Valige audiitor, kellel on õige ulatus ja sõltumatus

Koostöö audiitoriga toimib kõige paremini siis, kui mõlemad pooled mõistavad süsteemi, ulatust ja tõendiootusi enne hindamise algust. Tegevjuhi jaoks on selle koostöö valimine hanke- ja vastutusotsus: kas saadav kindlustandvus vastab kliendi küsimusele ja kas organisatsioon suudab usaldusväärset hindamist toetada?

Hind on oluline, kuid kvalifikatsioon, sõltumatus ja kasutatav ulatus on esmatähtsad. Vale töövõtu ostmine võib jätta teile dokumendi, mis ei hõlma teenust, mida peate müüma.

Määratlege kindlustandvuse eesmärk enne pakkumiste küsimist

Kirjutage lühike töövõtu lähteülesanne, milles on nimetatud äriline eesmärk, kavandatud vastuvõtjad, teenuse piir, asukohad, olulised tarnijad, soovitud väljund ja tähtaeg. Eristage kliendi lepingulist nõuet sisemisest eelistusest; need võivad nõuda erinevat kindlustandvust.

ISO 27001 käsitleb piiritletud infoturbe juhtimissüsteemi. Sertifitseerimise teeb sõltumatu sertifitseerimisasutus, mitte ISO. SOC 2 on atesteerimisaruanne, mitte sertifikaat. Sektoriskeemidel on oma teenuseosutajad ja hindamiskord: näiteks TISAX on hindamis- ja vahetusmehhanism, mitte ISO-laadne sertifikaat.

Ärge käsitlege neid väljundeid omavahel asendatavatena ega eeldage, et need tõendavad õiguslikku vastavust. Enne raha kulutamist küsige kavandatud vastuvõtjalt, kas pakutud ulatus ja väljund vastavad tema nõudele.

Andke lõppvalikusse jõudnud ettevõtetele sama lähteülesanne. Võrreldavad sisendid teevad nähtavaks erinevused ulatuses, töömahus, välistustes ja hinnas.

Esitage viis küsimust, mis paljastavad tegeliku töövõtu

1. Mida täpselt te hindate ja kellel on õigus tulemus väljastada?

Küsige kavandatud ulatust kirjalikult, sealhulgas juriidilised isikud, teenused, asukohad, kaugtegevus ja sisseostetud sõltuvused. Küsige, kuidas tarnijaid käsitletakse ja millised kohustused jäävad teile.

Akrediteeritud ISO sertifitseerimise puhul kontrollige sertifitseerimisasutuse akrediteeringut ja selle katvust asjaomase standardi jaoks akrediteerimisasutuse andmete kaudu; ainult logost ei piisa. SOC 2 puhul tehke kindlaks vastutav CPA-firma, asjakohane litsents, allkirjastamise vastutus ja kohaldatav kvaliteedikontrolli kord. Küsige ajakohaseid tõendavaid dokumente, selle asemel et tugineda müügiesitluse volitustele.

Kohtuge kavandatud töövõtu juhiga. Küsige võrreldavate tehnoloogiakihtide, ettevõtte suuruste, valdkondade ja allhankemudelite kohta. Asjakohane kogemus peaks vähendama arusaamatusi, mitte alandama hindamise taset. Soovitajad aitavad hinnata suhtlust ja tarnedistsipliini, ilma et peaksite küsima konfidentsiaalseid kliendileide.

2. Kuidas kaitsete sõltumatust, kui on kaasatud ettevalmistav tugi?

Paluge selgitada huvide konflikti kontrolle, suhteid konsultantide või soovituspartneritega ning nõustamistöö piiranguid. Selgitage, millised ettevalmistusteenused on töövõtu sõltumatusreeglite järgi lubatud.

Tõendinõude selgitamise ja hiljem hinnatavate kontrollimeetmete kavandamise või käitamise vahel on oluline erinevus. Küsige, kes tegi valmisolekutöö ja kas see tekitab kavandatud hindajale piiranguid. Vajaduse korral eraldage ettevalmistuse ja sõltumatu hindamise teenuseosutajad.

Lükake tagasi lubadused garanteeritud puhta aruande või sertifikaadi kohta. Leppige kokku, kuidas lahkarvamusi eskaleeritakse ja kuidas leide tõenditega toetatakse. Juhtkond vastutab endiselt kontrollimeetmete ja kinnituste eest; hindaja vastutab endiselt oma sõltumatu hinnangu eest.

3. Milliseid tõendeid ja millist ajavahemikku te uurite?

Küsige, kas töövõtt hindab olukorda kindlal ajahetkel või toimimist teatud perioodi jooksul. SOC 2 puhul selgitage, kas tegemist on Type I või Type II aruandega, ja kavandatud aruandluskuupäevi. ISO sertifitseerimise puhul eristage esmase hindamise etappe hilisemast järelevalve- ja taassertifitseerimistööst.

Küsige esialgset tõendite ülevaadet, mitte lubadust, et kindel kontroll-loend tagab edu. Arutage intervjuusid, valimeid, kohapealseid külastusi ja väliste teenusepakkujate tõendeid. Küsige, kuidas hinnatakse automatiseeritud eksportide täielikkust ja asjakohasust; armatuurlaua olemasolu ei ole sama mis tõhusa toimimise tõendamine.

Kinnitage, mis juhtub, kui valmisolek on oodatust madalam: edasilükkamine, muudetud ulatus, lisatöö või leiud. Selgitage parandustegevuste ülevaatust, järeltõendeid ja seda, kes teeb lõpliku aruande- või sertifitseerimisotsuse.

4. Milline ajakava ja kulud sõltuvad meie tegevusest?

Eristage hindaja kättesaadavust, tõendite ettevalmistamist, välitööd, juhtkonna vastuseid, sõltumatut ülevaatust ja väljastamist. Küsige, milliseid kuupäevi saab kindlalt lubada ja millised sõltuvad rahuldavatest tõenditest või leidude lahendamisest. Eelistatud väljastamiskuupäev ei ole tingimusteta garantii.

Küsige kirjalikku jaotust, mis hõlmab järgmist:

• kindlad tasud, päevamäärad ja eeldused auditi töömahu kohta;
• reisikulud, lisaasukohad ja ulatuse muudatused;
• parandustegevuste ülevaatus, järeltöö ja ümberplaneerimine;
• korduvad hindamiskulud ja tühistamistingimused.

Planeerige eelarvesse ka sisemine tööaeg. Odavam pakkumine, mis jätab vajaliku töö välja, ei ole kasulik võrdlus. Laske vastutaval juhil kiita heaks nii kulud kui ka töövõtu toetamiseks vajalik tegevusvõimekus.

5. Kuidas toimivad tõendite jagamine ja suhtlus?

Leppige kokku päringukanal, aktsepteeritavad vormingud, vastuste omanikud ja eskaleerimistee. Küsige, kas hindaja saab kasutada teie ettevalmistuse tööruumi või vajab eksporte oma süsteemi. Kinnitage juurdepääsuõigused, säilitamine, kustutamine ja tundliku materjali käsitlemine.

Eelistage hajutatud e-posti manustele kontrollitud päringulogi. Igal päringul peaks olema identifikaator, omanik, tähtaeg, vastus ja lahendamata küsimus. Leppige kokku, kuidas muudetud tõendeid varasematest versioonidest eristatakse ja kuidas varjestamine saab vajalikku konteksti säilitada. Tööriistade ühilduvus aitab koordineerimisel; see ei asenda tõendite kvaliteeti ega sõltumatut hindamist.

Näide: valik kahe pakkumise vahel

Oletame illustreeriva näitena, et pilvetarkvaraettevõte vajab kliendilepingu pikendamiseks SOC 2 Type II aruannet, mis hõlmab tema tootmisteenust. Arendus toimub kaugtööna ja majutus on sisse ostetud.

Üks pakkumine võimaldab varasemat algust, kuid jätab aruandeperioodi, tarnijate käsitlemise ja lõpliku ülevaatuse ajakava ebaselgeks. Teine määratleb need piirid ja nimetab vastutava töövõtu juhi, kuid algab hiljem.

Juhtkond peaks esmalt kinnitama kliendi nõutava aruandeperioodi ja selle, kas hilisem tarne on vastuvõetav. Seejärel tuleks küsida esimeselt ettevõttelt täpsustusi ja võrrelda samaväärset ulatust. Kui kumbki ajakava ei sobi, arutage kliendiga vahepealse kindlustandvuse võimalust, selle asemel et vaikselt teistsugust aruannet osta. Dokumenteerige valiku põhjendus, sõltuvused ja aktsepteeritud tarneriskid.

Muutke üleandmine ülevaadatavaks

Enne allkirjastamist pange kokku otsustuspakett: töövõtu lähteülesanne, kontrollitud teenuseosutaja volitused, sõltumatuse selgitus, ulatus, tasude eeldused, ajakava sõltuvused, tõendite jagamise kord ja juhtkonna heakskiit. Hoidke lahendamata küsimused nähtaval, selle asemel et matta need hankekirjavahetusse.

Secani seob nõuded, omanikud, tõendid, ülesanded ja ülevaatusotsused. Meeskond saab siduda toetava materjali asjaomaste kontrollimeetmete ja süsteemidega, dokumenteerida lünki ning säilitada inimeste heakskiidud ja allikakonteksti. See annab sidusa ettevalmistuskonteksti, mida sõltumatu hindajaga arutada; see ei määra hindaja otsust.

Kasutage meie auditivalmiduse juhendit, et testida, kas organisatsioon suudab jälgida nõuet läbi rakenduse ja tõendite. Seejärel saatke sama piiritletud lähteülesanne lõppvalikusse jõudnud teenuseosutajatele ja lahendage olulised erinevused enne valiku tegemist.