Valitse auditoija, jonka soveltamisala ja riippumattomuus ovat kunnossa

Yhteistyö auditoijan kanssa toimii parhaiten, kun molemmat osapuolet ymmärtävät järjestelmän, soveltamisalan ja näyttöodotukset ennen arvioinnin alkua. Toimitusjohtajalle tämän suhteen valinta on hankinta- ja vastuukysymys: vastaako saatava varmuus asiakkaan kysymykseen, ja pystyykö organisaatio tukemaan uskottavaa arviointia?

Hinnalla on merkitystä, mutta pätevyys, riippumattomuus ja käyttökelpoinen soveltamisala tulevat ensin. Väärän toimeksiannon ostaminen voi jättää käteen asiakirjan, joka ei kata sitä palvelua, jota teidän on myytävä.

Määritelkää varmuustavoite ennen tarjousten pyytämistä

Kirjoittakaa lyhyt toimeksiantokuvaus, jossa nimetään liiketoiminnan tavoite, aiotut vastaanottajat, palvelun rajaus, sijainnit, keskeiset toimittajat, toivottu tuotos ja määräaika. Erottakaa asiakkaan sopimuksellinen vaatimus sisäisestä toiveesta; ne voivat edellyttää erilaista varmuutta.

ISO 27001 koskee rajattua tietoturvan hallintajärjestelmää. Sertifioinnin suorittaa riippumaton sertifiointielin, ei ISO. SOC 2 on varmennusraportti, ei sertifiointi. Toimialakohtaisilla järjestelmillä on omat palveluntarjoaja- ja arviointijärjestelynsä: esimerkiksi TISAX on arviointi- ja tiedonvaihtomekanismi eikä ISO-tyyppinen sertifikaatti.

Älkää käsitelkö näitä tuotoksia keskenään vaihdettavina, älkääkä olettako niiden osoittavan lainmukaisuutta. Kysykää aiotulta vastaanottajalta, täyttävätkö ehdotettu soveltamisala ja tuotos sen vaatimuksen, ennen kuin sitoudutte rahoitukseen.

Antakaa valituille ehdokkaille sama kuvaus. Vertailukelpoiset lähtötiedot tuovat näkyviin erot soveltamisalassa, työmäärässä, rajauksissa ja hinnassa.

Esittäkää viisi kysymystä, jotka paljastavat todellisen toimeksiannon

1. Mitä tarkalleen arvioitte, ja kuka on pätevä antamaan tuloksen?

Pyytäkää ehdotettu soveltamisala kirjallisena, mukaan lukien yhteisöt, palvelut, toimipaikat, etätoiminnot ja ulkoistetut riippuvuudet. Kysykää, miten toimittajat käsitellään ja mitkä vastuut jäävät teille.

Akkreditoidun ISO-sertifioinnin osalta todentakaa sertifiointielimen akkreditointi ja sen kattavuus kyseisen standardin osalta akkreditointielimen rekistereistä; pelkkä logo ei riitä. SOC 2:n osalta selvittäkää vastuussa oleva CPA-yritys, asiaankuuluvat toimiluvat, allekirjoitusvastuu ja sovellettavat laadunvarmistusjärjestelyt. Pyytäkää ajantasaiset tukevat tiedot sen sijaan, että luottaisitte myynnin esittämiin pätevyyksiin.

Tavatkaa ehdotettu toimeksiannon vetäjä. Kysykää kokemuksesta vastaavista teknologiapinoista, yrityskooista, toimialoista ja ulkoistusmalleista. Asiaankuuluvan kokemuksen pitäisi vähentää väärinkäsityksiä, ei laskea arvioinnin tasoa. Referenssit voivat auttaa arvioimaan viestintää ja toimituskuria ilman, että pyydätte luottamuksellisia asiakashavaintoja.

2. Miten turvaatte riippumattomuuden, kun mukana on valmistelutukea?

Pyytäkää selitys eturistiriitatarkistuksista, suhteista konsultteihin tai suosittelukumppaneihin sekä neuvontatyötä koskevista rajoituksista. Selvittäkää, mitkä valmistelupalvelut ovat sallittuja toimeksiannon riippumattomuussääntöjen mukaan.

On olennainen ero näyttöpyynnön selittämisen ja sellaisten kontrollien suunnittelun tai operoinnin välillä, joita myöhemmin arvioidaan. Kysykää, kuka teki mahdollisen valmiustyön ja aiheuttaako se rajoituksia ehdotetulle arvioijalle. Erottakaa tarvittaessa valmistelun ja riippumattoman arvioinnin palveluntarjoajat.

Torjukaa lupaukset taatusta puhtaasta raportista tai sertifikaatista. Sopikaa, miten erimielisyydet eskaloidaan ja miten havainnot perustellaan näytöllä. Johto vastaa edelleen kontrolleista ja vakuutuksista; arvioija vastaa edelleen riippumattomasta harkinnastaan.

3. Mitä näyttöä ja mitä ajanjaksoa tarkastelette?

Kysykää, arvioidaanko toimeksiannossa tiettyä ajankohtaa vai toimintaa tietyn ajanjakson aikana. SOC 2:n osalta selvittäkää Type I ja Type II -raporttien ero sekä aiotut raportointipäivät. ISO-sertifioinnin osalta erottakaa ensiarvioinnin vaiheet myöhemmistä määräaikaisauditoinneista ja uudelleensertifioinnista.

Pyytäkää alustava näyttösuunnitelma, älkää lupausta siitä, että kiinteä tarkistuslista takaa onnistumisen. Keskustelkaa haastatteluista, otannasta, toimipaikkakäynneistä ja ulkoisten palveluntarjoajien näytöstä. Kysykää, miten automaattisten vientien täydellisyyttä ja merkityksellisyyttä arvioidaan; kojelaudan olemassaolo ei ole sama asia kuin vaikuttavan toiminnan osoittaminen.

Vahvistakaa, mitä tapahtuu, jos valmius on odotettua heikompi: lykkäys, muutettu soveltamisala, lisätyö vai havainnot. Selvittäkää korjaavien toimenpiteiden katselmointi, jatkonäyttö ja se, kuka tekee lopullisen raportti- tai sertifiointipäätöksen.

4. Mitkä aikataulut ja kustannukset riippuvat omista toimistamme?

Erottakaa arvioijan saatavuus, näytön valmistelu, kenttätyö, johdon vastineet, riippumaton katselmointi ja tuloksen antaminen. Kysykää, mihin päivämääriin voidaan sitoutua ja mitkä riippuvat tyydyttävästä näytöstä tai havaintojen ratkaisemisesta. Toivottu antopäivä ei ole ehdoton takuu.

Pyytäkää kirjallinen erittely, joka kattaa:

• Kiinteät palkkiot, päivähinnat ja auditointityömäärää koskevat oletukset.
• Matkat, lisätoimipaikat ja soveltamisalan muutokset.
• Korjaavien toimenpiteiden katselmoinnin, jatkotyön ja uudelleenaikataulutuksen.
• Toistuvat arviointikustannukset ja peruutusehdot.

Budjetoikaa myös oman henkilöstön aika. Edullisempi tarjous, josta tarpeellinen työ puuttuu, ei ole hyödyllinen vertailukohta. Pyytäkää vastuullista johtajaa hyväksymään sekä menot että toimeksiannon tukemiseen tarvittava toiminnallinen kapasiteetti.

5. Miten näytön jakaminen ja viestintä toimivat?

Sopikaa pyyntökanava, hyväksytyt tiedostomuodot, vastausten omistajat ja eskalointireitti. Kysykää, voiko arvioija käyttää valmistelutyötilaanne vai tarvitseeko se viennit omaan järjestelmäänsä. Vahvistakaa käyttöoikeudet, säilytys, poistaminen ja arkaluonteisen materiaalin käsittely.

Suosikaa hallittua pyyntölokia hajanaisten sähköpostiliitteiden sijaan. Jokaisella pyynnöllä tulee olla tunniste, omistaja, määräpäivä, vastaus ja ratkaisematon kysymys. Sopikaa, miten tarkistettu näyttö erotetaan aiemmista versioista ja miten peittäminen voi säilyttää tarvittavan kontekstin. Työkalujen yhteensopivuus helpottaa koordinointia; se ei korvaa näytön laatua tai riippumatonta arviointia.

Esimerkki: valinta kahden tarjouksen välillä

Oletetaan havainnollistavasti, että pilviohjelmistoyritys tarvitsee asiakkaan sopimuksen uusimista varten tuotantopalvelunsa kattavan SOC 2 Type II -raportin. Kehitys tehdään etänä, ja hosting on ulkoistettu.

Yksi tarjous lupaa aikaisemman aloituksen mutta jättää raportointijakson, toimittajien käsittelyn ja lopullisen katselmoinnin aikataulun epäselviksi. Toinen määrittelee nämä rajat ja nimeää vastuullisen toimeksiannon vetäjän, mutta alkaa myöhemmin.

Johdon tulee ensin vahvistaa asiakkaan vaatima raportointijakso ja se, onko myöhempi toimitus hyväksyttävä. Sen jälkeen se pyytää ensimmäiseltä yritykseltä tarkennuksia ja vertaa vastaavaa soveltamisalaa. Jos kumpikaan aikataulu ei toimi, keskustelkaa asiakkaan kanssa väliaikaisesta varmuusvaihtoehdosta sen sijaan, että hiljaisesti ostaisitte toisenlaisen raportin. Kirjatkaa valinnan perustelut, riippuvuudet ja hyväksytty toimitusriski.

Tehkää luovutuksesta katselmoitava

Kootkaa ennen allekirjoittamista päätösaineisto: toimeksiantokuvaus, todennetut palveluntarjoajan pätevyystiedot, selvitys riippumattomuudesta, soveltamisala, palkkio-oletukset, aikataulun riippuvuudet, näytön jakamista koskevat järjestelyt ja johdon hyväksyntä. Pitäkää ratkaisemattomat kysymykset näkyvissä sen sijaan, että ne hautautuisivat hankintakirjeenvaihtoon.

Secani yhdistää vaatimukset, omistajat, näytön, tehtävät ja katselmointipäätökset. Tiimi voi liittää tukimateriaalin asiaankuuluviin kontrolleihin ja järjestelmiin, kirjata puutteet ja säilyttää ihmisten tekemät hyväksynnät ja lähdekontekstin. Tämä tarjoaa johdonmukaisen valmistelukontekstin, josta voi keskustella riippumattoman arvioijan kanssa; se ei ratkaise arvioijan harkintaa.

Käyttäkää auditointivalmiutta käsittelevää opastamme testataksenne, pystyykö organisaatio seuraamaan vaatimusta toteutuksen ja näytön läpi. Lähettäkää sitten sama rajattu kuvaus valituille palveluntarjoajille ja ratkaiskaa olennaiset erot ennen valintaa.