ISO 27001 klauzula po klauzula: 9.2 — Interni audit

Nastavljamo seriju klauzula po klauzula. Klauzula 9.2 je poslednja provera pre nego što isto pitanje postavi i eksterni auditor — prilika da firma sama otkrije i ispravi propuste, dok su posledice još uvek male.

U jednoj rečenici: klauzula 9.2 traži da firma sama, iznutra, redovno proveri da li sistem zaista radi onako kako dokumentacija kaže — uz obavezan uslov da onaj ko proverava nije ista osoba koja je odgovorna za ono što se proverava.

Šta klauzula 9.2 traži

Standard, kroz dva dela klauzule, traži sledeće.

9.2.1 — Opšte. Firma treba da sprovodi interne audite u planiranim intervalima, kako bi utvrdila da li sistem odgovara sopstvenim zahtevima i zahtevima standarda, i da li je efikasno primenjen i održavan. Ovo je razlika u odnosu na klauzulu 9.1 — 9.1 prati pojedinačne pokazatelje kroz vreme, dok interni audit periodično proverava sistem kao celinu.

9.2.2 — Program internog audita. Firma treba da planira, uspostavi, primeni i održava program audita, uzimajući u obzir važnost pojedinih procesa i rezultate prethodnih audita. Za svaki audit treba definisati kriterijume i obim, izabrati auditore na način koji obezbeđuje objektivnost i nepristrasnost, izvestiti relevantno rukovodstvo o rezultatima, i sačuvati dokumentaciju kao dokaz.

Zahtev za objektivnošću zaslužuje posebnu pažnju kod malih firmi: osoba ne bi trebalo da proverava sopstveni rad. Ako je koordinatorka zadužena za vođenje registra rizika, ona ne može objektivno da proveri da li taj registar zaista odgovara stvarnom stanju — nekom drugom to mora da proveri.

Zašto je ova klauzula bitna

Interni audit je poslednja provera pre nego što isto pitanje postavi eksterni auditor — prilika da firma sama otkrije i ispravi propuste, umesto da ih prvi put vidi tokom zvanične sertifikacione ili nadzorne provere, kad su posledice ozbiljnije. Firma koja redovno sprovodi ozbiljan interni audit retko biva iznenađena na eksternom.

Primer iz prakse

Knjigovodstvena agencija je pred prvi eksterni nadzorni audit organizovala svoj prvi interni audit, dva meseca ranije, kako bi ostalo dovoljno vremena da se ispravi ono što se pronađe.

Pošto koordinatorka ne može objektivno da proveri sopstveni rad, agencija je podelila odgovornost za audit:

• Vlasnica agencije lično je proverila oblasti za koje je koordinatorka direktno zadužena — registar rizika, registar incidenata, kontrolu pristupa — upravo zato što sama vlasnica nije uključena u svakodnevno vođenje tih dokumenata.
• Spoljni konsultant, isti koji je pomagao u početnoj implementaciji opisanoj u tekstu koji poredi DIY, konsultanta i softver, proverio je tehnički deo — konfiguraciju dvofaktorske autentifikacije i podešavanja cloud platforme — u ulozi nezavisnog internog auditora za taj segment.

Kriterijumi i obim bili su unapred definisani: da li registar pristupa odgovara stvarnom stanju naloga, da li su svi incidenti iz poslednjih šest meseci pravilno zatvoreni, i da li je obuka o svesti iz 7.3 zaista sprovedena za sve zaposlene koji su se pridružili u međuvremenu.

Audit je otkrio konkretan propust: dvoje zaposlenih, pridruženih pre četiri meseca, nikad nisu prošli osnovnu obuku o svesti, iako je dokumentacija to predviđala. Propust nije bio u sistemu na papiru — procedura je postojala — nego u sprovođenju, jer niko nije pratio da li se onboarding obuka zaista dešava za svakog novog zaposlenog.

Nalaz je predat vlasnici i razmotren na narednom pregledu menadžmenta, sa jasnom korektivnom merom: obe osobe su prošle obuku u roku od nedelju dana, a agencija je uvela kratku proveru — deo onboarding liste koja se sada eksplicitno zatvara tek kad je obuka potvrđena, ne samo kad je nalog otvoren.

Gde se dokumentuje

Program audita — ko, šta, kada proverava — vodi se kao kratak godišnji plan. Rezultati svakog audita beleže se kao kratak izveštaj: šta je provereno, šta je pronađeno, koja korektivna mera je dogovorena, i do kada. Ovi izveštaji direktno ulaze u pregled menadžmenta, o kome ćemo pisati u sledećem tekstu.

Najčešća greška

Najčešća greška je da osoba zadužena za neki proces sama sebe „proveri", što narušava samu svrhu audita — nalazi takvog audita gotovo uvek ispadnu preterano pozitivni, jer niko nema interes da otkrije sopstveni propust. Druga česta greška je posmatranje internog audita kao formalnosti koja se odradi brzo, bez stvarne namere da se nešto pronađe — audit koji nikad ništa ne otkrije, kroz više uzastopnih ciklusa, retko je znak savršenog sistema, češće je znak da niko zapravo nije dobro tražio.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 9.3 — pregled od strane rukovodstva, gde se rezultati internog audita, pokazatelji iz 9.1, i status ciljeva iz 6.2 konačno sabiraju na jednom mestu i pretvaraju u odluke za narednu godinu.