Välj en revisor med rätt omfång och oberoende

En relation med en revisor fungerar bäst när båda parter förstår systemet, omfånget och förväntningarna på belägg innan bedömningen börjar. För en VD är valet av den relationen ett beslut om upphandling och ansvar: kommer den resulterande försäkran att besvara kundens fråga, och kan organisationen stödja en trovärdig bedömning?

Priset spelar roll, men kvalifikationer, oberoende och ett användbart omfång kommer först. Att köpa fel uppdrag kan lämna er med ett dokument som inte omfattar den tjänst ni behöver sälja.

Definiera målet med försäkran innan ni begär offerter

Skriv en kort uppdragsbeskrivning som anger affärsmålet, avsedda mottagare, tjänstens avgränsning, platser, större leverantörer, önskad leverans och tidsfrist. Skilj mellan en kunds avtalsmässiga krav och en intern preferens; de kan kräva olika slags försäkran.

ISO 27001 gäller ett avgränsat ledningssystem för informationssäkerhet. Certifieringen utförs av ett oberoende certifieringsorgan, inte av ISO. SOC 2 är en attestrapport, inte en certifiering. Branschscheman har egna upplägg för leverantörer och bedömningar: TISAX är till exempel en mekanism för bedömning och utbyte snarare än ett certifikat i ISO:s mening.

Behandla inte dessa resultat som utbytbara, och anta inte att de fastställer rättslig efterlevnad. Fråga den avsedda mottagaren om det föreslagna omfånget och leveransen uppfyller dess krav innan ni binder upp medel.

Ge de utvalda företagen samma beskrivning. Jämförbara underlag gör skillnader i omfång, insats, undantag och pris synliga.

Ställ fem frågor som avslöjar det verkliga uppdraget

1. Vad exakt kommer ni att bedöma, och vem är behörig att utfärda resultatet?

Begär det föreslagna omfånget skriftligen, inklusive juridiska personer, tjänster, platser, distansverksamhet och outsourcade beroenden. Fråga hur leverantörer ska hanteras och vilka ansvarsområden som förblir era.

För ackrediterad ISO-certifiering, verifiera certifieringsorganets ackreditering och dess omfattning för den aktuella standarden i ackrediteringsorganets register; en logotyp räcker inte. För SOC 2, fastställ vilket CPA-företag som är ansvarigt, relevant auktorisation, ansvar för undertecknande och tillämpliga arrangemang för kvalitetsgranskning. Begär aktuella stödjande handlingar i stället för att förlita er på säljmeriter.

Träffa den föreslagna uppdragsledaren. Fråga om jämförbara teknikstackar, företagsstorlekar, branscher och outsourcingmodeller. Relevant erfarenhet bör minska missförstånd, inte sänka bedömningsstandarden. Referenser kan hjälpa er att utvärdera kommunikation och leveransdisciplin utan att ni begär konfidentiella iakttagelser hos andra kunder.

2. Hur skyddar ni oberoendet när förberedande stöd förekommer?

Be om en förklaring av jävskontroller, relationer med konsulter eller hänvisningspartner och begränsningar för rådgivningsuppdrag. Klargör vilka förberedande tjänster som är tillåtna enligt uppdragets regler om oberoende.

Det är en väsentlig skillnad mellan att förklara en begäran om belägg och att utforma eller driva de kontroller som senare bedöms. Fråga vem som utförde eventuellt beredskapsarbete och om det medför begränsningar för den föreslagna bedömaren. Separera vid behov leverantörerna av förberedelser och oberoende bedömning.

Avvisa löften om en garanterat ren rapport eller ett garanterat certifikat. Kom överens om hur oenigheter eskaleras och hur iakttagelser underbyggs med belägg. Ledningen förblir ansvarig för kontroller och uttalanden; bedömaren förblir ansvarig för sitt oberoende omdöme.

3. Vilka belägg och vilken tidsperiod kommer ni att granska?

Fråga om uppdraget bedömer en tidpunkt eller driften under en period. För SOC 2, klargör Type I eller Type II och de avsedda rapporteringsdatumen. För ISO-certifiering, skilj de inledande bedömningsstegen från efterföljande övervakning och omcertifiering.

Begär en första översikt över belägg, inte ett löfte om att en fast checklista garanterar framgång. Diskutera intervjuer, stickprov, platsbesök och belägg från externa leverantörer. Fråga hur automatiserade exporter utvärderas med avseende på fullständighet och relevans; att ha en instrumentpanel är inte detsamma som att visa effektiv drift.

Bekräfta vad som händer om beredskapen är lägre än förväntat: uppskjutning, ändrat omfång, ytterligare arbete eller iakttagelser. Klargör granskningen av korrigerande åtgärder, uppföljande belägg och vem som fattar det slutliga beslutet om rapport eller certifiering.

4. Vilken tidsplan och vilka kostnader beror på våra åtgärder?

Skilj mellan bedömarens tillgänglighet, förberedelse av belägg, fältarbete, ledningens svar, oberoende granskning och utfärdande. Fråga vilka datum som kan utlovas och vilka som beror på tillfredsställande belägg eller på att iakttagelser åtgärdas. Ett önskat utfärdandedatum är ingen ovillkorlig garanti.

Begär en skriftlig specifikation som omfattar:

• Fasta arvoden, dagpriser och antaganden om revisionsinsats.
• Resor, ytterligare platser och ändringar av omfånget.
• Granskning av korrigerande åtgärder, uppföljningsarbete och ombokning.
• Återkommande bedömningskostnader och avbokningsvillkor.

Budgetera även för den interna personalens tid. Ett billigare förslag som utesluter nödvändigt arbete är ingen användbar jämförelse. Låt den ansvariga ledningspersonen godkänna både utgifterna och den driftkapacitet som behövs för att stödja uppdraget.

5. Hur ska delning av belägg och kommunikation fungera?

Kom överens om kanal för förfrågningar, godtagna format, svarsansvariga och eskaleringsväg. Fråga om bedömaren kan använda er arbetsyta för förberedelser eller behöver exporter till sitt eget system. Bekräfta åtkomstbehörigheter, lagringstid, radering och hantering av känsligt material.

Föredra en kontrollerad logg över förfrågningar framför utspridda e-postbilagor. Varje förfrågan bör ha en identifierare, ägare, förfallodatum, svar och eventuell olöst fråga. Kom överens om hur reviderade belägg skiljs från tidigare versioner och hur maskering kan bevara nödvändigt sammanhang. Kompatibla verktyg underlättar samordningen; de ersätter inte beläggens kvalitet eller den oberoende bedömningen.

Räkneexempel: att välja mellan två förslag

Anta, som illustration, att ett molnbaserat mjukvaruföretag behöver en SOC 2 Type II-rapport som omfattar dess produktionstjänst inför en kunds avtalsförnyelse. Utvecklingen sker på distans och driften är outsourcad.

Ett förslag erbjuder en tidigare start men lämnar rapporteringsperioden, hanteringen av leverantörer och tidsplanen för slutgranskningen oklara. Ett annat anger dessa gränser och identifierar den ansvariga uppdragsledaren, men startar senare.

Ledningen bör först bekräfta kundens krav på rapporteringsperiod och om den senare leveransen är acceptabel. Begär sedan förtydliganden från det första företaget och jämför likvärdigt omfång. Om ingen av tidsplanerna fungerar, diskutera ett tillfälligt alternativ för försäkran med kunden i stället för att i tysthet köpa en annan rapport. Dokumentera motiveringen för valet, beroenden och den accepterade leveransrisken.

Gör överlämningen granskningsbar

Innan ni skriver under, sammanställ ett beslutsunderlag: uppdragsbeskrivning, verifierade meriter för leverantören, förklaring av oberoendet, omfång, antaganden om arvoden, beroenden i tidsplanen, upplägg för delning av belägg och ledningens godkännande. Håll olösta frågor synliga i stället för att begrava dem i upphandlingskorrespondensen.

Secani kopplar samman krav, ägare, belägg, uppgifter och granskningsbeslut. Teamet kan koppla stödjande material till relevanta kontroller och system, dokumentera luckor och bevara mänskliga godkännanden och källsammanhang. Det ger ett sammanhängande förberedelseunderlag att diskutera med en oberoende bedömare; det avgör inte bedömarens omdöme.

Använd vår guide till revisionsberedskap för att testa om organisationen kan följa ett krav genom genomförande och belägg. Skicka sedan samma avgränsade uppdragsbeskrivning till de utvalda leverantörerna och lös väsentliga skillnader innan ni väljer en av dem.