Válasszon megfelelő hatókörrel és függetlenséggel rendelkező auditort

Az auditorral való együttműködés akkor működik a legjobban, ha mindkét fél már az értékelés kezdete előtt érti a rendszert, a hatókört és a bizonyítékokkal kapcsolatos elvárásokat. A vezérigazgató számára ennek a kapcsolatnak a kiválasztása beszerzési és elszámoltathatósági döntés: megválaszolja-e az így kapott bizonyosság az ügyfél kérdését, és képes-e a szervezet egy hiteles értékelést támogatni?

Az ár számít, de a minősítés, a függetlenség és a használható hatókör az első. Ha rossz megbízást vásárol, olyan dokumentummal maradhat, amely nem fedi le azt a szolgáltatást, amelyet értékesítenie kell.

Határozza meg a bizonyossági célt, mielőtt ajánlatokat kér

Írjon egy rövid megbízási összefoglalót, amely megnevezi az üzleti célt, a tervezett címzetteket, a szolgáltatás határait, a telephelyeket, a fő beszállítókat, a kívánt eredményterméket és a határidőt. Különböztesse meg az ügyfél szerződéses követelményét a belső preferenciától; ezek eltérő bizonyosságot igényelhetnek.

Az ISO 27001 egy meghatározott hatókörű információbiztonsági irányítási rendszerre vonatkozik. A tanúsítást független tanúsító szervezet végzi, nem az ISO. A SOC 2 attesztációs jelentés, nem tanúsítás. Az ágazati rendszereknek saját szolgáltatói és értékelési megoldásaik vannak: a TISAX például értékelési és adatcsere-mechanizmus, nem ISO-típusú tanúsítvány.

Ne kezelje ezeket az eredményeket felcserélhetőként, és ne feltételezze, hogy jogi megfelelést igazolnak. Mielőtt forrásokat kötne le, kérdezze meg a tervezett címzettet, hogy a javasolt hatókör és eredménytermék kielégíti-e a követelményét.

Adja át a szűkített listán szereplő cégeknek ugyanazt az összefoglalót. Az összehasonlítható bemenetek láthatóvá teszik a hatókör, a ráfordítás, a kizárások és az ár közötti különbségeket.

Tegyen fel öt kérdést, amely feltárja a valódi megbízást

1. Pontosan mit fognak értékelni, és ki jogosult kiadni az eredményt?

Kérje írásban a javasolt hatókört, beleértve a jogalanyokat, szolgáltatásokat, telephelyeket, távoli működést és kiszervezett függőségeket. Kérdezze meg, hogyan kezelik a beszállítókat, és mely felelősségek maradnak az Önöké.

Akkreditált ISO-tanúsítás esetén ellenőrizze az akkreditáló szervezet nyilvántartásában a tanúsító szervezet akkreditációját és annak kiterjedését az adott szabványra; egy logó önmagában nem elegendő. SOC 2 esetén tisztázza, melyik okleveles könyvvizsgáló (CPA) cég felelős, milyen engedélyekkel rendelkezik, ki írja alá a jelentést, és milyen minőségellenőrzési megoldások vonatkoznak rá. Kérjen aktuális alátámasztó dokumentumokat ahelyett, hogy az értékesítési referenciákra hagyatkozna.

Találkozzon a megbízás javasolt vezetőjével. Kérdezzen összehasonlítható technológiai környezetekről, vállalatméretekről, iparágakról és kiszervezési modellekről. A releváns tapasztalatnak a félreértéseket kell csökkentenie, nem az értékelés színvonalát. A referenciák segíthetnek a kommunikáció és a teljesítési fegyelem megítélésében anélkül, hogy bizalmas ügyfélmegállapításokat kérne.

2. Hogyan védik a függetlenséget, ha felkészítési támogatás is szerepet kap?

Kérjen magyarázatot az összeférhetetlenségi ellenőrzésekről, a tanácsadókkal vagy ajánló partnerekkel fennálló kapcsolatokról és a tanácsadói munkára vonatkozó korlátozásokról. Tisztázza, mely felkészítési szolgáltatások megengedettek a megbízásra vonatkozó függetlenségi szabályok szerint.

Lényeges különbség van aközött, hogy valaki elmagyaráz egy bizonyítékkérést, és aközött, hogy megtervezi vagy működteti azokat a kontrollokat, amelyeket később értékelnek. Kérdezze meg, ki végezte az esetleges felkészültségi munkát, és jelent-e ez korlátozást a javasolt értékelő számára. Szükség esetén válassza külön a felkészítést és a független értékelést végző szolgáltatót.

Utasítsa el a garantáltan tiszta jelentésre vagy tanúsítványra tett ígéreteket. Állapodjanak meg abban, hogyan eszkalálják a nézeteltéréseket, és hogyan támasztják alá bizonyítékokkal a megállapításokat. A kontrollokért és a nyilatkozatokért továbbra is a vezetés felel; az értékelő továbbra is a saját független ítéletéért felel.

3. Milyen bizonyítékokat és milyen időszakot vizsgálnak?

Kérdezze meg, hogy a megbízás egy adott időpontot értékel-e, vagy egy időszak alatti működést. SOC 2 esetén tisztázza az I. és II. típus közötti különbséget, valamint a tervezett jelentési dátumokat. ISO-tanúsításnál különböztesse meg a kezdeti értékelési szakaszokat a későbbi felügyeleti és megújító auditoktól.

Kérjen előzetes bizonyítékvázlatot, ne pedig olyan ígéretet, hogy egy rögzített ellenőrzőlista garantálja a sikert. Beszéljék meg az interjúkat, a mintavételt, a helyszíni látogatásokat és a külső szolgáltatóktól származó bizonyítékokat. Kérdezze meg, hogyan értékelik az automatikus exportok teljességét és relevanciáját; egy irányítópult birtoklása nem azonos a hatékony működés igazolásával.

Erősítse meg, mi történik, ha a felkészültség az elvártnál alacsonyabb: halasztás, módosított hatókör, többletmunka vagy megállapítások. Tisztázza a korrekciós intézkedések felülvizsgálatát, a nyomon követő bizonyítékokat, és azt, hogy ki hozza meg a végső jelentési vagy tanúsítási döntést.

4. Mely ütemezési és költségelemek függnek a mi lépéseinktől?

Válassza szét az értékelő rendelkezésre állását, a bizonyítékok előkészítését, a helyszíni munkát, a vezetői válaszokat, a független felülvizsgálatot és a kiadást. Kérdezze meg, mely dátumok vállalhatók, és melyek függenek kielégítő bizonyítékoktól vagy a megállapítások lezárásától. Egy előnyben részesített kiadási dátum nem feltétel nélküli garancia.

Kérjen írásos bontást, amely kiterjed a következőkre:

• Fix díjak, napidíjak és az auditráfordításra vonatkozó feltevések.
• Utazás, további telephelyek és hatókörváltozások.
• Korrekciós intézkedések felülvizsgálata, nyomon követő munka és átütemezés.
• Ismétlődő értékelési költségek és lemondási feltételek.

A belső munkatársak idejét is tervezze be a költségvetésbe. Egy olcsóbb ajánlat, amely kizárja a szükséges munkát, nem hasznos összehasonlítási alap. A felelős vezetővel hagyassa jóvá mind a kiadást, mind a megbízás támogatásához szükséges működési kapacitást.

5. Hogyan működik majd a bizonyítékok megosztása és a kommunikáció?

Állapodjanak meg a kéréskezelési csatornában, az elfogadott formátumokban, a válaszokért felelős személyekben és az eszkalációs útvonalban. Kérdezze meg, hogy az értékelő használhatja-e az Önök felkészülési munkaterületét, vagy a saját rendszerébe kell exportálni az anyagokat. Erősítse meg a hozzáférési jogosultságokat, a megőrzést, a törlést és az érzékeny anyagok kezelését.

Részesítse előnyben az ellenőrzött kérésnaplót a szétszórt e-mail-mellékletekkel szemben. Minden kérésnek legyen azonosítója, felelőse, határideje, válasza és nyitott kérdése. Állapodjanak meg abban, hogyan különböztetik meg a módosított bizonyítékokat a korábbi verzióktól, és hogyan őrizheti meg a kitakarás a szükséges kontextust. Az eszközök kompatibilitása segíti a koordinációt, de nem helyettesíti a bizonyítékok minőségét vagy a független értékelést.

Kidolgozott példa: választás két ajánlat között

Tegyük fel szemléltetésképpen, hogy egy felhőalapú szoftvercégnek egy ügyfélszerződés megújításához a termelési szolgáltatására kiterjedő SOC 2 Type II jelentésre van szüksége. A fejlesztés távolról zajlik, a hosztolás ki van szervezve.

Az egyik ajánlat korábbi kezdést kínál, de nyitva hagyja a jelentési időszakot, a beszállítók kezelését és a végső felülvizsgálat ütemezését. A másik meghatározza ezeket a határokat és megnevezi a megbízás felelős vezetőjét, de később indul.

A vezetésnek először meg kell erősítenie az ügyfél által megkövetelt jelentési időszakot, és azt, hogy elfogadható-e a későbbi teljesítés. Ezután pontosítást kell kérnie az első cégtől, és egyenértékű hatókört kell összehasonlítania. Ha egyik ütemezés sem megfelelő, beszéljen az ügyféllel egy átmeneti bizonyossági lehetőségről, ahelyett hogy szó nélkül egy másik jelentést vásárolna. Rögzítse a választás indoklását, a függőségeket és az elfogadott teljesítési kockázatot.

Tegye felülvizsgálhatóvá az átadást

Az aláírás előtt állítson össze egy döntési csomagot: megbízási összefoglaló, ellenőrzött szolgáltatói képesítések, a függetlenség magyarázata, hatókör, díjfeltevések, ütemezési függőségek, a bizonyítékok megosztására vonatkozó megállapodások és vezetői jóváhagyás. A nyitott kérdéseket tartsa láthatóan, ahelyett hogy a beszerzési levelezésben elsüllyednének.

A Secani összekapcsolja a követelményeket, a felelősöket, a bizonyítékokat, a feladatokat és a felülvizsgálati döntéseket. A csapat a releváns kontrollokhoz és rendszerekhez csatolhatja az alátámasztó anyagokat, rögzítheti a hiányosságokat, és megőrizheti az emberi jóváhagyásokat és a forráskontextust. Ez egységes felkészülési kontextust ad a független értékelővel folytatott egyeztetéshez; az értékelő ítéletét nem határozza meg.

Használja auditfelkészültségi útmutatónkat annak ellenőrzésére, hogy a szervezet végig tud-e követni egy követelményt a megvalósításon át a bizonyítékokig. Ezután küldje el ugyanazt a hatókörrel ellátott összefoglalót a szűkített listán szereplő szolgáltatóknak, és a választás előtt tisztázza a lényeges különbségeket.