Изберете одитор с правилния обхват и независимост

Отношенията с одитора работят най-добре, когато и двете страни разбират системата, обхвата и очакванията за доказателства, преди оценката да започне. За главния изпълнителен директор изборът на тези отношения е решение по снабдяване и отчетност: ще отговори ли получената увереност на въпроса на клиента и може ли организацията да подкрепи достоверна оценка?

Цената има значение, но квалификацията, независимостта и използваемият обхват са на първо място. Закупуването на грешен ангажимент може да ви остави с документ, който не обхваща услугата, която трябва да продавате.

Определете целта на увереността, преди да поискате предложения

Напишете кратко задание за ангажимента, в което са посочени бизнес целта, предвидените получатели, границата на услугата, местоположенията, основните доставчици, желаният резултат и крайният срок. Разграничавайте договорното изискване на клиента от вътрешно предпочитание; те може да изискват различна увереност.

ISO 27001 се отнася до система за управление на информационната сигурност с определен обхват. Сертифицирането се извършва от независим сертифициращ орган, а не от ISO. SOC 2 е атестационен доклад, а не сертифициране. Секторните схеми имат свои собствени доставчици и организация на оценката: TISAX, например, е механизъм за оценка и обмен, а не сертификат по модела на ISO.

Не третирайте тези резултати като взаимозаменяеми и не приемайте, че те установяват законово съответствие. Попитайте предвидения получател дали предложеният обхват и резултат ще удовлетворят неговото изискване, преди да поемете финансов ангажимент.

Дайте на фирмите от краткия списък едно и също задание. Съпоставимите входни данни правят видими разликите в обхвата, усилията, изключенията и цената.

Задайте пет въпроса, които разкриват реалния ангажимент

1. Какво точно ще оценявате и кой е квалифициран да издаде резултата?

Поискайте предложения обхват писмено, включително юридическите лица, услугите, обектите, дистанционните операции и възложените на външни изпълнители зависимости. Попитайте как ще бъдат третирани доставчиците и кои отговорности остават ваши.

За акредитирано сертифициране по ISO проверете акредитацията на сертифициращия орган и нейното покритие за съответния стандарт чрез регистрите на органа по акредитация; самото лого не е достатъчно. За SOC 2 установете отговорната CPA фирма, съответното лицензиране, отговорността за подписване и приложимите договорености за преглед на качеството. Поискайте актуални подкрепящи записи, вместо да разчитате на търговски препоръки.

Срещнете се с предложения ръководител на ангажимента. Попитайте за съпоставими технологични стекове, размери на компании, индустрии и модели на възлагане на външни изпълнители. Релевантният опит трябва да намалява недоразуменията, а не да понижава стандарта на оценката. Референциите могат да ви помогнат да оцените комуникацията и дисциплината при изпълнението, без да изисквате поверителни констатации за клиенти.

2. Как защитавате независимостта, когато е включена подкрепа при подготовката?

Поискайте обяснение на проверките за конфликт на интереси, отношенията с консултанти или партньори, препращащи клиенти, и ограниченията върху консултантската работа. Изяснете кои услуги по подготовката са допустими съгласно правилата за независимост на ангажимента.

Има съществена разлика между обясняването на искане за доказателства и проектирането или експлоатирането на контролите, които по-късно се оценяват. Попитайте кой е извършил евентуалната работа по готовността и дали това създава ограничения за предложения оценяващ. Когато е необходимо, разделете доставчиците на подготовката и на независимата оценка.

Отхвърляйте обещания за гарантиран доклад без забележки или за сертификат. Договорете как се ескалират несъгласията и как констатациите се подкрепят с доказателства. Ръководството остава отговорно за контролите и изявленията; оценяващият остава отговорен за своята независима преценка.

3. Какви доказателства и кой период от време ще проверявате?

Попитайте дали ангажиментът оценява определен момент от времето или функционирането през определен период. За SOC 2 изяснете Type I спрямо Type II и предвидените дати на доклада. За сертифицирането по ISO разграничавайте етапите на първоначалната оценка от последващите надзорни одити и пресертифицирането.

Поискайте първоначален план на доказателствата, а не обещание, че фиксиран контролен списък гарантира успех. Обсъдете интервютата, извадките, посещенията на място и доказателствата от външни доставчици. Попитайте как се оценяват автоматизираните експорти за пълнота и релевантност; наличието на табло не е същото като демонстрирането на ефективно функциониране.

Потвърдете какво се случва, ако готовността е по-ниска от очакваното: отлагане, преработен обхват, допълнителна работа или констатации. Изяснете прегледа на коригиращите действия, последващите доказателства и кой взема окончателното решение за доклада или сертифицирането.

4. Какви срокове и разходи зависят от нашите действия?

Разделете наличността на оценяващия, подготовката на доказателствата, работата на място, отговорите на ръководството, независимия преглед и издаването. Попитайте кои дати могат да бъдат поети като ангажимент и кои зависят от задоволителни доказателства или от решаването на констатациите. Предпочитаната дата за издаване не е безусловна гаранция.

Поискайте писмена разбивка, обхващаща:

• Фиксирани такси, дневни ставки и допускания относно усилията за одита.
• Пътувания, допълнителни обекти и промени в обхвата.
• Преглед на коригиращите действия, последваща работа и пренасрочване.
• Повтарящи се разходи за оценка и условия за отказ.

Предвидете в бюджета и времето на вътрешния персонал. По-евтино предложение, което изключва необходима работа, не е полезно сравнение. Нека отговорният висш ръководител одобри както разходите, така и оперативния капацитет, необходим за подкрепа на ангажимента.

5. Как ще работят споделянето на доказателства и комуникацията?

Договорете канала за искания, приеманите формати, отговорниците за отговорите и пътя за ескалация. Попитайте дали оценяващият може да използва вашето работно пространство за подготовка или се нуждае от експорти в собствената си система. Потвърдете правата за достъп, сроковете за съхранение, изтриването и работата с чувствителни материали.

Предпочитайте контролиран дневник на исканията пред разпръснати прикачени файлове в имейли. Всяко искане трябва да има идентификатор, собственик, краен срок, отговор и нерешен въпрос. Договорете как преработените доказателства се разграничават от по-ранните версии и как заличаването може да запази необходимия контекст. Съвместимостта на инструментите помага за координацията; тя не замества качеството на доказателствата или независимата оценка.

Практически пример: избор между две предложения

Да приемем, за илюстрация, че компания за облачен софтуер се нуждае от доклад по SOC 2 Type II, обхващащ нейната производствена услуга, за подновяване на договор с клиент. Разработката е дистанционна, а хостингът е възложен на външен изпълнител.

Едното предложение предлага по-ранно начало, но оставя неясни отчетния период, третирането на доставчиците и графика на окончателния преглед. Другото посочва тези граници и определя отговорния ръководител на ангажимента, но започва по-късно.

Ръководството трябва първо да потвърди изисквания от клиента отчетен период и дали по-късната доставка е приемлива. След това да поиска разяснения от първата фирма и да сравни равностоен обхват. Ако нито един от графиците не е подходящ, обсъдете с клиента възможност за временна увереност, вместо мълчаливо да купувате различен доклад. Запишете обосновката на избора, зависимостите и приетия риск по доставката.

Направете предаването подлежащо на преглед

Преди подписване съберете пакет за решение: задание за ангажимента, проверени квалификации на доставчика, обяснение относно независимостта, обхват, допускания за таксите, зависимости в графика, договорености за споделяне на доказателства и одобрение от висшето ръководство. Поддържайте нерешените въпроси видими, вместо да ги заравяте в кореспонденцията по снабдяването.

Secani свързва изисквания, собственици, доказателства, задачи и решения от прегледи. Екипът може да свързва подкрепящи материали със съответните контроли и системи, да записва пропуските и да запазва човешките одобрения и контекста на източниците. Това осигурява съгласуван контекст на подготовката, който да се обсъди с независим оценяващ; то не определя преценката на оценяващия.

Използвайте нашето ръководство за готовност за одит, за да проверите дали организацията може да проследи едно изискване през внедряването до доказателствата. След това изпратете едно и също задание с определен обхват на доставчиците от краткия списък и разрешете съществените разлики, преди да изберете един от тях.