Scegliere un auditor con il perimetro e l’indipendenza giusti

Il rapporto con un auditor funziona al meglio quando entrambe le parti comprendono il sistema, il perimetro e le aspettative sulle evidenze prima che la valutazione abbia inizio. Per un CEO, scegliere questo rapporto è una decisione di procurement e di responsabilità: la garanzia risultante risponderà alla domanda del cliente e l’organizzazione è in grado di sostenere una valutazione credibile?

Il prezzo conta, ma qualifiche, indipendenza e un perimetro utilizzabile vengono prima. Acquistare l’incarico sbagliato può lasciarvi con un documento che non copre il servizio che dovete vendere.

Definite l’obiettivo di assurance prima di richiedere offerte

Redigete un breve documento d’incarico che indichi l’obiettivo aziendale, i destinatari previsti, il confine del servizio, le sedi, i principali fornitori, il deliverable desiderato e la scadenza. Distinguete un requisito contrattuale del cliente da una preferenza interna; possono richiedere garanzie diverse.

La ISO 27001 riguarda un sistema di gestione della sicurezza delle informazioni con un perimetro definito. La certificazione è svolta da un organismo di certificazione indipendente, non dall’ISO. SOC 2 è un report di attestazione, non una certificazione. Gli schemi settoriali hanno propri provider e proprie modalità di valutazione: TISAX, per esempio, è un meccanismo di assessment e scambio, non un certificato sul modello ISO.

Non trattate questi risultati come intercambiabili e non date per scontato che attestino la conformità normativa. Prima di impegnare fondi, chiedete al destinatario previsto se il perimetro e il deliverable proposti soddisferanno il suo requisito.

Fornite a tutte le società selezionate lo stesso documento d’incarico. Input confrontabili rendono visibili le differenze di perimetro, impegno, esclusioni e prezzo.

Ponete cinque domande che rivelano il vero incarico

1. Che cosa valuterete esattamente e chi è qualificato a emettere il risultato?

Chiedete il perimetro proposto per iscritto, comprese entità, servizi, sedi, attività svolte da remoto e dipendenze esternalizzate. Chiedete come verranno trattati i fornitori e quali responsabilità restano in capo a voi.

Per una certificazione ISO accreditata, verificate l’accreditamento dell’organismo di certificazione e la sua copertura per la norma pertinente tramite i registri dell’ente di accreditamento; un logo da solo non basta. Per SOC 2, accertate quale sia la società di revisione CPA responsabile, le relative abilitazioni, la responsabilità della firma e le modalità di controllo qualità applicabili. Richiedete documentazione aggiornata a supporto anziché affidarvi alle credenziali presentate dal commerciale.

Incontrate il responsabile dell’incarico proposto. Chiedete della sua esperienza con stack tecnologici, dimensioni aziendali, settori e modelli di esternalizzazione comparabili. Un’esperienza pertinente dovrebbe ridurre i malintesi, non abbassare lo standard della valutazione. Le referenze possono aiutarvi a valutare la comunicazione e la disciplina nell’esecuzione senza richiedere rilievi riservati di altri clienti.

2. Come tutelate l’indipendenza quando è previsto un supporto alla preparazione?

Chiedete una spiegazione delle verifiche sui conflitti di interesse, dei rapporti con consulenti o partner che segnalano clienti e delle restrizioni sulle attività di consulenza. Chiarite quali servizi di preparazione sono ammessi dalle regole di indipendenza dell’incarico.

C’è una differenza sostanziale tra spiegare una richiesta di evidenze e progettare o gestire i controlli che verranno poi valutati. Chiedete chi ha svolto l’eventuale lavoro di readiness e se ciò comporti restrizioni per il valutatore proposto. Se necessario, affidate preparazione e valutazione indipendente a provider diversi.

Respingete le promesse di un report senza rilievi o di un certificato garantiti. Concordate come vengono gestiti in escalation i disaccordi e come i rilievi vengono supportati da evidenze. La direzione resta responsabile dei controlli e delle dichiarazioni; il valutatore resta responsabile del proprio giudizio indipendente.

3. Quali evidenze e quale periodo esaminerete?

Chiedete se l’incarico valuta un determinato momento o il funzionamento nell’arco di un periodo. Per SOC 2, chiarite se si tratta di Type I o Type II e quali siano le date di reporting previste. Per la certificazione ISO, distinguete le fasi della valutazione iniziale dalle successive attività di sorveglianza e ricertificazione.

Chiedete uno schema iniziale delle evidenze, non la promessa che una checklist predefinita garantisca il successo. Discutete di interviste, campionamento, visite in sede ed evidenze provenienti da fornitori esterni. Chiedete come vengono valutate completezza e pertinenza delle esportazioni automatizzate; disporre di una dashboard non equivale a dimostrare un funzionamento efficace.

Chiarite che cosa succede se il grado di preparazione è inferiore al previsto: rinvio, perimetro rivisto, lavoro aggiuntivo o rilievi. Chiarite il riesame delle azioni correttive, le evidenze di follow-up e chi prende la decisione finale sul report o sulla certificazione.

4. Quali tempi e costi dipendono dalle nostre azioni?

Distinguete disponibilità del valutatore, preparazione delle evidenze, attività sul campo, risposte della direzione, riesame indipendente ed emissione. Chiedete quali date possono essere garantite e quali dipendono da evidenze soddisfacenti o dalla risoluzione dei rilievi. Una data di emissione preferita non è una garanzia incondizionata.

Richiedete un dettaglio scritto che copra:

• Onorari fissi, tariffe giornaliere e ipotesi sull’impegno di audit.
• Trasferte, sedi aggiuntive e modifiche del perimetro.
• Riesame delle azioni correttive, attività di follow-up e riprogrammazioni.
• Costi delle valutazioni ricorrenti e condizioni di recesso.

Mettete a budget anche il tempo del personale interno. Un’offerta più economica che esclude lavoro necessario non costituisce un confronto utile. Fate approvare al dirigente responsabile sia la spesa sia la capacità operativa necessaria per sostenere l’incarico.

5. Come funzioneranno la condivisione delle evidenze e la comunicazione?

Concordate il canale delle richieste, i formati accettati, i responsabili delle risposte e il percorso di escalation. Chiedete se il valutatore può usare il vostro spazio di lavoro di preparazione o se ha bisogno di esportazioni nel proprio sistema. Verificate permessi di accesso, conservazione, cancellazione e gestione del materiale sensibile.

Preferite un registro delle richieste controllato ad allegati email sparsi. Ogni richiesta dovrebbe avere un identificativo, un responsabile, una scadenza, una risposta e le eventuali domande aperte. Concordate come distinguere le evidenze riviste dalle versioni precedenti e come l’oscuramento possa preservare il contesto necessario. La compatibilità degli strumenti facilita il coordinamento; non sostituisce la qualità delle evidenze né la valutazione indipendente.

Esempio pratico: scegliere tra due offerte

Supponiamo, a titolo illustrativo, che un’azienda di software cloud abbia bisogno di un report SOC 2 Type II che copra il suo servizio di produzione per il rinnovo di un cliente. Lo sviluppo avviene da remoto e l’hosting è esternalizzato.

Un’offerta prevede un avvio anticipato ma lascia poco chiari il periodo di reporting, il trattamento dei fornitori e il calendario del riesame finale. Un’altra specifica questi confini e indica il responsabile dell’incarico, ma inizia più tardi.

La direzione dovrebbe innanzitutto confermare il periodo di reporting richiesto dal cliente e se la consegna più tardiva sia accettabile. Poi dovrebbe chiedere chiarimenti alla prima società e confrontare perimetri equivalenti. Se nessuno dei due calendari funziona, discutete con il cliente un’opzione di garanzia provvisoria anziché acquistare tacitamente un report diverso. Registrate la motivazione della scelta, le dipendenze e il rischio di consegna accettato.

Rendete verificabile il passaggio di consegne

Prima della firma, predisponete un dossier decisionale: documento d’incarico, credenziali del provider verificate, spiegazione dell’indipendenza, perimetro, ipotesi sugli onorari, dipendenze del calendario, modalità di condivisione delle evidenze e approvazione del vertice. Mantenete visibili le questioni aperte anziché seppellirle nella corrispondenza di procurement.

Secani collega requisiti, responsabili, evidenze, attività e decisioni di riesame. Il team può collegare il materiale a supporto ai controlli e ai sistemi pertinenti, registrare le lacune e conservare le approvazioni umane e il contesto delle fonti. Ciò fornisce un contesto di preparazione coerente da discutere con un valutatore indipendente; non determina il giudizio del valutatore.

Usate la nostra guida alla preparazione agli audit per verificare se l’organizzazione è in grado di seguire un requisito attraverso implementazione ed evidenze. Poi inviate lo stesso documento d’incarico con perimetro definito ai provider selezionati e risolvete le differenze sostanziali prima di sceglierne uno.