مراحل ممیزی داخلی ISO 27001

ISO 27001 یک استاندارد بین المللی جامع در زمینه مدیریت امنیت اطلاعات است. سازمان‌هایی که برای اولین بار تلاش می‌کنند به گواهینامه ISO 27001 دست یابند، ممکن است این کار را چالش‌برانگیز بدانند.

سازمان هایی که یک سیستم مدیریت برای امنیت اطلاعات ایجاد کرده اند باید حسابرسی داخلی را به طور منظم برای اطمینان از انطباق با استاندارد پیاده سازی کنند. در این مقاله یک روش 5 مرحله ای برای موفقیت حسابرسی داخلی شما را شرح می دهیم.

مرحله 1: محدوده و ارزیابی ریسک

قبل از شروع، ابتدا باید دامنه حسابرسی خود را تعیین کنید، به عنوان مثال، مشخص کنید که کدام حوزه ها دارای اولویت بالاتر هستند و نیاز به ممیزی مکرر دارند، و کدام حوزه ها دارای اولویت یا ریسک پایین تری هستند و می توانند کمتر ممیزی شوند. تمام حوزه‌های تحت‌تاثیر استاندارد باید در نهایت در ممیزی گنجانده شوند، اما لازم نیست همه حوزه‌ها در یک فرکانس حسابرسی شوند. این ارزیابی ریسک نامیده می شود.

شما موظف به انجام یک ارزیابی مبتنی بر ریسک برای تعیین مناطق دارای ریسک بالاتر برای حسابرسی هستید. برای این کار، تیم/مشاور شما باید عملیات، کنترل‌ها و سیستم‌های کسب‌وکار شما را درک کند و بر این اساس محدوده را به طور قابل اجرا تعریف کند.

مهم است که دامنه حسابرسی سازمان شما با خط مشی ISMS همسو باشد. این اولین چیزی است که یک حسابرس بررسی می کند و زمینه را برای باقی مانده حسابرسی فراهم می کند.

پس از شناسایی مناطقی در فرآیندهای خود که در حیطه حسابرسی داخلی شما هستند، باید منابع خود را اولویت بندی کرده و برای ممیزی آماده شوید.

مرحله 2: بررسی اسناد و مدارک

پس از تکمیل تعیین دامنه ممیزی های خود و انجام ارزیابی ریسک لازم، باید بررسی اسناد سازمان در مورد عملیات اداری و تجاری موجود را آغاز کنید.

اسنادی که در این مرحله از حسابرسی بررسی می‌شوند، مربوط به دامنه سیستم مدیریت، خط‌مشی‌ها، رویه‌ها و فرآیندها، اسناد مورد نیاز استاندارد و سایر مدارک لازم است که توسط سازمان‌ها برای حفظ مؤثر سیستم مدیریت ضروری است. اسنادی که در اینجا بررسی می‌شوند باید در محدوده ممیزی که در مرحله 1 پوشش داده شده است نیز باشند. اسناد نیز باید با استفاده از روش نمونه‌گیری بررسی شوند، زیرا بسته به اندازه سازمان و وسعت اسناد شما ممکن است ممیزی کامل در تمام اسناد انجام نشود.

در اینجا حسابرس یک بررسی سطح بالایی از اسناد شما را انجام می دهد که سیستم های مدیریتی، و فرآیندها را پشتیبانی می کند و مشخص می کند که آیا حسابرسی داخلی وجود دارد یا خیر. بررسی اسناد یک مرحله ضروری برای برنامه ریزی و آماده سازی برای فرآیند حسابرسی آتی است. تجزیه و تحلیل اسناد اجازه می دهد تا چارچوب های خاصی که ممکن است در طول فرآیند حسابرسی داخلی مورد نیاز باشد، تنظیم شود. علاوه بر این، بررسی اسناد کمک می کند تا بررسی شود که آیا اسناد ایجاد شده با الزامات استاندارد مطابقت دارند یا خیر.

مرحله 3: حسابرسی در محل

هنگامی که دامنه حسابرسی تعریف شد و اسناد به طور کامل بررسی شدند، مرحله بعدی شامل انجام ممیزی در محل برای جمع آوری شواهد و شناسایی شکاف ها در سیستم ها و فرآیندهای مدیریتی است.

این یک فرآیند گردآوری شواهد است که شامل مصاحبه با کارکنان، مدیران و سایر ذینفعان سازمان شما مرتبط با ISMS است. ممیزی در محل تعیین می کند که آیا سازمان شما حداقل الزامات استاندارد را برآورده کرده و برای ممیزی گواهینامه ISO 27001 آماده است یا خیر.

ممیزی در محل شامل مشاهده رویه های ایجاد شده در سازمان شما، مصاحبه با کارکنان و تأیید فرآیندها و اثربخشی آنها است. سوابق بررسی می‌شوند، شواهد جمع‌آوری می‌شوند و یک گزارش حسابرسی کامل با جزئیات شکاف‌های شناسایی‌شده، زمینه‌های عدم انطباق و بهبودهای احتمالی در سیستم مدیریت ایجاد می‌شود.

مرحله 4: تجزیه و تحلیل شواهد

پس از اینکه ممیزی در محل به این نتیجه رسید که شواهد جمع آوری شده برای طبقه بندی ریسک های شناسایی شده در طی فرآیند حسابرسی تجزیه و تحلیل و دسته بندی می شوند. تجزیه و تحلیل ممیزی به شناسایی شکاف ها در برابر معیارهای پایه و الزامات استاندارد ISO 27001 کمک می کند. حسابرسان این نتایج را جمع‌آوری می‌کنند، شکاف‌های اجرایی را آشکار می‌کنند، و ممکن است حوزه‌هایی از ISMS را که به آزمایش‌های اضافی نیاز دارند، بیشتر بررسی کنند.

مرحله 5: گزارش حسابرسی

گزارش حسابرسی مرحله نهایی فرآیند ارزیابی است. در اینجا حسابرس یافته های حسابرسی خود را ارائه می کند. گزارش حسابرسی داخلی باید یک سند مفصل شامل دامنه، هدف، تجزیه و تحلیل سطح بالا و یافته های کلیدی باشد. این گزارش همچنین شامل توصیه ها و اقدامات اصلاحی مورد نیاز خواهد بود. گزارش حسابرسی باید ارائه شود و با مدیریت برای برنامه اقدام بیشتر مورد بحث قرار گیرد.

سخن پایانی

ممیزی های ISO گسترده هستند و نیاز به زمان و منابع سرمایه گذاری شده برای کسب گواهینامه ISO 27001 دارند. سازمان ها باید قبل از اقدام نهایی خود را آماده کنند. پیروی سیستماتیک از فرآیند حسابرسی فوق الذکر نه تنها سفر را آسان می کند، بلکه به اطمینان از اینکه سازمان شما الزامات استاندارد را برآورده می کند و گواهینامه ISO 27001 را به دست می آورد، کمک می کند. درک کنید که مانند هر چیزی در تجارت، مشارکت مدیریت ارشد در ممیزی داخلی بسیار مهم است.

مدیریت ارشد از شرکت برای توسعه برنامه‌های حسابرسی مؤثر، تعیین نقش‌ها و مسئولیت‌ها و اطمینان از اجرای خط‌مشی‌ها، رویه‌ها و فرآیندها اطمینان حاصل می‌کند.

پرسش های متداول