Izvēlieties auditoru ar pareizo tvērumu un neatkarību

Sadarbība ar auditoru izdodas vislabāk, ja abas puses pirms novērtējuma sākuma izprot sistēmu, tvērumu un pierādījumu gaidas. Izpilddirektoram šīs sadarbības izvēle ir iepirkuma un pārskatatbildības lēmums: vai iegūtā garantija atbildēs uz klienta jautājumu un vai organizācija spēj nodrošināt ticamu novērtējumu?

Cena ir svarīga, taču pirmajā vietā ir kvalifikācija, neatkarība un izmantojams tvērums. Nepareiza pakalpojuma iegāde var atstāt jūs ar dokumentu, kas neaptver pakalpojumu, kuru jums nepieciešams pārdot.

Definējiet garantijas mērķi, pirms pieprasāt piedāvājumus

Uzrakstiet īsu darba uzdevumu, kurā norādīts biznesa mērķis, paredzētie saņēmēji, pakalpojuma robeža, atrašanās vietas, galvenie piegādātāji, vēlamais rezultāts un termiņš. Nošķiriet klienta līgumisko prasību no iekšējas izvēles; tām var būt nepieciešama atšķirīga garantija.

ISO 27001 attiecas uz informācijas drošības pārvaldības sistēmu noteiktā tvērumā. Sertifikāciju veic neatkarīga sertifikācijas institūcija, nevis ISO. SOC 2 ir apliecinājuma ziņojums, nevis sertifikācija. Nozaru shēmām ir sava sniedzēju un novērtēšanas kārtība: piemēram, TISAX ir novērtēšanas un apmaiņas mehānisms, nevis ISO tipa sertifikāts.

Neuzskatiet šos rezultātus par savstarpēji aizstājamiem un nepieņemiet, ka tie apliecina juridisku atbilstību. Pirms līdzekļu piešķiršanas jautājiet paredzētajam saņēmējam, vai ierosinātais tvērums un rezultāts atbildīs tā prasībai.

Iedodiet atlasītajiem uzņēmumiem vienu un to pašu darba uzdevumu. Salīdzināmi ievaddati padara redzamas atšķirības tvērumā, darba apjomā, izņēmumos un cenā.

Uzdodiet piecus jautājumus, kas atklāj patieso pakalpojumu

1. Ko tieši jūs novērtēsiet un kas ir kvalificēts izsniegt rezultātu?

Pieprasiet ierosināto tvērumu rakstiski, ieskaitot juridiskās personas, pakalpojumus, atrašanās vietas, attālinātas darbības un ārpakalpojumu atkarības. Jautājiet, kā tiks aplūkoti piegādātāji un kuri pienākumi paliek jūsu ziņā.

Akreditētai ISO sertifikācijai pārbaudiet sertifikācijas institūcijas akreditāciju un tās attiecināmību uz attiecīgo standartu akreditācijas iestādes reģistros; ar logotipu vien nepietiek. SOC 2 gadījumā noskaidrojiet atbildīgo CPA uzņēmumu, attiecīgās licences, parakstīšanas atbildību un piemērojamo kvalitātes pārskatīšanas kārtību. Pieprasiet aktuālus pamatojošus dokumentus, nevis paļaujieties uz pārdošanas materiāliem.

Tiekieties ar ierosināto darba vadītāju. Jautājiet par pieredzi ar salīdzināmām tehnoloģiju kopām, uzņēmumu lielumiem, nozarēm un ārpakalpojumu modeļiem. Atbilstošai pieredzei jāsamazina pārpratumi, nevis jāpazemina novērtējuma standarts. Atsauksmes var palīdzēt izvērtēt komunikāciju un izpildes disciplīnu, nepieprasot konfidenciālus klientu konstatējumus.

2. Kā jūs aizsargājat neatkarību, ja ir iesaistīts sagatavošanas atbalsts?

Lūdziet paskaidrot interešu konflikta pārbaudes, attiecības ar konsultantiem vai ieteicējpartneriem un konsultāciju darba ierobežojumus. Noskaidrojiet, kuri sagatavošanas pakalpojumi ir pieļaujami saskaņā ar pakalpojuma neatkarības noteikumiem.

Pastāv būtiska atšķirība starp pierādījumu pieprasījuma izskaidrošanu un to kontroļu izstrādi vai darbināšanu, kas vēlāk tiks novērtētas. Jautājiet, kas veica jebkādu gatavības darbu un vai tas rada ierobežojumus ierosinātajam vērtētājam. Ja nepieciešams, nošķiriet sagatavošanas un neatkarīgā novērtējuma sniedzējus.

Noraidiet solījumus par garantētu ziņojumu bez iebildumiem vai sertifikātu. Vienojieties, kā tiek eskalētas domstarpības un kā konstatējumi tiek pamatoti ar pierādījumiem. Vadība paliek atbildīga par kontrolēm un apliecinājumiem; vērtētājs paliek atbildīgs par savu neatkarīgo spriedumu.

3. Kurus pierādījumus un laika periodu jūs pārbaudīsiet?

Jautājiet, vai pakalpojums novērtē stāvokli noteiktā brīdī vai darbību noteiktā periodā. SOC 2 gadījumā noskaidrojiet, vai tas ir I vai II tips, un paredzētos ziņošanas datumus. ISO sertifikācijas gadījumā nošķiriet sākotnējā novērtējuma posmus no turpmākā uzraudzības un atkārtotās sertifikācijas darba.

Pieprasiet sākotnēju pierādījumu izklāstu, nevis solījumu, ka fiksēts kontrolsaraksts garantē panākumus. Apspriediet intervijas, izlases veidošanu, apmeklējumus uz vietas un pierādījumus no ārējiem pakalpojumu sniedzējiem. Jautājiet, kā tiek izvērtēts automatizētu eksportu pilnīgums un atbilstība; informācijas paneļa esamība nav tas pats, kas efektīvas darbības pierādīšana.

Noskaidrojiet, kas notiek, ja gatavība ir zemāka, nekā gaidīts: atlikšana, pārskatīts tvērums, papildu darbs vai konstatējumi. Noskaidrojiet korektīvo darbību pārskatīšanu, papildu pierādījumus un to, kurš pieņem galīgo lēmumu par ziņojumu vai sertifikāciju.

4. Kāds laika grafiks un izmaksas ir atkarīgas no mūsu rīcības?

Nošķiriet vērtētāja pieejamību, pierādījumu sagatavošanu, darbu uz vietas, vadības atbildes, neatkarīgu pārskatīšanu un izsniegšanu. Jautājiet, kurus datumus var apņemties ievērot un kuri ir atkarīgi no apmierinošiem pierādījumiem vai konstatējumu atrisināšanas. Vēlamais izsniegšanas datums nav beznosacījuma garantija.

Pieprasiet rakstisku sadalījumu, kas aptver:

• Fiksētās maksas, dienas likmes un pieņēmumus par audita darba apjomu.
• Ceļa izdevumus, papildu atrašanās vietas un tvēruma izmaiņas.
• Korektīvo darbību pārskatīšanu, turpmāko darbu un pārplānošanu.
• Atkārtotu novērtējumu izmaksas un atteikuma noteikumus.

Ieplānojiet budžetā arī iekšējo darbinieku laiku. Lētāks piedāvājums, kas izslēdz nepieciešamo darbu, nav noderīgs salīdzinājums. Lūdziet atbildīgajam vadītājam apstiprināt gan izdevumus, gan darbības kapacitāti, kas nepieciešama pakalpojuma atbalstam.

5. Kā notiks pierādījumu kopīgošana un komunikācija?

Vienojieties par pieprasījumu kanālu, pieņemtajiem formātiem, atbilžu īpašniekiem un eskalācijas ceļu. Jautājiet, vai vērtētājs var izmantot jūsu sagatavošanas darbvietu vai tam nepieciešami eksporti savā sistēmā. Noskaidrojiet piekļuves atļaujas, glabāšanu, dzēšanu un sensitīvu materiālu apstrādi.

Dodiet priekšroku kontrolētam pieprasījumu žurnālam, nevis izkaisītiem e-pasta pielikumiem. Katram pieprasījumam jābūt identifikatoram, īpašniekam, termiņam, atbildei un neatrisinātajam jautājumam. Vienojieties, kā pārskatītie pierādījumi tiek nošķirti no agrākām versijām un kā rediģēšana var saglabāt nepieciešamo kontekstu. Rīku saderība palīdz koordinācijā; tā neaizstāj pierādījumu kvalitāti vai neatkarīgu novērtējumu.

Piemērs: izvēle starp diviem piedāvājumiem

Pieņemsim, ilustrācijas nolūkos, ka mākoņprogrammatūras uzņēmumam klienta līguma atjaunošanai nepieciešams SOC 2 II tipa ziņojums, kas aptver tā ražošanas pakalpojumu. Izstrāde notiek attālināti, un mitināšana ir nodota ārpakalpojumā.

Viens piedāvājums paredz agrāku sākumu, taču atstāj neskaidru ziņošanas periodu, piegādātāju apstrādi un galīgās pārskatīšanas grafiku. Otrs nosaka šīs robežas un identificē atbildīgo darba vadītāju, taču sākas vēlāk.

Vadībai vispirms jānoskaidro klienta prasītais ziņošanas periods un vai vēlāka piegāde ir pieņemama. Pēc tam jāpieprasa precizējumi no pirmā uzņēmuma un jāsalīdzina līdzvērtīgs tvērums. Ja neviens grafiks neder, apspriediet ar klientu pagaidu garantijas iespēju, nevis klusi iegādājieties citu ziņojumu. Dokumentējiet izvēles pamatojumu, atkarības un pieņemto piegādes risku.

Padariet nodošanu pārskatāmu

Pirms parakstīšanas sagatavojiet lēmuma paketi: darba uzdevumu, pārbaudītas sniedzēja kvalifikācijas, neatkarības skaidrojumu, tvērumu, maksu pieņēmumus, grafika atkarības, pierādījumu kopīgošanas kārtību un vadības apstiprinājumu. Uzturiet neatrisinātos jautājumus redzamus, nevis apglabājiet tos iepirkuma sarakstē.

Secani savieno prasības, īpašniekus, pierādījumus, uzdevumus un pārskatīšanas lēmumus. Komanda var piesaistīt pamatojošos materiālus attiecīgajām kontrolēm un sistēmām, dokumentēt trūkumus un saglabāt cilvēku apstiprinājumus un avota kontekstu. Tas nodrošina saskaņotu sagatavošanās kontekstu apspriešanai ar neatkarīgu vērtētāju; tas nenosaka vērtētāja spriedumu.

Izmantojiet mūsu ceļvedi par gatavību auditam, lai pārbaudītu, vai organizācija spēj izsekot prasībai cauri ieviešanai un pierādījumiem. Pēc tam nosūtiet vienu un to pašu tvērumā ierobežoto darba uzdevumu atlasītajiem sniedzējiem un atrisiniet būtiskās atšķirības, pirms izvēlaties vienu no tiem.