Hvis du er en fanatisk – eller mindre fanatisk – læser af vores artikler, ved du sikkert nu, hvor vigtigt det er at sikre informationssikkerhed og overholdelse af lovgivningen. Derfor er det meget vigtigt for organisationer at evaluere resultater og styre risici på dette område. Gør vi fremskridt i forhold til vores compliance-mål? Lad os se, hvad der sker med den interne revision.
Styres risikoen effektivt? Anvendes politikker og procedurer korrekt, eller kan de forbedres? Der er ét svar på alle ovenstående spørgsmål: Den interne revision.
Interne audits er et nyttigt værktøj for alle typer virksomheder. Den hjælper en organisation med at definere områder, hvor den kan forbedre sig, samtidig med at den giver den information, den har brug for til at nå sine mål. En person, der ikke er compliance officer i en virksomhed, bør normalt udføre de interne audits. Med andre ord udføres den interne audit uafhængigt og objektivt, hvilket sikrer, at nogen kan se på al dokumentation og kontrol med friske øjne. I dette tilfælde kaldes dette friske øje for Compleye. Denne artikel vil fortælle dig alt, hvad du behøver at vide om den måde, vi udfører interne audits på.
Tjek, tjek, dobbelttjek
Lad os tage dig igennem den måde, vi internt – se hvad vi gjorde der? – udfører interne audits, så virksomheder kan forberede sig på ISO 27001-certificering. Vi har fastlagt kriterier for hvert kapitel og hver kontrol, da hver af ISO 27001-standarderne og -normerne har forudfastsatte kriterier. Et efter et kontrollerer vi hvert eneste dokument, hver eneste kontrol og alt om, hvordan virksomheden klarer sig eller ikke klarer sig.
Spil bønnerne ud – intern revision
Ligesom en detektiv, der afdækker saftige detaljer, og en trøffelhund, der finder lækkerier i skoven, identificerer vi fund, når vi har gennemgået alle disse kriterier. Bagefter undersøger vi disse fund, og – afhængigt af hvor alvorlige de er – kan de blive klassificeret som afvigelser eller områder, der giver anledning til bekymring. Non conformance er en audit-betegnelse, der indikerer, at informationssikkerhedssystemet (eller en del af det) ikke lever op til kravene i ISO 27001. Med enkle ord betyder non conformities, at din virksomhed ikke overholder kravene. Bekymringsområder betyder på den anden side, at din virksomhed overholder kravene, men stadig har brug for at forbedre visse ting.
Support og rapport
Senere udsender vi vores rapport med alle vores resultater. Disse er defineret som og opdelt i afvigelser og bekymringsområder. Vi sender denne rapport til ledelsen og ISMS-teamet til gennemgang og godkendelse. Når de har godkendt den, registrerer vi alle vores fund i forbedringsafsnittet på vores platform Compleye Online.
Er den interne revision obligatorisk?
Lad os gøre det kort og godt: ja. Den interne audit er obligatorisk for at opnå ISO 27001-certificering. Hvis du ikke får udført den interne audit en gang om året, kan du vinke farvel til at blive certificeret.
Compleyes realtidsaudit
Den interne revision omfatter en masse trin og kontroller – og med en masse mener vi en masse – og tager derfor en del tid. Ville det ikke være dejligt, hvis der var noget, der kunne gøre denne proces lidt lettere og hurtigere? Sikke et sammentræf! Vi har travlt med at designe vores næste skridt på Compleye Online: Real Time Audit. Det automatiserer og forenkler visse trin, som vil være nyttige for både kunden og den interne auditor. Der vil dog altid være trin, som vi fortsat vil udføre manuelt.
Hovedformålet med en intern revision er at forberede en virksomhed på den obligatoriske eksterne revision. Vi ser på hver eneste politik og hvert eneste dokument, som gør det muligt for virksomheden at forbedre sin status quo. Man kan se det som en ekstra kontrol. Den objektive tilgang gør det muligt at se på alt fra et andet perspektiv, så det hjælper at have nogen til at udføre den interne revision, som ikke er direkte involveret i virksomheden. Se det bare som en smart tjekliste for at komme videre med certificeringen. Nogle gange behøver livet ikke at være så kompliceret.
