Дистанционные аудиты ISO — Лучшие практики для успешной сертификации

Становление дистанционных аудитов

Пандемия COVID-19 вынудила индустрию сертификации быстро перейти на дистанционный аудит. То, что начиналось как экстренная мера, с тех пор стало устоявшейся и широко признанной практикой. Международный форум по аккредитации (IAF) формализовал дистанционный аудит через IAF MD 4:2018 (обновлён в 2021 году), который содержит рекомендации по использованию информационных и коммуникационных технологий (ИКТ) при аудите и оценке.

Сегодня органы по сертификации регулярно предлагают дистанционные, очные и гибридные варианты аудита. По данным отрасли, значительная доля аудитов систем менеджмента ISO теперь включает дистанционный компонент, а полностью дистанционные аудиты типичны для организаций, работающих преимущественно в цифровой среде.

Для организаций, стремящихся к сертификации по таким стандартам, как ISO 27001, ISO 9001, ISO 22301 или ISO 42001, понимание подготовки к дистанционному аудиту необходимо для достижения успешного результата.

Рекомендации IAF по дистанционному аудиту

Обязательный документ IAF MD 4 определяет условия, при которых может использоваться дистанционный аудит. Ключевые принципы:

• Дистанционный аудит является допустимым методом, когда он способен достичь эквивалентных целей аудита по сравнению с очными методами
• Решение об использовании дистанционных методов должно быть основано на оценке рисков с учётом сложности системы менеджмента, зрелости организации и характера проверяемой деятельности
• Определённые виды деятельности могут по-прежнему требовать очного присутствия: наблюдение за физическими процессами, осмотр площадки или проверка физических мер безопасности
• Аудитор должен иметь возможность эффективно взаимодействовать с проверяемыми лицами и получить доступ ко всем необходимым свидетельствам
• Конфиденциальность и информационная безопасность должны поддерживаться на протяжении всего процесса дистанционного аудита

Органы по сертификации оценивают в каждом конкретном случае, что уместнее — полностью дистанционный, гибридный или очный аудит. Организациям следует обсудить это с органом по сертификации на ранних этапах планирования.

Подготовка документации к дистанционному аудиту

Подготовка документации для дистанционного аудита, возможно, ещё более критична, чем для очного, поскольку аудитор не может просто подойти к шкафу с документами или попросить показать экран лично. Лучшие практики:

• Централизуйте документацию: Убедитесь, что все политики, процедуры, записи и свидетельства доступны через единую платформу или систему управления документами. Хорошо подходят облачные инструменты — SharePoint, Confluence или специализированные GRC-платформы.
• Организуйте по разделам стандарта: Сопоставьте документы с соответствующими разделами проверяемого стандарта. Предоставьте аудитору матрицу свидетельств, связывающую каждое требование с соответствующим документом, записью или скриншотом.
• Обеспечьте контроль версий: Аудиторы проверят актуальность и утверждённость документов. Убедитесь, что истории версий, подписи утверждения и даты пересмотра хорошо видны.
• Подготовьте записи экрана или скриншоты: Для свидетельств, которые сложно продемонстрировать в реальном времени (конфигурации систем, настройки контроля доступа, панели мониторинга), заранее подготовьте аннотированные скриншоты или короткие записи.
• Предоставьте доступ только для чтения: По возможности предоставьте аудитору доступ только для чтения к соответствующим системам для самостоятельной проверки. Это ускоряет аудит и демонстрирует прозрачность.

Технические требования

Технические сбои — одна из наиболее частых причин нарушений хода дистанционных аудитов. Инвестируйте в следующее:

• Надёжная видеоконференцсвязь: Используйте корпоративную платформу (Microsoft Teams, Zoom или Google Meet) с возможностью демонстрации экрана. Протестируйте соединение, камеру и микрофон до аудита.
• Стабильное интернет-соединение: Убедитесь, что пропускной способности достаточно для продолжительных видеозвонков с демонстрацией экрана. Рассмотрите проводное подключение Ethernet вместо Wi-Fi для ключевых участников.
• Резервный канал связи: Имейте альтернативную платформу или телефонное подключение на случай технических проблем с основной платформой.
• Безопасный обмен файлами: Используйте шифрованные механизмы обмена файлами для передачи конфиденциальных документов. Избегайте отправки секретных записей в виде незашифрованных вложений по электронной почте.
• Тихая, профессиональная обстановка: Участники должны подключаться из тихого помещения с хорошим освещением и минимумом отвлекающих факторов.

Типичные ошибки, которых следует избегать

На основе нашего опыта сопровождения организаций через сотни дистанционных аудитов, вот наиболее частые ошибки:

• Недостаточная подготовка свидетельств: Поиск документов во время видеозвонка тратит время аудита и создаёт плохое впечатление. Заранее подготовьте все свидетельства.
• Слишком много участников в одной сессии: Дистанционные совещания становятся неуправляемыми при большом количестве участников. Ограничьтесь проверяемым лицом, ответственным за процесс и протоколистом.
• Отсутствие тестирования технологий: Не предполагайте, что платформа и демонстрация экрана будут работать безупречно. Проведите полную техническую репетицию минимум за 48 часов до аудита.
• Игнорирование часовых поясов: Для многонациональных организаций согласуйте расписание аудита по часовым поясам заблаговременно. Уставшие аудиторы и проверяемые, работающие в неудобное время, дают неоптимальные результаты.
• Пренебрежение информационной безопасностью: Дистанционные аудиты предполагают обмен конфиденциальной документацией по цифровым каналам. Убедитесь, что используемые платформы и методы соответствуют вашей собственной политике информационной безопасности.

Гибридный подход к аудиту

Многие органы по сертификации теперь рекомендуют гибридный подход, сочетающий дистанционные и очные мероприятия. Эта модель предлагает ряд преимуществ:

• Проверка документации, интервью с руководством и верификация политик могут проводиться дистанционно, экономя время и затраты на поездки
• Физический осмотр площадки, наблюдение за операционными процессами и проверка физических мер безопасности проводятся на месте
• Гибридная модель сокращает общую продолжительность очного аудита при сохранении строгости сбора свидетельств

Для аудитов ISO 27001 гибридный подход особенно эффективен. Большая часть проверки документации СУИБ и интервью по процессам может проводиться дистанционно, а физические контроли (серверные комнаты, системы контроля доступа, соблюдение политики чистого стола) верифицируются во время более короткого очного визита.

Советы на день аудита

Когда наступает день аудита, эти практики помогут обеспечить профессиональный и эффективный процесс:

• Начните с ориентации: Проинформируйте аудитора о том, как организована виртуальная аудиторная комната, где хранятся документы и кто будет доступен для каждой сессии.
• Назначьте координатора: Определите одного человека для управления расписанием, обеспечения переходов между сессиями, решения технических проблем и отслеживания выводов аудита в реальном времени.
• Будьте кратки и конкретны: В дистанционном формате чёткая и сфокусированная коммуникация важна как никогда. Отвечайте на вопросы аудитора прямо и оперативно предоставляйте подтверждающие свидетельства.
• Ведите заметки: Фиксируйте вопросы, наблюдения аудитора и все области, отмеченные для последующего рассмотрения. Это будет бесценно при устранении несоответствий или возможностей для улучшения.
• Предусмотрите буферное время: Заложите 10–15 минут между сессиями для обработки задержек, технических проблем или поиска документов.
• Завершайте с подведением итогов: В конце каждого дня подтвердите статус плана аудита, рассмотрите все открытые вопросы и согласуйте расписание на следующий день.

Процесс дистанционного аудита BALTUM

BALTUM имеет обширный опыт подготовки организаций к дистанционным и гибридным аудитам ISO. Наш подход включает:

• Предаудиторскую оценку готовности для выявления пробелов в документации и технических рисков
• Подготовку матрицы свидетельств с привязкой всех требуемых свидетельств к разделам стандарта
• Пробные дистанционные аудиторские сессии для ознакомления персонала с форматом и выявления областей для улучшения
• Верификацию технической настройки, включая тестирование платформы и планирование резервных вариантов
• Поддержку в день аудита с доступным консультантом BALTUM для помощи с поиском свидетельств и координацией

Независимо от того, готовитесь ли вы к первому сертификационному аудиту или к надзорному/ресертификационному циклу, BALTUM поможет обеспечить гладкое прохождение дистанционного аудита. Свяжитесь с нами для обсуждения ваших потребностей в подготовке к аудиту.