Audyt KSC nie powinien zaczynać się od ceny. Pierwszym krokiem jest sprawdzenie, czy osoba lub zespół, któremu powierzysz audyt, ma kwalifikacje adekwatne do zakresu prac i specyfiki organizacji.
Co wskazuje FAQ KSC?
W pytaniu 9.3 poradnik Ministerstwa Cyfryzacji wymienia certyfikaty, które mogą potwierdzać uprawnienia do przeprowadzenia audytu. Są to między innymi: Certified Internal Auditor (CIA), Certified Information System Auditor (CISA), Certified Information Security Manager (CISM), Certified in Risk and Information Systems Control (CRISC), Certified in the Governance of Enterprise IT (CGEIT), Certified Information Systems Security Professional (CISSP), a także certyfikaty audytora wiodącego systemu zarządzania bezpieczeństwem informacji według ISO/IEC 27001 oraz audytora wiodącego systemu zarządzania ciągłością działania według ISO 22301.
Sam wykaz certyfikatów nie zastępuje jednak oceny zakresu audytu. Trzeba jeszcze ustalić, jakie systemy, usługi, procesy i dokumenty mają zostać objęte pracą.
Praktyczna checklista wyboru audytora
- Porównaj certyfikat z FAQ. Poproś o nazwę certyfikatu, numer lub potwierdzenie jego uzyskania i sprawdź, czy odpowiada jednej z kwalifikacji wskazanych w poradniku.
- Zweryfikuj wystawcę i aktualność. Ustal, k