Vælg en auditor med det rette scope og den rette uafhængighed

Et samarbejde med en auditor fungerer bedst, når begge parter forstår systemet, scopet og forventningerne til evidens, før vurderingen begynder. For en administrerende direktør er valget af det samarbejde en indkøbs- og ansvarsbeslutning: Vil den erklæring, man ender med, besvare kundens spørgsmål, og kan organisationen understøtte en troværdig vurdering?

Prisen betyder noget, men kvalifikationer, uafhængighed og et brugbart scope kommer først. Køber man den forkerte opgave, kan man stå tilbage med et dokument, der ikke dækker den ydelse, man skal sælge.

Definér formålet med erklæringen, før I indhenter tilbud

Skriv en kort opgavebeskrivelse, der angiver det forretningsmæssige formål, de tiltænkte modtagere, ydelsens afgrænsning, lokationer, væsentlige leverandører, det ønskede leverede resultat og tidsfristen. Skeln mellem en kundes kontraktuelle krav og en intern præference; de kan kræve forskellige former for sikkerhed.

ISO 27001 vedrører et afgrænset ledelsessystem for informationssikkerhed. Certificeringen foretages af et uafhængigt certificeringsorgan, ikke af ISO. SOC 2 er en erklæringsrapport, ikke en certificering. Branchespecifikke ordninger har deres egne udbydere og vurderingsforløb: TISAX er for eksempel en vurderings- og udvekslingsmekanisme snarere end et certifikat i ISO-forstand.

Behandl ikke disse resultater, som om de var indbyrdes udskiftelige, og gå ikke ud fra, at de dokumenterer overholdelse af lovgivningen. Spørg den tiltænkte modtager, om det foreslåede scope og leverede resultat vil opfylde modtagerens krav, før I binder jer økonomisk.

Giv de udvalgte firmaer den samme opgavebeskrivelse. Sammenlignelige input gør forskelle i scope, indsats, undtagelser og pris synlige.

Stil fem spørgsmål, der afslører den reelle opgave

1. Hvad præcist vil I vurdere, og hvem er kvalificeret til at udstede resultatet?

Bed om det foreslåede scope på skrift, herunder enheder, ydelser, lokationer, fjerndrift og outsourcede afhængigheder. Spørg, hvordan leverandører vil blive håndteret, og hvilke ansvarsområder der forbliver jeres.

Ved akkrediteret ISO-certificering skal I kontrollere certificeringsorganets akkreditering og dens dækning af den relevante standard via akkrediteringsorganets registre; et logo alene er ikke tilstrækkeligt. Ved SOC 2 skal I fastslå, hvilket revisionsfirma der er ansvarligt, den relevante autorisation, underskriftsansvaret og de gældende ordninger for kvalitetskontrol. Bed om aktuel underbyggende dokumentation i stedet for at stole på salgsmaterialets referencer.

Mød den foreslåede opgaveansvarlige. Spørg ind til sammenlignelige teknologistakke, virksomhedsstørrelser, brancher og outsourcingmodeller. Relevant erfaring bør mindske misforståelser, ikke sænke standarden for vurderingen. Referencer kan hjælpe jer med at vurdere kommunikation og leveringsdisciplin uden at bede om fortrolige fund hos andre kunder.

2. Hvordan beskytter I uafhængigheden, når der indgår forberedende støtte?

Bed om en forklaring på kontrol af interessekonflikter, relationer til konsulenter eller henvisningspartnere og begrænsninger på rådgivningsarbejde. Afklar, hvilke forberedende ydelser der er tilladte under opgavens uafhængighedsregler.

Der er en væsentlig forskel på at forklare en anmodning om evidens og at designe eller drive de kontroller, der senere skal vurderes. Spørg, hvem der har udført eventuelt parathedsarbejde, og om det medfører begrænsninger for den foreslåede assessor. Adskil om nødvendigt udbyderne af forberedelse og uafhængig vurdering.

Afvis løfter om en garanteret ren rapport eller et garanteret certifikat. Aftal, hvordan uenigheder eskaleres, og hvordan fund underbygges med evidens. Ledelsen har fortsat ansvaret for kontroller og erklæringer; assessoren har fortsat ansvaret for sin uafhængige vurdering.

3. Hvilken evidens og hvilken periode vil I undersøge?

Spørg, om opgaven vurderer et bestemt tidspunkt eller driften over en periode. Ved SOC 2 skal I afklare Type I over for Type II og de tiltænkte rapporteringsdatoer. Ved ISO-certificering skal I skelne mellem de indledende vurderingstrin og det efterfølgende overvågnings- og gencertificeringsarbejde.

Bed om en indledende oversigt over evidens, ikke et løfte om, at en fast tjekliste garanterer succes. Drøft interviews, stikprøver, besøg på lokationer og evidens fra eksterne leverandører. Spørg, hvordan automatiserede eksporter vurderes for fuldstændighed og relevans; at have et dashboard er ikke det samme som at påvise effektiv drift.

Bekræft, hvad der sker, hvis parathedsniveauet er lavere end forventet: udsættelse, ændret scope, ekstra arbejde eller fund. Afklar gennemgangen af korrigerende handlinger, opfølgende evidens, og hvem der træffer den endelige beslutning om rapport eller certificering.

4. Hvilken tidsplan og hvilke omkostninger afhænger af vores handlinger?

Adskil assessorens tilgængelighed, forberedelse af evidens, feltarbejde, ledelsens svar, uafhængig gennemgang og udstedelse. Spørg, hvilke datoer der kan forpligtes til, og hvilke der afhænger af tilfredsstillende evidens eller løsning af fund. En ønsket udstedelsesdato er ikke en ubetinget garanti.

Bed om en skriftlig opdeling, der dækker:

• Faste honorarer, dagspriser og antagelser om auditindsatsen.
• Rejser, yderligere lokationer og ændringer i scope.
• Gennemgang af korrigerende handlinger, opfølgende arbejde og omplanlægning.
• Tilbagevendende vurderingsomkostninger og opsigelsesvilkår.

Budgettér også medarbejdernes interne tid. Et billigere tilbud, der udelader nødvendigt arbejde, er ikke en brugbar sammenligning. Lad den ansvarlige direktør godkende både udgifterne og den driftsmæssige kapacitet, der skal til for at understøtte opgaven.

5. Hvordan vil deling af evidens og kommunikation foregå?

Aftal kanalen for anmodninger, accepterede formater, ansvarlige for svar og eskaleringsvejen. Spørg, om assessoren kan bruge jeres forberedelsesworkspace eller har brug for eksporter til sit eget system. Bekræft adgangsrettigheder, opbevaring, sletning og håndtering af følsomt materiale.

Foretræk en kontrolleret log over anmodninger frem for spredte vedhæftede filer i e-mails. Hver anmodning bør have en identifikator, en ansvarlig, en frist, et svar og eventuelle uafklarede spørgsmål. Aftal, hvordan revideret evidens adskilles fra tidligere versioner, og hvordan anonymisering kan bevare den nødvendige kontekst. Kompatible værktøjer letter koordineringen; de erstatter ikke evidensens kvalitet eller den uafhængige vurdering.

Gennemregnet eksempel: valget mellem to tilbud

Antag, som illustration, at en cloudsoftwarevirksomhed har brug for en SOC 2 Type II-rapport, der dækker dens produktionsydelse, i forbindelse med en kundefornyelse. Udviklingen foregår på distancen, og hostingen er outsourcet.

Det ene tilbud giver en tidligere opstart, men lader rapporteringsperioden, håndteringen af leverandører og tidsplanen for den endelige gennemgang stå uklar. Det andet specificerer disse afgrænsninger og udpeger den ansvarlige opgaveleder, men starter senere.

Ledelsen bør først bekræfte kundens krævede rapporteringsperiode, og om den senere levering er acceptabel. Derefter bør den bede det første firma om en afklaring og sammenligne tilsvarende scope. Hvis ingen af tidsplanerne fungerer, bør man drøfte en midlertidig løsning for sikkerhed med kunden i stedet for i al stilhed at købe en anden rapport. Dokumentér begrundelsen for valget, afhængighederne og den accepterede leveringsrisiko.

Gør overdragelsen gennemgåelig

Saml en beslutningspakke, før I underskriver: opgavebeskrivelse, verificerede kvalifikationer hos udbyderen, redegørelse for uafhængighed, scope, prisantagelser, afhængigheder i tidsplanen, ordninger for deling af evidens og direktionens godkendelse. Hold uafklarede spørgsmål synlige i stedet for at begrave dem i indkøbskorrespondancen.

Secani forbinder krav, ansvarlige, evidens, opgaver og beslutninger fra gennemgange. Teamet kan knytte underbyggende materiale til de relevante kontroller og systemer, registrere mangler og bevare menneskelige godkendelser og kildekontekst. Det giver en sammenhængende forberedelseskontekst at drøfte med en uafhængig assessor; det afgør ikke assessorens vurdering.

Brug vores guide til auditparathed til at teste, om organisationen kan følge et krav gennem implementering og evidens. Send derefter den samme afgrænsede opgavebeskrivelse til de udvalgte udbydere, og afklar væsentlige forskelle, før I vælger én.