Ce fel de audit pregătești?
Un audit intern, o verificare cerută de client, un audit de certificare și un audit prevăzut de lege pot avea criterii, participanți și rezultate diferite. Confirmă de la început cine solicită verificarea, cine o efectuează, ce se evaluează și ce raport trebuie livrat. Nu presupune că aceeași listă de documente acoperă toate situațiile.
În ISO/IEC 27001, clauza 9.2 privește auditul intern al sistemului de management. În NIS2, obligația auditului de securitate cibernetică din OUG nr. 155/2024 se citește împreună cu regulile privind condițiile și periodicitatea sa. Pregătirea dosarului nu înlocuiește aceste proceduri. SR EN ISO/IEC 27001:2023, clauza 9.2; OUG nr. 155/2024, art. 11 alin. (5)–(6).
Cum stabilești domeniul, criteriile și perioada?
Notează organizația, sediile, procesele, sistemele și perioada incluse. Precizează criteriile: cerințe legale aplicabile, clauze ale unui standard, angajamente contractuale sau reguli interne. Pentru fiecare sursă, identifică versiunea relevantă perioadei analizate și justifică legătura cu activitatea companiei.
Exemplu: o verificare privind accesul la aplicația HR în trimestrul anterior nu este, prin ea însăși, o verificare a tuturor sistemelor companiei. Stabilește cum alegi cazurile și ce concluzii permite eșantionul. Confirmă cu verificatorul eventualele excluderi și întrebările deschise.
Ce documente și dovezi pui în dosar?
Pregătește un index care leagă cerința de documentul aplicabil, activitatea efectuată și proba rezultatului. Pentru fiecare material, păstrează responsabilul, data, versiunea și o explicație a ceea ce susține. Include deciziile relevante și rezultatele verificărilor, nu numai procedurile.
Pentru revizuirea accesului, dosarul poate reuni regula internă, lista conturilor din domeniu, confirmările managerilor, modificările efectuate și reverificarea. Acesta este un exemplu de organizare, nu o listă universală obligatorie. Vezi diferența dintre documentul aprobat și măsura aplicată.
Cum prezinți lipsurile și măsurile corective?
Separă lipsa unei probe de dovada că o măsură nu funcționează. Notează ce nu ai putut verifica, de ce, cine clarifică situația și până când. Dacă ai identificat o neconformitate, păstrează constatarea și urmărește corectarea, analiza cauzei și verificarea rezultatului, potrivit cerințelor aplicabile.
Pentru un sistem ISO/IEC 27001, clauza 10.2 cere tratarea neconformităților, evaluarea necesității acțiunilor asupra cauzelor și revizuirea eficacității măsurilor corective. Nu marca problema drept rezolvată doar pentru că există un plan. SR EN ISO/IEC 27001:2023, clauza 10.2.
Cum pregătești accesul verificatorului?
Stabilește persoanele autorizate, materialele care pot fi consultate, durata accesului și modalitatea de transmitere. Verifică datele personale și informațiile confidențiale înainte de partajare. Nu trimite întregul spațiu de lucru când sunt necesare doar probe delimitate. La finalul mandatului, verifică accesul rămas și păstrarea documentelor.
În relația operator–persoană împuternicită, GDPR prevede prin contract sau alt act juridic punerea la dispoziție a informațiilor și posibilitatea auditurilor privind obligațiile persoanei împuternicite. Această regulă nu oferă acces nelimitat oricărui client la orice informație. GDPR, art. 28 alin. (3) lit. (h), art. 5 și art. 32.
Cine verifică și ce se întâmplă după audit?
Desemnează persoanele care cunosc procesele și pot explica materialele. Persoana care pregătește dosarul nu devine prin acest fapt auditor independent. Pentru auditul intern ISO/IEC 27001, selecția auditorilor și desfășurarea auditului trebuie să asigure obiectivitatea și imparțialitatea. SR EN ISO/IEC 27001:2023, clauza 9.2.2.
După verificare, leagă fiecare constatare de responsabil, termen și dovada rezultatului, apoi urmărește reverificarea. Un dosar sau un raport intern nu constituie certificare și nu garantează concluzia auditorului. Vezi dosarul de audit și rapoartele în Cremene și ghidul ISO/IEC 27001.