Audyt wewnętrzny czy zewnętrzny – co wybrać

Wybór złego audytora wewnętrznego kosztuje więcej niż jego brak.

Brzmi jak paradoks, ale to jedna z najczęstszych pułapek, jakie widzę u firm przygotowujących się do certyfikacji ISO 27001. Ktoś w organizacji dostaje zadanie „zrób audyt wewnętrzny”, bo tak wymaga norma i robi go tak, żeby nikomu nie podpaść. Po audycie jest raport bez zastrzeżeń, brak rzeczywistych ustaleń, a certyfikujący jednostka podczas audytu certyfikującego znajduje niezgodności, których nikt wcześniej nie zauważył. Albo gorzej – nie znajduje, a ujawniają się dopiero podczas incydentu.

Rola audytu wewnętrznego w systemie ISO 27001

Audyt wewnętrzny to nie formalność do odhaczenia przed jednostką certyfikującą. To mechanizm kontrolny wbudowany w samą normę, którego zadaniem jest sprawdzenie, czy system zarządzania bezpieczeństwem informacji faktycznie działa tak, jak jest opisany na papierze.

Różnica między dobrze i źle przeprowadzonym audytem wewnętrznym widoczna jest dopiero w momencie kryzysu. Dobry audyt wyłapuje rozjazd między procedurą a rzeczywistością, zanim zrobi to atakujący albo audytor certyfikujący. Zły audyt daje złudne poczucie, że wszystko jest pod kontrolą co jest gorsze niż brak audytu w ogóle, bo usypia czujność zarządu.

Kiedy warto zlecić go na zewnątrz

Zlecenie audytu wewnętrznego firmie zewnętrznej ma sens w kilku konkretnych sytuacjach.

Po pierwsze, gdy organizacja jest zbyt mała, by wydzielić osobę niezależną od ocenianych procesów, co w firmach do 50-100 pracowników jest normą, a nie wyjątkiem. Po drugie, gdy firma przechodzi certyfikację po raz pierwszy i nie ma jeszcze wewnętrznych kompetencji do przeprowadzenia audytu zgodnie z metodyką ISO 19011. Po trzecie, gdy zależy jej na świeżym spojrzeniu – ktoś, kto codziennie nie pracuje w danej strukturze, zauważa rzeczy, które dla zespołu stały się niewidoczne, bo funkcjonują od lat bez kwestionowania.

Zewnętrzny audytor przynosi też coś, czego trudno oczekiwać od osoby zatrudnionej w firmie – gotowość do wpisania w raport niewygodnego wniosku, nawet jeśli dotyczy on działu, z którym na co dzień współpracuje.

Konflikt interesów – kto nie powinien audytować własnego działu

Norma wprost wymaga niezależności i obiektywizmu audytora względem audytowanego obszaru. W praktyce oznacza to jedną prostą zasadę: nikt nie powinien audytować procesów, za które sam odpowiada.

Administrator IT nie powinien audytować polityki dostępu do systemów, którą sam skonfigurował. Kierownik działu nie powinien oceniać zgodności procedur swojego zespołu. To nie jest kwestia braku zaufania do kompetencji tych osób – to kwestia struktury. Trudno obiektywnie ocenić coś, za co się odpowiada zawodowo i finansowo, zwłaszcza gdy wynik audytu może rzutować na własną ocenę pracy.

Firmy, które tego nie respektują, najczęściej dostają dokładnie to, o czym pisałem na początku – audyt bez zastrzeżeń, który nie wytrzymuje konfrontacji z audytem certyfikującym.

Jak przygotować firmę do pierwszego audytu wewnętrznego

Przygotowanie zaczyna się długo przed samym audytem, nie w dniu, w którym audytor pojawia się w firmie.

Kluczowe jest ustalenie zakresu audytu i harmonogramu z wyprzedzeniem, tak by osoby odpowiedzialne za poszczególne obszary wiedziały, czego dotyczy sprawdzenie i mogły przygotować dokumentację – polityki, rejestry, dowody wdrożenia zabezpieczeń. Równie ważne jest zebranie dowodów zgodności z poprzedniego okresu, jeśli firma przechodzi kolejny cykl certyfikacji, oraz jasne wskazanie, kto w organizacji odpowiada za wdrożenie działań korygujących po audycie.

Częsty błąd to traktowanie audytu jako testu do zdania, zamiast narzędzia do znalezienia słabych punktów. Firmy, które podchodzą do audytu wewnętrznego jako do okazji do poprawy, a nie do obrony przed krytyką, wchodzą w audyt certyfikujący z realną przewagą – bo problemy zostały już rozwiązane, zanim ktokolwiek z zewnątrz zdążył je zauważyć.