение, какие проверки выполнены, какие результаты получены). Аудит также помогает проверить достоверность источников данных, на которых строится измерение и отчётность, и определить, можно ли доверять метрикам и KPI. Вне области применения аудита — оперативное выполнение работ вместо команд, непосредственное устранение инцидентов или реализация улучшений; аудит лишь фиксирует факты, несоответствия и рекомендации, но не подменяет управление изменениями, управление рисками или управление проблемами.

Аудит часто ошибочно воспринимают как поиск виновных или разовую «проверку ради проверки». В зрелом ITSM аудит должен быть инструментом руководства и управления рисками: он оценивает соответствие требованиям и надёжность контроля, а не персональную эффективность отдельных сотрудников. Другая типичная путаница — смешение аудита с мониторингом и измерением: мониторинг и метрика дают поток данных о текущем состоянии, тогда как аудит проверяет, насколько корректно выстроены и соблюдаются правила, и можно ли доверять записям и отчётам. Также важно не подменять аудит консультацией или внедрением: аудиторы могут указать на несоответствие стандарту или процедуре, но не должны принимать операционные решения и «перестраивать» процесс вместо владельцев. Частая ловушка — проводить аудит только по наличию документов: формально утверждённая политика или процедура не означает, что она реально применяется и даёт результативность; поэтому аудит должен проверять доказательства выполнения, выборку записей и фактические практики работы. Наконец, необходимо различать внутренний и внешний аудит: внутренний ориентирован на улучшение и подготовку, внешний — на независимое подтверждение соответствия требованиям и может иметь юридические и контрактные последствия.