Najgorszy moment na porządkowanie dowodów przypada tydzień przed audytem. Zaczyna się wtedy przeszukiwanie poczty, dysków i komunikatorów. Ktoś pamięta, że test backupu był wykonany, ale raport ma były pracownik. Ktoś inny posiada aktualną umowę, lecz nie zna wyniku ostatniej oceny dostawcy.
Zakres audytu zależy od jego podstawy, celu i rodzaju podmiotu. W praktyce sama polityka rzadko pokazuje cały obraz. Przydatne mogą być także wyniki testów, historia wykonania kontroli i sposób postępowania z wykrytymi problemami.
Przygotuj trzy poziomy odpowiedzi
Dla każdego ważnego wymagania organizacja powinna potrafić pokazać:
- zasadę - politykę, procedurę albo zatwierdzoną decyzję;
- wykonanie - kto, kiedy i w jakim zakresie przeprowadził kontrolę;
- skuteczność - jaki był wynik, co wykryto i jakie działania podjęto.
Jeżeli firma deklaruje kwartalny przegląd uprawnień, warto mieć historię kilku takich przeglądów, listę wykrytych problemów i potwierdzenie odebrania zbędnych dostępów. Jednorazowy arkusz przygotowany tuż przed audytem nie pokaże, czy proces działał regularnie.
Nie ukrywaj problemów - zarządzaj nimi
Dojrzała organizacja nie jest pozbawiona luk. Potrafi je wykrywać, oceniać, przypisywać właścicieli i podejmować udokumentowane decyzje. Otwarte działanie naprawcze z uzasadnionym terminem jest czymś innym niż problem, o którym nikt nie wiedział.
Aktualne przepisy przewidują cykliczne audyty dla podmiotów kluczowych. Inne audyty lub działania sprawdzające mogą wynikać z decyzji organu, statusu podmiotu albo odrębnych wymagań. Dlatego konkretny harmonogram najlepiej ustalić po potwierdzeniu kwalifikacji firmy i przepisów właściwych dla jej sektora.
Najlepsze przygotowanie polega na tym, że pakiet dowodowy powstaje podczas normalnej pracy, a nie w tygodniu poprzedzającym kontrolę.
Program wdrożeniowy UP² pomaga zbudować mapę wymagań, kontroli i dowodów. Platforma UP² utrzymuje wersje, historię wykonania, działania naprawcze i materiał do przeglądu. Zobacz, jak UP² wspiera gotowość audytową.
Źródła
Przełóż wiedzę na uporządkowany plan działania.
UP² łączy program wdrożeniowy, odpowiedzialności, ryzyka i dowody w jednym procesie.
Zbuduj gotowość dowodową