Escolher um auditor com o âmbito e a independência certos

A relação com um auditor funciona melhor quando ambas as partes compreendem o sistema, o âmbito e as expectativas de evidências antes de a avaliação começar. Para um CEO, escolher essa relação é uma decisão de contratação e de responsabilidade: a garantia resultante vai responder à pergunta do cliente, e a organização consegue suportar uma avaliação credível?

O preço é importante, mas a qualificação, a independência e um âmbito utilizável vêm primeiro. Contratar o trabalho errado pode deixá-lo com um documento que não abrange o serviço que precisa de vender.

Definir o objetivo de garantia antes de pedir propostas

Escreva uma breve nota de contratação que indique o objetivo de negócio, os destinatários previstos, o limite do serviço, as localizações, os principais fornecedores, o resultado pretendido e o prazo. Distinga o requisito contratual de um cliente de uma preferência interna; podem exigir garantias diferentes.

A ISO 27001 diz respeito a um sistema de gestão da segurança da informação com âmbito definido. A certificação é realizada por um organismo de certificação independente, e não pela ISO. O SOC 2 é um relatório de atestação, não uma certificação. Os esquemas setoriais têm os seus próprios prestadores e modalidades de avaliação: o TISAX, por exemplo, é um mecanismo de avaliação e de troca, e não um certificado ao estilo ISO.

Não trate estes resultados como intercambiáveis nem presuma que estabelecem a conformidade legal. Pergunte ao destinatário previsto se o âmbito e o resultado propostos satisfarão o seu requisito antes de comprometer fundos.

Entregue a mesma nota às empresas pré-selecionadas. Entradas comparáveis tornam visíveis as diferenças de âmbito, esforço, exclusões e preço.

Fazer cinco perguntas que revelam o trabalho real

1. O que vão avaliar exatamente, e quem está qualificado para emitir o resultado?

Peça o âmbito proposto por escrito, incluindo entidades, serviços, instalações, operações remotas e dependências subcontratadas. Pergunte como serão tratados os fornecedores e que responsabilidades continuam a ser vossas.

Para a certificação ISO acreditada, verifique a acreditação do organismo de certificação e a sua abrangência para a norma relevante através dos registos do organismo de acreditação; um logótipo, por si só, não é suficiente. Para o SOC 2, determine a firma de CPA responsável, o licenciamento relevante, a responsabilidade pela assinatura e as modalidades de controlo de qualidade aplicáveis. Peça registos de suporte atuais, em vez de confiar em credenciais comerciais.

Reúna-se com o responsável proposto para o trabalho. Pergunte por stacks tecnológicos, dimensões de empresa, setores e modelos de subcontratação comparáveis. A experiência relevante deve reduzir mal-entendidos, e não baixar o nível da avaliação. As referências podem ajudar a avaliar a comunicação e a disciplina de execução sem pedir constatações confidenciais de clientes.

2. Como protegem a independência quando há apoio à preparação?

Peça uma explicação sobre as verificações de conflitos de interesses, as relações com consultores ou parceiros de referenciação e as restrições ao trabalho de consultoria. Clarifique que serviços de preparação são permitidos ao abrigo das regras de independência do trabalho.

Há uma diferença substancial entre explicar um pedido de evidências e conceber ou operar os controlos que serão depois avaliados. Pergunte quem realizou qualquer trabalho de preparação e se isso cria restrições para o avaliador proposto. Quando necessário, separe os prestadores de preparação e de avaliação independente.

Rejeite promessas de um relatório sem reservas ou de um certificado garantidos. Acorde como são escaladas as divergências e como as constatações são sustentadas por evidências. A gestão continua a ser responsável pelos controlos e pelas declarações; o avaliador continua a ser responsável pelo seu juízo independente.

3. Que evidências e que período vão examinar?

Pergunte se o trabalho avalia um momento específico ou o funcionamento ao longo de um período. Para o SOC 2, clarifique Type I versus Type II e as datas de reporte previstas. Para a certificação ISO, distinga as fases da avaliação inicial do trabalho subsequente de acompanhamento e de recertificação.

Peça um esboço inicial das evidências, e não a promessa de que uma checklist fixa garante o sucesso. Discuta as entrevistas, a amostragem, as visitas às instalações e as evidências de fornecedores externos. Pergunte como são avaliadas as exportações automáticas quanto à completude e à relevância; ter um painel não é o mesmo que demonstrar um funcionamento eficaz.

Confirme o que acontece se a prontidão for inferior ao esperado: adiamento, âmbito revisto, trabalho adicional ou constatações. Clarifique a revisão das ações corretivas, as evidências de seguimento e quem toma a decisão final sobre o relatório ou a certificação.

4. Que calendário e que custos dependem das nossas ações?

Separe a disponibilidade do avaliador, a preparação das evidências, o trabalho de campo, as respostas da gestão, a revisão independente e a emissão. Pergunte que datas podem ser assumidas como compromisso e quais dependem de evidências satisfatórias ou da resolução de constatações. Uma data de emissão preferencial não é uma garantia incondicional.

Peça uma discriminação por escrito que abranja:

• Honorários fixos, tarifas diárias e pressupostos sobre o esforço de auditoria.
• Deslocações, instalações adicionais e alterações de âmbito.
• Revisão das ações corretivas, trabalho de seguimento e reagendamento.
• Custos recorrentes de avaliação e condições de cancelamento.

Orçamente também o tempo do pessoal interno. Uma proposta mais barata que exclui trabalho necessário não é uma comparação útil. Peça ao executivo responsável que aprove tanto a despesa como a capacidade operacional necessária para suportar o trabalho.

5. Como vão funcionar a partilha de evidências e a comunicação?

Acorde o canal de pedidos, os formatos aceites, os responsáveis pelas respostas e o caminho de escalada. Pergunte se o avaliador pode usar o vosso espaço de trabalho de preparação ou se precisa de exportações para o seu próprio sistema. Confirme as permissões de acesso, a conservação, a eliminação e o tratamento de material sensível.

Prefira um registo de pedidos controlado a anexos de email dispersos. Cada pedido deve ter um identificador, um responsável, um prazo, uma resposta e as questões por resolver. Acorde como se distinguem as evidências revistas das versões anteriores e como a ocultação de dados pode preservar o contexto necessário. A compatibilidade das ferramentas ajuda a coordenação; não substitui a qualidade das evidências nem a avaliação independente.

Exemplo prático: escolher entre duas propostas

Suponha, a título ilustrativo, que uma empresa de software cloud precisa de um relatório SOC 2 Type II que abranja o seu serviço de produção para a renovação de um cliente. O desenvolvimento é remoto e o alojamento é subcontratado.

Uma proposta oferece um início mais cedo, mas deixa pouco claros o período de reporte, o tratamento dos fornecedores e o calendário da revisão final. Outra especifica esses limites e identifica o responsável pelo trabalho, mas começa mais tarde.

A gestão deve primeiro confirmar o período de reporte exigido pelo cliente e se a entrega mais tardia é aceitável. Depois, pedir esclarecimentos à primeira empresa e comparar um âmbito equivalente. Se nenhum dos calendários funcionar, discuta com o cliente uma opção de garantia provisória, em vez de comprar silenciosamente um relatório diferente. Registe a fundamentação da seleção, as dependências e o risco de entrega aceite.

Tornar a passagem de testemunho passível de revisão

Antes de assinar, reúna um dossiê de decisão: nota de contratação, credenciais verificadas do prestador, explicação sobre a independência, âmbito, pressupostos dos honorários, dependências do calendário, modalidades de partilha de evidências e aprovação executiva. Mantenha as questões por resolver visíveis, em vez de as enterrar na correspondência de compras.

A Secani liga requisitos, responsáveis, evidências, tarefas e decisões de revisão. A equipa pode associar material de suporte aos controlos e sistemas relevantes, registar lacunas e preservar as aprovações humanas e o contexto das fontes. Isto proporciona um contexto de preparação coerente para discutir com um avaliador independente; não determina o juízo do avaliador.

Use o nosso guia de preparação para auditorias para testar se a organização consegue acompanhar um requisito através da implementação e das evidências. Depois, envie a mesma nota com âmbito definido aos prestadores pré-selecionados e resolva as diferenças relevantes antes de escolher um.