Kontekst: dlaczego audyty zdalne zostaną z nami
Pandemia COVID-19 przyspieszyła adopcję audytów zdalnych, ale praktyka ta utrwaliła się daleko poza fazę awaryjną. Dokument IAF MD 4:2023 ustanawia wytyczne dotyczące stosowania technologii ICT w audytach akredytacji i certyfikacji, uznając audyt zdalny za metodę audytu równoważną z audytem na miejscu, gdy pozwalają na to warunki.
Korzyści są oczywiste: redukcja kosztów podróży, mniejszy wpływ na środowisko, większa elastyczność w planowaniu i możliwość angażowania wyspecjalizowanych ekspertów technicznych niezależnie od ich lokalizacji. Jednak audyty zdalne niosą ze sobą specyficzne wyzwania wymagające starannego przygotowania.
Przygotowanie technologiczne
Podstawą udanego audytu zdalnego jest niezawodna infrastruktura technologiczna. Organizacje muszą zapewnić:
- Stabilne połączenie internetowe: szybkie łącze z zapasowym rozwiązaniem jest niezbędne. Zawsze przygotujcie plan B na wypadek problemów z łącznością.
- Platformę wideokonferencyjną: uzgodnijcie z jednostką certyfikującą z wyprzedzeniem, która platforma będzie używana. Zweryfikujcie, że wszyscy uczestnicy mają dostęp i umieją korzystać z niezbędnych funkcji (udostępnianie ekranu, czat, pokoje typu breakout).
- Zdalny dostęp do systemów: przygotujcie kontrolowany dostęp do systemów i platform, które audytor będzie musiał zweryfikować. Może to obejmować sesje udostępniania ekranu, tymczasowe dostępy tylko do odczytu lub wirtualne prezentacje infrastruktury.
- Repozytorium dokumentacji: zorganizujcie całą dokumentację ISMS w repozytorium cyfrowym dostępnym podczas audytu. Przejrzysta struktura i spójne nazewnictwo znacząco przyspieszają proces.
Przygotowanie zespołu
Osoby zaangażowane w audyt muszą być przygotowane specjalnie do formatu zdalnego:
- Sesje próbne: przeprowadźcie co najmniej jedną pełną sesję próbną przed rzeczywistym audytem, weryfikując, że wszyscy uczestnicy czują się komfortowo z technologią i formatem.
- Jasne role: wyznaczcie koordynatora technicznego, który będzie zarządzał aspektami logistycznymi (linki, dostępy, udostępnianie dokumentów) podczas audytu, uwalniając właścicieli procesów do koncentracji na pytaniach audytora.
- Odpowiednie środowisko: upewnijcie się, że każdy uczestnik dysponuje spokojnym środowiskiem, z dobrym oświetleniem i jakościowym dźwiękiem.
Praktyczna rada: stwórzcie „agendę nawigacji”, która mapuje każdy punkt audytu do odpowiedniego systemu, dokumentu lub osoby, z bezpośrednimi linkami i instrukcjami dostępu. To drastycznie redukuje czasy przestojów podczas audytu.
Zarządzanie dokumentacją
W audycie zdalnym dokumentacja musi być jeszcze bardziej dostępna i zorganizowana niż w audycie na miejscu. Audytor nie może fizycznie przeglądać teczek z taką samą łatwością. Przygotujcie:
- Indeks dokumentacji z bezpośrednimi linkami do każdego dokumentu
- Dowody zorganizowane według klauzul standardu
- Rejestry i logi gotowe do udostępnienia ekranu
- Wersje PDF kluczowych dokumentów jako kopię zapasową
Podczas audytu: skuteczna komunikacja
Komunikacja to główne wyzwanie audytów zdalnych. Bez bezpośredniego kontaktu łatwiej o nieporozumienia. Stosujcie te praktyki:
- Werbalnie potwierdzajcie zrozumienie każdego pytania przed udzieleniem odpowiedzi
- Aktywnie korzystajcie z udostępniania ekranu, aby pokazywać dowody w czasie rzeczywistym
- Jeśli znalezienie dokumentu wymaga czasu, zakomunikujcie to natychmiast zamiast pozostawiać ciszę
- Róbcie regularne przerwy — audyty zdalne są bardziej męczące niż stacjonarne
Aspekty bezpieczeństwa
Paradoksalnie, audyt bezpieczeństwa informacji prowadzony zdalnie musi sam przestrzegać zasad bezpieczeństwa. Upewnijcie się, że:
- Platforma wideokonferencyjna korzysta z szyfrowania end-to-end
- Tymczasowe dostępy przyznane audytorowi są odwoływane po zakończeniu audytu
- Udostępniane dokumenty nie zawierają wrażliwych informacji niezwiązanych z audytem
- Nagrania audytu (jeśli są wykonywane) są zarządzane zgodnie z politykami ochrony danych organizacji
Jak BALTUM przeprowadza audyty zdalne
Sieć BALTUM przeprowadziła tysiące audytów zdalnych w ponad 100 krajach. Nasze podejście obejmuje fazę pre-audytu, w której uzgadniamy z organizacją wszystkie aspekty logistyczne i technologiczne, zapewniając, że audyt przebiega bez zakłóceń. Oferujemy również audyty hybrydowe, łączące sesje zdalne z ukierunkowanymi wizytami na miejscu dla weryfikacji wymagających fizycznej obecności.