Izberite presojevalca s pravim obsegom in neodvisnostjo

Sodelovanje s presojevalcem deluje najbolje, ko obe strani razumeta sistem, obseg in pričakovanja glede dokazov, še preden se presoja začne. Za direktorja je izbira tega sodelovanja odločitev o nabavi in odgovornosti: ali bo pridobljeno zagotovilo odgovorilo na vprašanje stranke in ali lahko organizacija podpre verodostojno presojo?

Cena je pomembna, vendar so na prvem mestu usposobljenost, neodvisnost in uporaben obseg. Nakup napačnega posla vam lahko pusti dokument, ki ne zajema storitve, ki jo morate prodati.

Cilj zagotovila opredelite, preden zahtevate ponudbe

Napišite kratek povzetek naročila, ki navaja poslovni cilj, predvidene prejemnike, mejo storitve, lokacije, glavne dobavitelje, želeni rezultat in rok. Ločite pogodbeno zahtevo stranke od notranje preference; zanju bo morda potrebno različno zagotovilo.

ISO 27001 se nanaša na sistem upravljanja informacijske varnosti z opredeljenim obsegom. Certifikacijo izvede neodvisni certifikacijski organ, ne ISO. SOC 2 je poročilo o potrditvi (attestation), ne certifikacija. Sektorske sheme imajo lastne ureditve ponudnikov in ocenjevanja: TISAX je na primer mehanizem ocenjevanja in izmenjave, ne certifikat po vzoru ISO.

Teh rezultatov ne obravnavajte kot zamenljivih in ne predpostavljajte, da izkazujejo pravno skladnost. Preden se finančno zavežete, predvidenega prejemnika vprašajte, ali bosta predlagani obseg in rezultat izpolnila njegovo zahtevo.

Izbranim ponudnikom v ožjem izboru dajte isti povzetek. Primerljivi vhodni podatki razkrijejo razlike v obsegu, trudu, izključitvah in ceni.

Postavite pet vprašanj, ki razkrijejo dejanski posel

1. Kaj natanko boste presojali in kdo je usposobljen za izdajo rezultata?

Predlagani obseg zahtevajte v pisni obliki, vključno s pravnimi osebami, storitvami, lokacijami, delom na daljavo in zunanje izvajanimi odvisnostmi. Vprašajte, kako bodo obravnavani dobavitelji in katere odgovornosti ostanejo vaše.

Pri akreditirani certifikaciji ISO preverite akreditacijo certifikacijskega organa in njeno pokritost za relevantni standard v evidencah akreditacijskega organa; sam logotip ne zadošča. Pri SOC 2 ugotovite odgovorno revizijsko družbo (CPA firm), relevantna dovoljenja, odgovornost za podpis in veljavne ureditve pregleda kakovosti. Zahtevajte aktualne podporne zapise, namesto da bi se zanašali na prodajne reference.

Spoznajte predlaganega vodjo naročila. Vprašajte o primerljivih tehnoloških skladih, velikostih podjetij, panogah in modelih zunanjega izvajanja. Relevantne izkušnje naj zmanjšajo nesporazume, ne znižajo standarda presoje. Reference vam lahko pomagajo oceniti komunikacijo in disciplino izvedbe, ne da bi zahtevali zaupne ugotovitve pri strankah.

2. Kako varujete neodvisnost, kadar je vključena podpora pri pripravi?

Zahtevajte pojasnilo o preverjanju nasprotij interesov, razmerjih s svetovalci ali partnerji za priporočila ter omejitvah svetovalnega dela. Razjasnite, katere storitve priprave so dovoljene po pravilih neodvisnosti za to naročilo.

Obstaja bistvena razlika med pojasnjevanjem zahteve po dokazih in načrtovanjem ali izvajanjem kontrol, ki se pozneje presojajo. Vprašajte, kdo je izvedel morebitno delo za pripravljenost in ali to ustvarja omejitve za predlaganega presojevalca. Kjer je potrebno, ločite ponudnika priprave od ponudnika neodvisne presoje.

Zavrnite obljube o zajamčenem poročilu brez pripomb ali certifikatu. Dogovorite se, kako se nestrinjanja stopnjujejo in kako so ugotovitve podprte z dokazi. Vodstvo ostaja odgovorno za kontrole in izjave; presojevalec ostaja odgovoren za svojo neodvisno presojo.

3. Katere dokaze in katero časovno obdobje boste preučili?

Vprašajte, ali naročilo presoja stanje v določenem trenutku ali delovanje v obdobju. Pri SOC 2 razjasnite tip I v primerjavi s tipom II in predvidene datume poročanja. Pri certifikaciji ISO ločite začetne stopnje presoje od poznejših nadzornih presoj in dela za ponovno certifikacijo.

Zahtevajte začetni oris dokazov, ne obljube, da fiksen kontrolni seznam zagotavlja uspeh. Pogovorite se o intervjujih, vzorčenju, obiskih lokacij in dokazih zunanjih ponudnikov. Vprašajte, kako se samodejni izvozi vrednotijo glede popolnosti in relevantnosti; posedovanje nadzorne plošče ni isto kot izkazovanje učinkovitega delovanja.

Potrdite, kaj se zgodi, če je pripravljenost nižja od pričakovane: odložitev, spremenjen obseg, dodatno delo ali ugotovitve. Razjasnite pregled korektivnih ukrepov, nadaljnje dokaze in kdo sprejme končno odločitev o poročilu ali certifikaciji.

4. Katera časovnica in stroški so odvisni od naših dejanj?

Ločite razpoložljivost presojevalca, pripravo dokazov, delo na terenu, odzive vodstva, neodvisen pregled in izdajo. Vprašajte, h katerim datumom se je mogoče zavezati in kateri so odvisni od zadovoljivih dokazov ali razrešitve ugotovitev. Želeni datum izdaje ni brezpogojno jamstvo.

Zahtevajte pisno razčlenitev, ki zajema:

• Fiksne honorarje, dnevne postavke in predpostavke o obsegu dela pri presoji.
• Potne stroške, dodatne lokacije in spremembe obsega.
• Pregled korektivnih ukrepov, nadaljnje delo in prerazporeditve.
• Ponavljajoče se stroške presoj in pogoje odpovedi.

V proračun vključite tudi čas notranjega osebja. Cenejša ponudba, ki izključuje potrebno delo, ni uporabna primerjava. Odgovorni član vodstva naj odobri tako izdatke kot operativne zmogljivosti, potrebne za podporo naročilu.

5. Kako bosta potekala deljenje dokazov in komunikacija?

Dogovorite se o kanalu za zahteve, sprejetih oblikah, lastnikih odgovorov in poti stopnjevanja. Vprašajte, ali lahko presojevalec uporablja vaš delovni prostor za pripravo ali potrebuje izvoze v svoj sistem. Potrdite dovoljenja za dostop, hrambo, izbris in ravnanje z občutljivim gradivom.

Nadzorovanemu dnevniku zahtev dajte prednost pred razpršenimi prilogami e-pošte. Vsaka zahteva naj ima identifikator, lastnika, rok, odgovor in odprto vprašanje. Dogovorite se, kako se popravljeni dokazi ločijo od prejšnjih različic in kako lahko redigiranje ohrani potreben kontekst. Združljivost orodij pomaga pri usklajevanju; ne nadomesti pa kakovosti dokazov ali neodvisne presoje.

Primer: izbira med dvema ponudbama

Ponazoritveno predpostavimo, da programsko podjetje v oblaku za podaljšanje pogodbe s stranko potrebuje poročilo SOC 2 tipa II, ki zajema njegovo produkcijsko storitev. Razvoj poteka na daljavo, gostovanje je pri zunanjem izvajalcu.

Ena ponudba omogoča zgodnejši začetek, vendar pušča obdobje poročanja, obravnavo dobaviteljev in razpored končnega pregleda nejasne. Druga ponudba te meje opredeli in navede odgovornega vodjo naročila, vendar se začne pozneje.

Vodstvo naj najprej potrdi obdobje poročanja, ki ga zahteva stranka, in ali je poznejša dobava sprejemljiva. Nato naj od prvega ponudnika zahteva pojasnila in primerja enakovreden obseg. Če noben razpored ni ustrezen, naj se s stranko pogovori o vmesni možnosti zagotovila, namesto da bi tiho kupilo drugačno poročilo. Zapišite utemeljitev izbire, odvisnosti in sprejeto tveganje pri dobavi.

Predaja naj bo pregledljiva

Pred podpisom pripravite paket za odločanje: povzetek naročila, preverjene kvalifikacije ponudnika, pojasnilo o neodvisnosti, obseg, predpostavke o honorarjih, odvisnosti razporeda, ureditve deljenja dokazov in odobritev vodstva. Odprta vprašanja naj ostanejo vidna, namesto da bi jih zakopali v nabavno korespondenco.

Secani povezuje zahteve, lastnike, dokaze, naloge in odločitve pregledov. Ekipa lahko podporno gradivo pripne k relevantnim kontrolam in sistemom, beleži vrzeli ter ohranja človeške odobritve in kontekst virov. Tako nastane skladen kontekst priprave za pogovor z neodvisnim presojevalcem; presojevalčeve presoje pa ne določa.

Z našim vodnikom po pripravljenosti na presojo preizkusite, ali lahko organizacija zahtevi sledi skozi izvedbo in dokaze. Nato isti povzetek z opredeljenim obsegom pošljite ponudnikom v ožjem izboru in bistvene razlike razrešite, preden izberete enega.