Vyberte si audítora so správnym rozsahom a nezávislosťou

Spolupráca s audítorom funguje najlepšie, keď obe strany rozumejú systému, rozsahu a očakávaniam týkajúcim sa dôkazov ešte pred začiatkom posúdenia. Pre generálneho riaditeľa je výber tejto spolupráce rozhodnutím o obstarávaní a zodpovednosti: odpovie výsledné uistenie na otázku zákazníka a dokáže organizácia podporiť dôveryhodné posúdenie?

Cena je dôležitá, ale na prvom mieste je kvalifikácia, nezávislosť a použiteľný rozsah. Nákup nesprávnej zákazky vám môže zanechať dokument, ktorý nepokrýva službu, ktorú potrebujete predávať.

Pred vyžiadaním ponúk definujte cieľ uistenia

Napíšte krátke zadanie zákazky, ktoré uvádza obchodný cieľ, zamýšľaných príjemcov, hranicu služby, lokality, hlavných dodávateľov, požadovaný výstup a termín. Rozlišujte zmluvnú požiadavku zákazníka od internej preferencie; môžu si vyžadovať rozdielne uistenie.

ISO 27001 sa týka systému riadenia informačnej bezpečnosti s vymedzeným rozsahom. Certifikáciu vykonáva nezávislý certifikačný orgán, nie ISO. SOC 2 je atestačná správa, nie certifikácia. Sektorové schémy majú vlastných poskytovateľov a spôsoby posudzovania: napríklad TISAX je mechanizmus posudzovania a výmeny, nie certifikát v štýle ISO.

Nepovažujte tieto výstupy za zameniteľné a nepredpokladajte, že zakladajú súlad s právnymi predpismi. Predtým, ako vynaložíte prostriedky, sa zamýšľaného príjemcu opýtajte, či navrhovaný rozsah a výstup splní jeho požiadavku.

Firmám v užšom výbere dajte rovnaké zadanie. Porovnateľné vstupy zviditeľnia rozdiely v rozsahu, náročnosti, výlukách a cene.

Položte päť otázok, ktoré odhalia skutočnú zákazku

1. Čo presne budete posudzovať a kto je oprávnený vydať výsledok?

Vyžiadajte si navrhovaný rozsah písomne vrátane subjektov, služieb, lokalít, prevádzky na diaľku a outsourcovaných závislostí. Opýtajte sa, ako sa bude postupovať pri dodávateľoch a ktoré zodpovednosti zostávajú na vás.

Pri akreditovanej certifikácii ISO overte akreditáciu certifikačného orgánu a jej pokrytie pre príslušnú normu v záznamoch akreditačného orgánu; samotné logo nestačí. Pri SOC 2 zistite zodpovednú firmu CPA, relevantné licencie, zodpovednosť za podpis a uplatniteľné opatrenia na preskúmanie kvality. Vyžiadajte si aktuálne podporné záznamy namiesto spoliehania sa na predajné referencie.

Stretnite sa s navrhovaným vedúcim zákazky. Opýtajte sa na porovnateľné technologické prostredia, veľkosti firiem, odvetvia a modely outsourcingu. Relevantné skúsenosti by mali znižovať nedorozumenia, nie znižovať úroveň posúdenia. Referencie vám môžu pomôcť posúdiť komunikáciu a disciplínu pri realizácii bez toho, aby ste žiadali dôverné zistenia o klientoch.

2. Ako chránite nezávislosť, keď ide aj o podporu pri príprave?

Požiadajte o vysvetlenie kontrol konfliktu záujmov, vzťahov s konzultantmi alebo partnermi, ktorí odporúčajú klientov, a obmedzení poradenskej činnosti. Vyjasnite si, ktoré prípravné služby sú podľa pravidiel nezávislosti pre danú zákazku prípustné.

Je podstatný rozdiel medzi vysvetlením požiadavky na dôkazy a navrhovaním alebo prevádzkovaním opatrení, ktoré sa neskôr posudzujú. Opýtajte sa, kto vykonal prípadnú prácu na pripravenosti a či to vytvára obmedzenia pre navrhovaného posudzovateľa. Ak je to potrebné, oddeľte poskytovateľov prípravy a nezávislého posúdenia.

Odmietnite prísľuby zaručenej čistej správy alebo certifikátu. Dohodnite sa, ako sa eskalujú nezhody a ako sa zistenia podkladajú dôkazmi. Za opatrenia a vyhlásenia zostáva zodpovedný manažment; za svoj nezávislý úsudok zostáva zodpovedný posudzovateľ.

3. Ktoré dôkazy a ktoré obdobie budete skúmať?

Opýtajte sa, či zákazka posudzuje stav k určitému okamihu alebo prevádzku počas obdobia. Pri SOC 2 si vyjasnite Type I oproti Type II a zamýšľané dátumy správy. Pri certifikácii ISO rozlišujte stupne prvotného posúdenia od následných dozorných auditov a recertifikácie.

Vyžiadajte si úvodný prehľad dôkazov, nie prísľub, že pevne stanovený kontrolný zoznam zaručí úspech. Prediskutujte rozhovory, vzorkovanie, návštevy lokalít a dôkazy od externých poskytovateľov. Opýtajte sa, ako sa posudzuje úplnosť a relevantnosť automatizovaných exportov; mať dashboard nie je to isté ako preukázať účinnú prevádzku.

Potvrďte, čo sa stane, ak je pripravenosť nižšia, než sa očakávalo: odklad, upravený rozsah, dodatočná práca alebo zistenia. Vyjasnite si preskúmanie nápravných opatrení, nadväzujúce dôkazy a to, kto robí konečné rozhodnutie o správe alebo certifikácii.

4. Aký harmonogram a náklady závisia od našich krokov?

Oddeľte dostupnosť posudzovateľa, prípravu dôkazov, prácu v teréne, reakcie manažmentu, nezávislé preskúmanie a vydanie. Opýtajte sa, ktoré termíny možno záväzne potvrdiť a ktoré závisia od uspokojivých dôkazov alebo vyriešenia zistení. Preferovaný dátum vydania nie je bezpodmienečnou zárukou.

Vyžiadajte si písomný rozpis, ktorý pokrýva:

• Pevné poplatky, denné sadzby a predpoklady o náročnosti auditu.
• Cestovné náklady, ďalšie lokality a zmeny rozsahu.
• Preskúmanie nápravných opatrení, nadväzujúcu prácu a zmeny termínov.
• Opakujúce sa náklady na posúdenie a podmienky zrušenia.

Rozpočtujte aj čas interných zamestnancov. Lacnejšia ponuka, ktorá vylučuje potrebnú prácu, nie je užitočným porovnaním. Nechajte zodpovedného člena vedenia schváliť výdavky aj prevádzkovú kapacitu potrebnú na podporu zákazky.

5. Ako bude fungovať zdieľanie dôkazov a komunikácia?

Dohodnite sa na kanáli pre požiadavky, akceptovaných formátoch, vlastníkoch odpovedí a eskalačnej ceste. Opýtajte sa, či posudzovateľ môže používať váš pracovný priestor na prípravu, alebo potrebuje exporty do vlastného systému. Potvrďte prístupové oprávnenia, uchovávanie, vymazanie a zaobchádzanie s citlivými materiálmi.

Uprednostnite riadený denník požiadaviek pred roztrúsenými prílohami e-mailov. Každá požiadavka by mala mať identifikátor, vlastníka, termín, odpoveď a nevyriešenú otázku. Dohodnite sa, ako sa revidované dôkazy odlíšia od skorších verzií a ako môže začierňovanie zachovať potrebný kontext. Kompatibilita nástrojov pomáha koordinácii; nenahrádza kvalitu dôkazov ani nezávislé posúdenie.

Modelový príklad: výber medzi dvoma ponukami

Predpokladajme ilustratívne, že spoločnosť poskytujúca cloudový softvér potrebuje kvôli obnoveniu zmluvy so zákazníkom správu SOC 2 Type II pokrývajúcu jej produkčnú službu. Vývoj prebieha na diaľku a hosting je outsourcovaný.

Jedna ponuka ponúka skorší začiatok, ale necháva nejasné obdobie správy, zaobchádzanie s dodávateľmi a harmonogram záverečného preskúmania. Druhá tieto hranice špecifikuje a určuje zodpovedného vedúceho zákazky, ale začína neskôr.

Manažment by mal najprv potvrdiť obdobie správy, ktoré zákazník vyžaduje, a to, či je neskoršie dodanie prijateľné. Potom by si mal od prvej firmy vyžiadať vysvetlenie a porovnať rovnocenný rozsah. Ak nevyhovuje ani jeden harmonogram, prediskutujte so zákazníkom možnosť dočasného uistenia, namiesto toho, aby ste potichu kúpili inú správu. Zaznamenajte zdôvodnenie výberu, závislosti a akceptované riziko dodania.

Urobte odovzdanie preskúmateľným

Pred podpisom zostavte rozhodovací balík: zadanie zákazky, overené kvalifikácie poskytovateľa, vysvetlenie nezávislosti, rozsah, predpoklady poplatkov, závislosti harmonogramu, dojednania o zdieľaní dôkazov a schválenie vedením. Nevyriešené otázky ponechajte viditeľné, namiesto toho, aby ste ich zakopali v korešpondencii k obstarávaniu.

Secani prepája požiadavky, vlastníkov, dôkazy, úlohy a rozhodnutia z preskúmaní. Tím môže pripájať podporné materiály k relevantným opatreniam a systémom, zaznamenávať medzery a zachovávať ľudské schválenia a kontext zdrojov. Vzniká tak ucelený prípravný kontext na diskusiu s nezávislým posudzovateľom; úsudok posudzovateľa však neurčuje.

Pomocou nášho návodu na pripravenosť na audit otestujte, či organizácia dokáže sledovať požiadavku cez implementáciu až po dôkazy. Potom pošlite rovnaké zadanie s vymedzeným rozsahom poskytovateľom v užšom výbere a pred výberom jedného z nich vyriešte podstatné rozdiely.