Odaberite revizora s pravim opsegom i neovisnošću

Odnos s revizorom najbolje funkcionira kada obje strane prije početka procjene razumiju sustav, opseg i očekivanja u pogledu dokaza. Za izvršnog direktora odabir tog odnosa odluka je o nabavi i odgovornosti: hoće li dobiveno jamstvo odgovoriti na pitanje kupca i može li organizacija podržati vjerodostojnu procjenu?

Cijena je važna, ali kvalifikacije, neovisnost i upotrebljiv opseg dolaze na prvo mjesto. Kupnja pogrešnog angažmana može vam ostaviti dokument koji ne obuhvaća uslugu koju trebate prodati.

Definirajte cilj jamstva prije traženja ponuda

Napišite kratak opis angažmana u kojem su navedeni poslovni cilj, predviđeni primatelji, granica usluge, lokacije, glavni dobavljači, željeni rezultat i rok. Razlikujte ugovorni zahtjev kupca od interne preferencije; oni mogu zahtijevati različito jamstvo.

ISO 27001 odnosi se na sustav upravljanja informacijskom sigurnošću s definiranim opsegom. Certifikaciju provodi neovisno certifikacijsko tijelo, a ne ISO. SOC 2 je izvješće o atestaciji, a ne certifikacija. Sektorske sheme imaju vlastite pružatelje i aranžmane procjene: TISAX, primjerice, mehanizam je procjene i razmjene, a ne certifikat po uzoru na ISO.

Ne tretirajte te rezultate kao međusobno zamjenjive i ne pretpostavljajte da utvrđuju zakonsku usklađenost. Prije nego što se financijski obvežete, pitajte predviđenog primatelja hoće li predloženi opseg i rezultat zadovoljiti njegov zahtjev.

Tvrtkama u užem izboru dajte isti opis. Usporedivi ulazni podaci čine vidljivima razlike u opsegu, naporu, isključenjima i cijeni.

Postavite pet pitanja koja otkrivaju stvarni angažman

1. Što ćete točno procjenjivati i tko je kvalificiran izdati rezultat?

Zatražite predloženi opseg u pisanom obliku, uključujući pravne osobe, usluge, lokacije, rad na daljinu i eksternalizirane ovisnosti. Pitajte kako će se postupati s dobavljačima i koje odgovornosti ostaju vaše.

Za akreditiranu certifikaciju ISO provjerite akreditaciju certifikacijskog tijela i njezinu pokrivenost za relevantnu normu putem evidencije akreditacijskog tijela; sam logotip nije dovoljan. Za SOC 2 utvrdite odgovornu CPA tvrtku, relevantne licence, odgovornost za potpisivanje i primjenjive aranžmane pregleda kvalitete. Zatražite aktualne popratne zapise umjesto da se oslonite na prodajne reference.

Upoznajte predloženog voditelja angažmana. Pitajte o usporedivim tehnološkim okruženjima, veličinama tvrtki, industrijama i modelima eksternalizacije. Relevantno iskustvo treba smanjiti nesporazume, a ne sniziti standard procjene. Reference vam mogu pomoći da procijenite komunikaciju i disciplinu isporuke, a da ne tražite povjerljive nalaze drugih klijenata.

2. Kako štitite neovisnost kada je uključena podrška u pripremi?

Zatražite objašnjenje provjera sukoba interesa, odnosa s konzultantima ili partnerima koji preporučuju klijente te ograničenja savjetodavnog rada. Razjasnite koje su usluge pripreme dopuštene prema pravilima o neovisnosti za taj angažman.

Postoji bitna razlika između objašnjavanja zahtjeva za dokazima i dizajniranja ili vođenja kontrola koje se kasnije procjenjuju. Pitajte tko je obavio pripremne radove za spremnost i stvara li to ograničenja za predloženog procjenitelja. Kada je potrebno, razdvojite pružatelje pripreme i neovisne procjene.

Odbijte obećanja o zajamčenom čistom izvješću ili certifikatu. Dogovorite kako se neslaganja eskaliraju i kako se nalazi potkrepljuju dokazima. Uprava ostaje odgovorna za kontrole i izjave; procjenitelj ostaje odgovoran za svoju neovisnu prosudbu.

3. Koje ćete dokaze i koje vremensko razdoblje ispitivati?

Pitajte procjenjuje li angažman određeni trenutak ili rad tijekom razdoblja. Za SOC 2 razjasnite razliku između tipa I i tipa II te predviđene datume izvješćivanja. Za certifikaciju ISO razlikujte faze početne ocjene od naknadnih nadzornih audita i recertifikacije.

Zatražite početni pregled dokaza, a ne obećanje da fiksni kontrolni popis jamči uspjeh. Razgovarajte o intervjuima, uzorkovanju, posjetima lokacijama i dokazima od vanjskih pružatelja. Pitajte kako se automatizirani izvozi ocjenjuju u pogledu potpunosti i relevantnosti; posjedovanje nadzorne ploče nije isto što i dokazivanje učinkovitog rada.

Potvrdite što se događa ako je spremnost niža od očekivane: odgoda, revidirani opseg, dodatni rad ili nalazi. Razjasnite pregled korektivnih radnji, naknadne dokaze i tko donosi konačnu odluku o izvješću ili certifikaciji.

4. Koji vremenski okvir i troškovi ovise o našim radnjama?

Razdvojite dostupnost procjenitelja, pripremu dokaza, terenski rad, odgovore uprave, neovisni pregled i izdavanje. Pitajte koji se datumi mogu zajamčiti, a koji ovise o zadovoljavajućim dokazima ili rješavanju nalaza. Željeni datum izdavanja nije bezuvjetno jamstvo.

Zatražite pisanu raščlambu koja obuhvaća:

• Fiksne naknade, dnevne stope i pretpostavke o revizijskom naporu.
• Putne troškove, dodatne lokacije i promjene opsega.
• Pregled korektivnih radnji, naknadni rad i promjene termina.
• Ponavljajuće troškove procjene i uvjete otkazivanja.

U proračun uključite i vrijeme internog osoblja. Jeftinija ponuda koja isključuje potreban posao nije korisna usporedba. Neka odgovorni član uprave odobri i trošak i operativni kapacitet potreban za podršku angažmanu.

5. Kako će funkcionirati dijeljenje dokaza i komunikacija?

Dogovorite kanal za zahtjeve, prihvaćene formate, vlasnike odgovora i put eskalacije. Pitajte može li procjenitelj koristiti vaš radni prostor za pripremu ili treba izvoze u vlastiti sustav. Potvrdite dopuštenja pristupa, zadržavanje, brisanje i postupanje s osjetljivim materijalima.

Dajte prednost kontroliranom dnevniku zahtjeva pred raspršenim privicima e-pošte. Svaki zahtjev treba imati identifikator, vlasnika, rok, odgovor i neriješeno pitanje. Dogovorite kako se revidirani dokazi razlikuju od ranijih verzija i kako redigiranje može sačuvati potreban kontekst. Kompatibilnost alata pomaže u koordinaciji; ona ne zamjenjuje kvalitetu dokaza ni neovisnu procjenu.

Razrađeni primjer: odabir između dviju ponuda

Pretpostavimo, ilustrativno, da tvrtka za softver u oblaku treba izvješće SOC 2 tipa II koje obuhvaća njezinu produkcijsku uslugu radi obnove ugovora s kupcem. Razvoj se odvija na daljinu, a hosting je eksternaliziran.

Jedna ponuda nudi raniji početak, ali ostavlja nejasnima izvještajno razdoblje, postupanje s dobavljačima i raspored završnog pregleda. Druga navodi te granice i identificira odgovornog voditelja angažmana, ali počinje kasnije.

Uprava najprije treba potvrditi izvještajno razdoblje koje kupac zahtijeva i je li kasnija isporuka prihvatljiva. Zatim treba zatražiti pojašnjenje od prve tvrtke i usporediti istovjetan opseg. Ako nijedan raspored ne odgovara, razgovarajte s kupcem o mogućnosti privremenog jamstva umjesto da prešutno kupite drukčije izvješće. Zabilježite obrazloženje odabira, ovisnosti i prihvaćeni rizik isporuke.

Učinite primopredaju provjerljivom

Prije potpisivanja sastavite paket za odlučivanje: opis angažmana, provjerene vjerodajnice pružatelja, objašnjenje neovisnosti, opseg, pretpostavke o naknadama, ovisnosti rasporeda, aranžmane dijeljenja dokaza i odobrenje uprave. Neriješena pitanja neka ostanu vidljiva umjesto da ih zakopate u korespondenciju o nabavi.

Secani povezuje zahtjeve, vlasnike, dokaze, zadatke i odluke iz pregleda. Tim može povezati popratne materijale s relevantnim kontrolama i sustavima, bilježiti nedostatke te čuvati ljudska odobrenja i kontekst izvora. To pruža koherentan kontekst pripreme za razgovor s neovisnim procjeniteljem; ono ne određuje prosudbu procjenitelja.

Koristite naš vodič za spremnost za reviziju kako biste provjerili može li organizacija pratiti zahtjev kroz implementaciju i dokaze. Zatim pošaljite isti opis s definiranim opsegom pružateljima u užem izboru i riješite bitne razlike prije nego što odaberete jednog od njih.