Επιλέξτε ελεγκτή με το σωστό πεδίο και ανεξαρτησία

Μια σχέση με ελεγκτή λειτουργεί καλύτερα όταν και οι δύο πλευρές κατανοούν το σύστημα, το πεδίο και τις προσδοκίες για τα τεκμήρια πριν ξεκινήσει η αξιολόγηση. Για έναν CEO, η επιλογή αυτής της σχέσης είναι απόφαση προμηθειών και λογοδοσίας: θα απαντά η διασφάλιση που θα προκύψει στο ερώτημα του πελάτη και μπορεί ο οργανισμός να στηρίξει μια αξιόπιστη αξιολόγηση;

Η τιμή έχει σημασία, αλλά τα προσόντα, η ανεξαρτησία και ένα αξιοποιήσιμο πεδίο έρχονται πρώτα. Η αγορά της λάθος ανάθεσης μπορεί να σας αφήσει με ένα έγγραφο που δεν καλύπτει την υπηρεσία που πρέπει να πουλήσετε.

Ορίστε τον στόχο διασφάλισης πριν ζητήσετε προσφορές

Γράψτε ένα σύντομο σημείωμα ανάθεσης που αναφέρει τον επιχειρηματικό στόχο, τους προβλεπόμενους αποδέκτες, το όριο της υπηρεσίας, τις τοποθεσίες, τους κύριους προμηθευτές, το επιθυμητό παραδοτέο και την προθεσμία. Διακρίνετε μια συμβατική απαίτηση του πελάτη από μια εσωτερική προτίμηση· μπορεί να απαιτούν διαφορετική διασφάλιση.

Το ISO 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο. Η πιστοποίηση διενεργείται από ανεξάρτητο φορέα πιστοποίησης, όχι από τον ISO. Το SOC 2 είναι έκθεση βεβαίωσης, όχι πιστοποίηση. Τα τομεακά συστήματα έχουν τις δικές τους ρυθμίσεις παρόχων και αξιολόγησης: το TISAX, για παράδειγμα, είναι μηχανισμός αξιολόγησης και ανταλλαγής και όχι πιστοποιητικό τύπου ISO.

Μην αντιμετωπίζετε αυτά τα αποτελέσματα ως εναλλάξιμα και μην υποθέτετε ότι τεκμηριώνουν νομική συμμόρφωση. Ρωτήστε τον προβλεπόμενο αποδέκτη αν το προτεινόμενο πεδίο και παραδοτέο θα ικανοποιούν την απαίτησή του πριν δεσμεύσετε κονδύλια.

Δώστε στις εταιρείες της σύντομης λίστας το ίδιο σημείωμα. Οι συγκρίσιμες εισροές καθιστούν ορατές τις διαφορές στο πεδίο, την προσπάθεια, τις εξαιρέσεις και την τιμή.

Θέστε πέντε ερωτήματα που αποκαλύπτουν την πραγματική ανάθεση

1. Τι ακριβώς θα αξιολογήσετε και ποιος έχει τα προσόντα να εκδώσει το αποτέλεσμα;

Ζητήστε γραπτώς το προτεινόμενο πεδίο, συμπεριλαμβανομένων οντοτήτων, υπηρεσιών, εγκαταστάσεων, απομακρυσμένων λειτουργιών και εξαρτήσεων από τρίτους. Ρωτήστε πώς θα αντιμετωπιστούν οι προμηθευτές και ποιες αρμοδιότητες παραμένουν δικές σας.

Για διαπιστευμένη πιστοποίηση ISO, επαληθεύστε τη διαπίστευση του φορέα πιστοποίησης και την κάλυψή της για το σχετικό πρότυπο μέσω των αρχείων του φορέα διαπίστευσης· ένα λογότυπο από μόνο του δεν αρκεί. Για το SOC 2, προσδιορίστε την υπεύθυνη εταιρεία ορκωτών λογιστών (CPA), τη σχετική άδεια, την ευθύνη υπογραφής και τις εφαρμοστέες ρυθμίσεις ποιοτικού ελέγχου. Ζητήστε τρέχοντα υποστηρικτικά αρχεία αντί να βασίζεστε σε διαπιστευτήρια πωλήσεων.

Γνωρίστε τον προτεινόμενο επικεφαλής της ανάθεσης. Ρωτήστε για συγκρίσιμα τεχνολογικά περιβάλλοντα, μεγέθη εταιρειών, κλάδους και μοντέλα εξωτερικής ανάθεσης. Η σχετική εμπειρία πρέπει να μειώνει τις παρεξηγήσεις, όχι να χαμηλώνει το πρότυπο της αξιολόγησης. Οι συστάσεις μπορούν να σας βοηθήσουν να αξιολογήσετε την επικοινωνία και την πειθαρχία στην υλοποίηση χωρίς να ζητάτε εμπιστευτικά ευρήματα πελατών.

2. Πώς προστατεύετε την ανεξαρτησία όταν εμπλέκεται υποστήριξη προετοιμασίας;

Ζητήστε εξήγηση για τους ελέγχους σύγκρουσης συμφερόντων, τις σχέσεις με συμβούλους ή συνεργάτες παραπομπών και τους περιορισμούς στη συμβουλευτική εργασία. Διευκρινίστε ποιες υπηρεσίες προετοιμασίας επιτρέπονται σύμφωνα με τους κανόνες ανεξαρτησίας της ανάθεσης.

Υπάρχει ουσιώδης διαφορά μεταξύ της εξήγησης ενός αιτήματος τεκμηρίων και του σχεδιασμού ή της λειτουργίας των μέτρων ελέγχου που αξιολογούνται αργότερα. Ρωτήστε ποιος εκτέλεσε τυχόν εργασίες ετοιμότητας και αν αυτό δημιουργεί περιορισμούς για τον προτεινόμενο αξιολογητή. Όπου χρειάζεται, διαχωρίστε τους παρόχους προετοιμασίας από τους παρόχους ανεξάρτητης αξιολόγησης.

Απορρίψτε υποσχέσεις για εγγυημένη καθαρή έκθεση ή εγγυημένο πιστοποιητικό. Συμφωνήστε πώς κλιμακώνονται οι διαφωνίες και πώς τα ευρήματα στηρίζονται σε τεκμήρια. Η διοίκηση παραμένει υπεύθυνη για τα μέτρα ελέγχου και τις δηλώσεις· ο αξιολογητής παραμένει υπεύθυνος για την ανεξάρτητη κρίση του.

3. Ποια τεκμήρια και ποια χρονική περίοδο θα εξετάσετε;

Ρωτήστε αν η ανάθεση αξιολογεί μια συγκεκριμένη χρονική στιγμή ή τη λειτουργία σε διάστημα. Για το SOC 2, διευκρινίστε αν πρόκειται για Type I ή Type II και τις προβλεπόμενες ημερομηνίες αναφοράς. Για την πιστοποίηση ISO, διακρίνετε τα στάδια της αρχικής αξιολόγησης από τις μεταγενέστερες εργασίες επιτήρησης και επαναπιστοποίησης.

Ζητήστε ένα αρχικό περίγραμμα τεκμηρίων, όχι μια υπόσχεση ότι μια σταθερή λίστα ελέγχου εγγυάται την επιτυχία. Συζητήστε συνεντεύξεις, δειγματοληψία, επιτόπιες επισκέψεις και τεκμήρια από εξωτερικούς παρόχους. Ρωτήστε πώς αξιολογούνται οι αυτοματοποιημένες εξαγωγές ως προς την πληρότητα και τη συνάφεια· η κατοχή ενός dashboard δεν είναι το ίδιο με την απόδειξη αποτελεσματικής λειτουργίας.

Επιβεβαιώστε τι συμβαίνει αν η ετοιμότητα είναι χαμηλότερη από την αναμενόμενη: αναβολή, αναθεωρημένο πεδίο, πρόσθετη εργασία ή ευρήματα. Διευκρινίστε την επανεξέταση των διορθωτικών ενεργειών, τα τεκμήρια παρακολούθησης και ποιος λαμβάνει την τελική απόφαση για την έκθεση ή την πιστοποίηση.

4. Ποιο χρονοδιάγραμμα και ποια κόστη εξαρτώνται από τις δικές μας ενέργειες;

Διαχωρίστε τη διαθεσιμότητα του αξιολογητή, την προετοιμασία των τεκμηρίων, την επιτόπια εργασία, τις απαντήσεις της διοίκησης, την ανεξάρτητη επανεξέταση και την έκδοση. Ρωτήστε ποιες ημερομηνίες μπορούν να δεσμευτούν και ποιες εξαρτώνται από ικανοποιητικά τεκμήρια ή από την επίλυση ευρημάτων. Μια προτιμώμενη ημερομηνία έκδοσης δεν είναι εγγύηση άνευ όρων.

Ζητήστε γραπτή ανάλυση που καλύπτει:

• Σταθερές αμοιβές, ημερήσιες χρεώσεις και παραδοχές για την προσπάθεια ελέγχου.
• Ταξίδια, πρόσθετες εγκαταστάσεις και αλλαγές πεδίου.
• Επανεξέταση διορθωτικών ενεργειών, εργασίες παρακολούθησης και επαναπρογραμματισμό.
• Επαναλαμβανόμενα κόστη αξιολόγησης και όρους ακύρωσης.

Προϋπολογίστε επίσης τον χρόνο του εσωτερικού προσωπικού. Μια φθηνότερη προσφορά που εξαιρεί απαραίτητη εργασία δεν αποτελεί χρήσιμη σύγκριση. Ζητήστε από το υπόλογο ανώτατο στέλεχος να εγκρίνει τόσο τη δαπάνη όσο και το λειτουργικό δυναμικό που χρειάζεται για τη στήριξη της ανάθεσης.

5. Πώς θα λειτουργούν η ανταλλαγή τεκμηρίων και η επικοινωνία;

Συμφωνήστε τον δίαυλο αιτημάτων, τις αποδεκτές μορφές, τους υπεύθυνους απαντήσεων και τη διαδρομή κλιμάκωσης. Ρωτήστε αν ο αξιολογητής μπορεί να χρησιμοποιήσει τον χώρο εργασίας προετοιμασίας σας ή χρειάζεται εξαγωγές στο δικό του σύστημα. Επιβεβαιώστε τα δικαιώματα πρόσβασης, τη διατήρηση, τη διαγραφή και τον χειρισμό ευαίσθητου υλικού.

Προτιμήστε ένα ελεγχόμενο ημερολόγιο αιτημάτων από σκόρπια συνημμένα email. Κάθε αίτημα πρέπει να έχει αναγνωριστικό, κάτοχο, προθεσμία, απάντηση και ανεπίλυτο ερώτημα. Συμφωνήστε πώς διακρίνονται τα αναθεωρημένα τεκμήρια από τις προηγούμενες εκδόσεις και πώς η απόκρυψη ευαίσθητων στοιχείων μπορεί να διατηρεί το απαραίτητο πλαίσιο. Η συμβατότητα εργαλείων βοηθά τον συντονισμό· δεν αντικαθιστά την ποιότητα των τεκμηρίων ή την ανεξάρτητη αξιολόγηση.

Παράδειγμα: επιλογή μεταξύ δύο προσφορών

Ας υποθέσουμε, ενδεικτικά, ότι μια εταιρεία λογισμικού cloud χρειάζεται έκθεση SOC 2 Type II που να καλύπτει την υπηρεσία παραγωγής της για την ανανέωση ενός πελάτη. Η ανάπτυξη γίνεται απομακρυσμένα και η φιλοξενία έχει ανατεθεί σε τρίτους.

Μια προσφορά προτείνει νωρίτερη έναρξη, αλλά αφήνει ασαφή την περίοδο αναφοράς, τον χειρισμό των προμηθευτών και το χρονοδιάγραμμα της τελικής επανεξέτασης. Μια άλλη προσδιορίζει αυτά τα όρια και κατονομάζει τον υπεύθυνο επικεφαλής της ανάθεσης, αλλά ξεκινά αργότερα.

Η διοίκηση πρέπει πρώτα να επιβεβαιώσει την απαιτούμενη από τον πελάτη περίοδο αναφοράς και αν η μεταγενέστερη παράδοση είναι αποδεκτή. Στη συνέχεια, να ζητήσει διευκρινίσεις από την πρώτη εταιρεία και να συγκρίνει ισοδύναμο πεδίο. Αν κανένα χρονοδιάγραμμα δεν λειτουργεί, να συζητήσει μια ενδιάμεση επιλογή διασφάλισης με τον πελάτη αντί να αγοράσει σιωπηρά μια διαφορετική έκθεση. Καταγράψτε το σκεπτικό της επιλογής, τις εξαρτήσεις και τον αποδεκτό κίνδυνο παράδοσης.

Κάντε την παράδοση επανεξετάσιμη

Πριν από την υπογραφή, συγκεντρώστε ένα πακέτο απόφασης: σημείωμα ανάθεσης, επαληθευμένα διαπιστευτήρια του παρόχου, εξήγηση για την ανεξαρτησία, πεδίο, παραδοχές αμοιβών, εξαρτήσεις χρονοδιαγράμματος, ρυθμίσεις ανταλλαγής τεκμηρίων και έγκριση από τα ανώτατα στελέχη. Κρατήστε τα ανεπίλυτα ερωτήματα ορατά αντί να τα θάβετε στην αλληλογραφία των προμηθειών.

Η Secani συνδέει απαιτήσεις, κατόχους, τεκμήρια, εργασίες και αποφάσεις επανεξέτασης. Η ομάδα μπορεί να συνδέει υποστηρικτικό υλικό με τα σχετικά μέτρα ελέγχου και συστήματα, να καταγράφει κενά και να διατηρεί τις ανθρώπινες εγκρίσεις και το πλαίσιο των πηγών. Αυτό παρέχει ένα συνεκτικό πλαίσιο προετοιμασίας για συζήτηση με έναν ανεξάρτητο αξιολογητή· δεν καθορίζει την κρίση του αξιολογητή.

Χρησιμοποιήστε τον οδηγό μας για την ετοιμότητα ελέγχων για να ελέγξετε αν ο οργανισμός μπορεί να ακολουθήσει μια απαίτηση μέσω της υλοποίησης και των τεκμηρίων. Στη συνέχεια, στείλτε το ίδιο σημείωμα με καθορισμένο πεδίο στους παρόχους της σύντομης λίστας και επιλύστε τις ουσιώδεις διαφορές πριν επιλέξετε έναν.