Pasirinkite auditorių su tinkama apimtimi ir nepriklausomumu

Bendradarbiavimas su auditoriumi geriausiai veikia, kai abi pusės dar prieš vertinimą supranta sistemą, apimtį ir įrodymų lūkesčius. Generaliniam direktoriui toks pasirinkimas yra pirkimo ir atskaitomybės sprendimas: ar gautas patikinimas atsakys į kliento klausimą ir ar organizacija gali užtikrinti patikimą vertinimą?

Kaina svarbi, tačiau pirmiausia svarbu kvalifikacija, nepriklausomumas ir tinkama naudoti apimtis. Įsigiję netinkamą paslaugą galite likti su dokumentu, kuris neapima paslaugos, kurią jums reikia parduoti.

Apibrėžkite patikinimo tikslą prieš prašydami pasiūlymų

Parašykite trumpą užduoties aprašą, kuriame būtų nurodytas verslo tikslas, numatyti gavėjai, paslaugos ribos, vietos, pagrindiniai tiekėjai, pageidaujamas rezultatas ir terminas. Atskirkite sutartinį kliento reikalavimą nuo vidinio pageidavimo; jiems gali reikėti skirtingo patikinimo.

ISO 27001 taikomas apibrėžtos apimties informacijos saugumo valdymo sistemai. Sertifikavimą atlieka nepriklausoma sertifikavimo įstaiga, o ne ISO. SOC 2 yra atestacijos ataskaita, o ne sertifikatas. Sektorių schemos turi savo teikėjus ir vertinimo tvarką: pavyzdžiui, TISAX yra vertinimo ir keitimosi rezultatais mechanizmas, o ne ISO tipo sertifikatas.

Nelaikykite šių rezultatų tarpusavyje pakeičiamais ir nemanykite, kad jie įrodo atitiktį teisės aktams. Prieš įsipareigodami finansiškai paklauskite numatyto gavėjo, ar siūloma apimtis ir rezultatas atitiks jo reikalavimą.

Atrinktoms įmonėms pateikite tą patį užduoties aprašą. Palyginami pradiniai duomenys padaro matomus apimties, darbo sąnaudų, išimčių ir kainos skirtumus.

Užduokite penkis klausimus, kurie atskleidžia tikrąją užduotį

1. Ką tiksliai vertinsite ir kas yra kvalifikuotas išduoti rezultatą?

Paprašykite siūlomą apimtį pateikti raštu, įskaitant juridinius asmenis, paslaugas, vietas, nuotolines operacijas ir užsakomąsias priklausomybes. Paklauskite, kaip bus vertinami tiekėjai ir kurios atsakomybės lieka jums.

Akredituoto ISO sertifikavimo atveju patikrinkite sertifikavimo įstaigos akreditaciją ir jos apimtį atitinkamam standartui akreditavimo įstaigos registruose; vien logotipo nepakanka. SOC 2 atveju išsiaiškinkite atsakingą CPA įmonę, atitinkamas licencijas, atsakomybę už pasirašymą ir taikomą kokybės peržiūros tvarką. Prašykite dabartinių patvirtinančių dokumentų, o ne pasikliaukite pardavimų metu pateiktais įgaliojimais.

Susitikite su siūlomu užduoties vadovu. Paklauskite apie panašius technologijų rinkinius, įmonių dydžius, sektorius ir užsakomųjų paslaugų modelius. Atitinkama patirtis turėtų mažinti nesusipratimus, o ne žeminti vertinimo standartą. Rekomendacijos gali padėti įvertinti komunikaciją ir darbų atlikimo discipliną, neprašant konfidencialių kitų klientų išvadų.

2. Kaip užtikrinate nepriklausomumą, kai teikiama pagalba rengiantis?

Paprašykite paaiškinti interesų konflikto patikras, ryšius su konsultantais ar rekomenduojančiais partneriais ir konsultacinio darbo apribojimus. Išsiaiškinkite, kurios pasirengimo paslaugos leidžiamos pagal užduočiai taikomas nepriklausomumo taisykles.

Yra esminis skirtumas tarp įrodymų prašymo paaiškinimo ir kontrolės priemonių, kurios vėliau bus vertinamos, kūrimo ar valdymo. Paklauskite, kas atliko pasirengimo darbus ir ar tai sukuria apribojimų siūlomam vertintojui. Jei reikia, pasirengimo ir nepriklausomo vertinimo paslaugas pirkite iš skirtingų teikėjų.

Atmeskite pažadus, garantuojančius ataskaitą be pastabų ar sertifikatą. Susitarkite, kaip bus eskaluojami nesutarimai ir kaip išvados bus pagrįstos įrodymais. Vadovybė lieka atsakinga už kontrolės priemones ir pareiškimus; vertintojas lieka atsakingas už savo nepriklausomą vertinimą.

3. Kokius įrodymus ir kokį laikotarpį nagrinėsite?

Paklauskite, ar vertinama būklė tam tikru momentu, ar veikimas per tam tikrą laikotarpį. SOC 2 atveju išsiaiškinkite, ar tai I, ar II tipas, ir numatytas ataskaitų datas. ISO sertifikavimo atveju atskirkite pradinio vertinimo etapus nuo vėlesnių priežiūros ir pakartotinio sertifikavimo darbų.

Paprašykite pradinio įrodymų sąrašo, o ne pažado, kad fiksuotas kontrolinis sąrašas garantuos sėkmę. Aptarkite pokalbius, imčių sudarymą, apsilankymus vietoje ir išorinių teikėjų įrodymus. Paklauskite, kaip vertinamas automatinių eksportų išsamumas ir tinkamumas; turėti valdymo skydelį dar nereiškia įrodyti veiksmingą veikimą.

Patvirtinkite, kas nutinka, jei pasirengimas mažesnis, nei tikėtasi: atidėjimas, pakeista apimtis, papildomas darbas ar išvados. Išsiaiškinkite taisomųjų veiksmų peržiūrą, papildomus įrodymus ir kas priima galutinį sprendimą dėl ataskaitos ar sertifikavimo.

4. Kurie terminai ir išlaidos priklauso nuo mūsų veiksmų?

Atskirkite vertintojo prieinamumą, įrodymų rengimą, darbą vietoje, vadovybės atsakymus, nepriklausomą peržiūrą ir išdavimą. Paklauskite, dėl kurių datų galima įsipareigoti ir kurios priklauso nuo tinkamų įrodymų ar išvadų išsprendimo. Pageidaujama išdavimo data nėra besąlyginė garantija.

Paprašykite rašytinio išskaidymo, apimančio:

• Fiksuotus mokesčius, dienos įkainius ir prielaidas apie audito darbo sąnaudas.
• Keliones, papildomas vietas ir apimties pakeitimus.
• Taisomųjų veiksmų peržiūrą, papildomą darbą ir perplanavimą.
• Pasikartojančias vertinimo išlaidas ir atšaukimo sąlygas.

Į biudžetą įtraukite ir vidinių darbuotojų laiką. Pigesnis pasiūlymas, kuriame neįtrauktas būtinas darbas, nėra naudingas palyginimui. Atsakingas vadovas turėtų patvirtinti tiek išlaidas, tiek veiklos pajėgumus, reikalingus užduočiai paremti.

5. Kaip vyks dalijimasis įrodymais ir komunikacija?

Susitarkite dėl prašymų kanalo, priimamų formatų, už atsakymus atsakingų asmenų ir eskalavimo kelio. Paklauskite, ar vertintojas gali naudotis jūsų pasirengimo darbo erdve, ar jam reikia eksportų į savo sistemą. Patvirtinkite prieigos teises, saugojimą, ištrynimą ir jautrios medžiagos tvarkymą.

Pirmenybę teikite kontroliuojamam prašymų žurnalui, o ne išsibarsčiusiems el. laiškų priedams. Kiekvienas prašymas turėtų turėti identifikatorių, atsakingą asmenį, terminą, atsakymą ir neišspręstą klausimą. Susitarkite, kaip patikslinti įrodymai atskiriami nuo ankstesnių versijų ir kaip užtamsinant informaciją galima išsaugoti būtiną kontekstą. Įrankių suderinamumas palengvina koordinavimą; jis nepakeičia įrodymų kokybės ar nepriklausomo vertinimo.

Pavyzdys: renkantis tarp dviejų pasiūlymų

Tarkime, iliustracijos dėlei, debesijos programinės įrangos įmonei sutarties su klientu pratęsimui reikia SOC 2 II tipo ataskaitos, apimančios jos gamybinę paslaugą. Kūrimas vyksta nuotoliniu būdu, o prieglobos paslaugos perkamos iš išorės.

Viename pasiūlyme siūloma anksčiau pradėti, tačiau ataskaitinis laikotarpis, tiekėjų vertinimas ir galutinės peržiūros tvarkaraštis lieka neaiškūs. Kitame šios ribos nurodytos ir įvardytas atsakingas užduoties vadovas, tačiau darbas prasideda vėliau.

Vadovybė pirmiausia turėtų patvirtinti, kokio ataskaitinio laikotarpio reikalauja klientas ir ar vėlesnis pateikimas jam priimtinas. Tada paprašyti pirmosios įmonės patikslinimų ir palyginti lygiavertes apimtis. Jei netinka nė vienas tvarkaraštis, aptarkite su klientu tarpinio patikinimo galimybę, užuot tyliai įsigiję kitokią ataskaitą. Užfiksuokite pasirinkimo pagrindimą, priklausomybes ir prisiimtą pateikimo riziką.

Padarykite perdavimą peržiūrimą

Prieš pasirašydami parenkite sprendimo paketą: užduoties aprašą, patikrintus teikėjo kvalifikacijos dokumentus, nepriklausomumo paaiškinimą, apimtį, mokesčių prielaidas, tvarkaraščio priklausomybes, dalijimosi įrodymais tvarką ir vadovybės patvirtinimą. Neišspręstus klausimus laikykite matomus, o ne palaidokite pirkimų susirašinėjime.

Secani susieja reikalavimus, atsakingus asmenis, įrodymus, užduotis ir peržiūros sprendimus. Komanda gali pridėti patvirtinančią medžiagą prie atitinkamų kontrolės priemonių ir sistemų, fiksuoti spragas ir išsaugoti žmonių patvirtinimus bei šaltinių kontekstą. Taip sukuriamas nuoseklus pasirengimo kontekstas, kurį galima aptarti su nepriklausomu vertintoju; jis nenulemia vertintojo sprendimo.

Pasinaudokite mūsų pasirengimo auditui vadovu ir patikrinkite, ar organizacija gali atsekti reikalavimą per įgyvendinimą iki įrodymų. Tada tą patį apimties aprašą išsiųskite atrinktiems teikėjams ir išspręskite esminius skirtumus prieš pasirinkdami vieną iš jų.