სასერტიფიკაციო აუდიტისთვის მომზადება: შიდა აუდიტი, ხელმძღვანელობის მიერ ანალიზი და ხშირი შეუსაბამობები
სასერტიფიკაციო აუდიტზე გამოვლენილი პრობლემების უმეტესობა რამდენიმე კვირით ადრე ჩანს შიდა აუდიტსა და ხელმძღვანელობის მიერ ანალიზში. სწორად შესრულებისას ეს ორი ნაბიჯი გარე აუდიტს მოულოდნელობად კი არა, დადასტურებად აქცევს.
რას ელის სასერტიფიკაციო ორგანო მეორე ეტაპამდე
მიუხედავად იმისა, სერტიფიცირებას გადიხართ ISO/IEC 27001-ით, ISO 9001-ით, ISO 14001-ით, ISO 45001-ით თუ მართვის სისტემის სხვა სტანდარტით, სასერტიფიკაციო ორგანო მეორე ეტაპის აუდიტამდე ელის სულ მცირე ერთ სრულ შიდა აუდიტს, რომელიც მთელ სფეროს მოიცავს, და სულ მცირე ერთ ხელმძღვანელობის მიერ ანალიზს. რომელიმე მათგანის არარსებობა ხშირი მიზეზია იმისა, რომ პირველი ეტაპის აუდიტი ასკვნის, რომ ორგანიზაცია მზად არ არის.
შიდა აუდიტის დაგეგმვა
- აუდიტის პროგრამა. გადაწყვიტეთ, რომელი პროცესების, ობიექტებისა და მოთხოვნების აუდიტი ჩატარდება და როდის. პირველი სერტიფიცირებისთვის მთელი სფერო უნდა იყოს მოცული. შემდგომ წლებში პროგრამა შეიძლება რისკზე დაფუძნებული იყოს.
- აუდიტორის კომპეტენცია და დამოუკიდებლობა. შიდა აუდიტორებს სჭირდებათ სტანდარტისა და აუდიტის ტექნიკის სწავლება; ჩვეულებრივ სახელმძღვანელოდ ISO 19011 გამოიყენება. მათ საკუთარი სამუშაოს აუდიტი არ უნდა ჩაატარონ. მცირე ქართულ კომპანიებში ეს ხშირად ნიშნავს გარე შიდა აუდიტორის მოწვევას ან დეპარტამენტებს შორის აუდიტორების გაცვლას.
- კრიტერიუმები. აუდიტი ჩაატარეთ სტანდარტის, თქვენი საკუთარი პროცედურებისა და თქვენს რეესტრში არსებული სამართლებრივი მოთხოვნების მიმართ, მაგალითად საქართველოს კანონის „პერსონალურ მონაცემთა დაცვის შესახებ“ ან ორგანული კანონის „შრომის უსაფრთხოების შესახებ“.
- შერჩევა. თუ ობიექტები თბილისსა და ბათუმში გაქვთ, ან დისტანციური თანამშრომლები გყავთ, შერჩევამ ეს უნდა ასახოს.
- ენა. ჩანაწერები შეიძლება იყოს ქართულად ან ინგლისურად. დარწმუნდით, რომ მტკიცებულებების ახსნა შესაძლებელია სასერტიფიკაციო აუდიტორისთვის, რომელმაც შეიძლება ქართული არ იცოდეს, ან დაგეგმეთ თარჯიმანი.
შიდა აუდიტის ჩატარება და ანგარიშგება
გაესაუბრეთ იმ ადამიანებს, რომლებიც სამუშაოს ასრულებენ, და არა მხოლოდ სისტემის მენეჯერს. ნახეთ ჩანაწერები და არა მხოლოდ დოკუმენტები. თითოეული მიგნებისთვის მიუთითეთ მოთხოვნა, მტკიცებულება და ხარვეზი. მიგნებები თანმიმდევრულად დაახარისხეთ და მაკორექტირებელ ქმედებებზე შეთანხმდით, პასუხისმგებელი პირებისა და ვადების მითითებით. შიდა აუდიტის ანგარიში, რომელშიც ახალი სისტემისთვის არცერთი მიგნება არ არის, სასერტიფიკაციო აუდიტორს იშვიათად არწმუნებს.
ხელმძღვანელობის მიერ ანალიზი
უმაღლესმა ხელმძღვანელობამ უნდა გააანალიზოს სისტემა და ჩაიწეროს თავისი გადაწყვეტილებები. სტანდარტები ჩამოთვლის საჭირო შემავალ მონაცემებს. ხშირი შემავალი მონაცემებია:
- წინა ანალიზებიდან გამომდინარე ქმედებების სტატუსი;
- ცვლილებები გარე და შიდა საკითხებში, მათ შორის ახალი კანონები და კლიენტების მოთხოვნები;
- მიზნების მიღწევის მაჩვენებლები და მონიტორინგის შედეგები;
- შიდა აუდიტის შედეგები და შეუსაბამობები;
- რისკების შეფასების შედეგები და რისკების დამუშავების სტატუსი;
- უკუკავშირი მომხმარებლებისა და სხვა დაინტერესებული მხარეებისგან;
- გაუმჯობესების შესაძლებლობები და რესურსების საჭიროებები.
შედეგი უნდა შეიცავდეს გადაწყვეტილებებს: დამტკიცებულ რესურსებს, შეცვლილ მიზნებს, განაწილებულ ქმედებებს. ოქმი, რომელიც მხოლოდ შემავალ მონაცემებს ჩამოთვლის, ტიპური მიგნებაა.
ხშირი შეუსაბამობები სასერტიფიკაციო აუდიტებზე
- რისკების შეფასება არ არის დაკავშირებული კონტროლის ზომებთან. რისკები ჩამოთვლილია, მაგრამ ვერავინ აჩვენებს, როგორ ამუშავებს კონკრეტული კონტროლის ზომა კონკრეტულ რისკს.
- მიზნები გაზომვის გარეშე. მიზნები არსებობს, მაგრამ არ იზომება, ან მონაცემები არ განიხილება.
- მოძველებული სამართლებრივი რეესტრი. საქართველოს კანონმდებლობის ან მარეგულირებლების ბოლოდროინდელი ცვლილებები ასახული არ არის, მაგალითად მონაცემთა დაცვის ზედამხედველობის გადაცემა სახელმწიფო აუდიტის სამსახურისთვის 2026 წელს.
- კომპეტენციის მტკიცებულება აკლია. არ არსებობს ჩანაწერები, რომლებიც აჩვენებს, რომ ძირითად როლებზე მყოფ ადამიანებს შესაბამისი კვალიფიკაცია ან მომზადება აქვთ.
- მომწოდებლების კონტროლი მხოლოდ ქაღალდზე. პროცედურა არსებობს, მაგრამ მომწოდებლები შეფასებული არ არიან.
- მაკორექტირებელი ქმედებები ძირეული მიზეზის ანალიზის გარეშე დახურული. სიმპტომი გამოსწორებულია; მიზეზი გაანალიზებული არ არის.
- დოკუმენტები არ კონტროლდება. გამოიყენება ძველი ვერსიები, არ არის დამტკიცების ან გადახედვის თარიღები.
- კონკრეტულად ISO/IEC 27001-ის აუდიტებში: გამოყენებადობის დეკლარაცია არ შეესაბამება დანერგილ კონტროლის ზომებს, წვდომების გადახედვა არ ჩატარებულა, სარეზერვო ასლები არასოდეს შემოწმებულა და ინციდენტები არ აღრიცხულა.
თავად აუდიტზე
აუდიტორებისთვის დანიშნეთ თანმხლები პირი, მოამზადეთ ოთახი ან ვიდეოკავშირი და დარწმუნდით, რომ აუდიტის გეგმაში დასახელებული ადამიანები ხელმისაწვდომნი იქნებიან. უპასუხეთ დასმულ კითხვას და აჩვენეთ ჩანაწერი. თუ აუდიტორი შეუსაბამობას დააფიქსირებს, შეთანხმდით ფაქტებზე და დაგეგმეთ გამოსწორება. მნიშვნელოვანი შეუსაბამობები სერტიფიკატის გაცემამდე უნდა დაიხუროს და გადამოწმდეს, სასერტიფიკაციო ორგანოს მიერ დადგენილ ვადაში; უმნიშვნელო შეუსაბამობებისთვის საჭიროა მიღებული სამოქმედო გეგმა.
სასერტიფიკაციო ორგანოს არჩევანი გავლენას ახდენს იმაზე, რამდენად შეუფერხებლად ჩაივლის ეს პროცესი. იხილეთ როგორ ავირჩიოთ სასერტიფიკაციო ორგანო საქართველოში.
როგორ გეხმარებათ BALTUM-ი
ვამზადებთ შიდა აუდიტორებს, ვატარებთ დამოუკიდებელ შიდა აუდიტებს, ვუძღვებით ხელმძღვანელობის მიერ ანალიზს და ვატარებთ წინასწარ შეფასებას, რომელიც მეორე ეტაპის აუდიტის სიმულაციაა. ასევე გეხმარებით სასერტიფიკაციო აუდიტის დროს და მაკორექტირებელი ქმედებების განხორციელებაში. მეტი სტანდარტების შესახებ: ISO 27001 და ISO 9001.
შიდა აუდიტის ან წინასწარი შეფასების მოსაწყობად გამოიყენეთ ამ საიტის ფორმა ან მოგვწერეთ მისამართზე info@baltum.org.
ხშირად დასმული კითხვები
შეუძლია თუ არა გარე კონსულტანტს ჩვენი შიდა აუდიტის ჩატარება?
დიახ. სტანდარტები მოითხოვს კომპეტენტურ და მიუკერძოებელ შიდა აუდიტორებს და არა იმას, რომ ისინი თანამშრომლები იყვნენ. მცირე ორგანიზაციებში გარე აუდიტორი ხშირია, მაგრამ კონსულტანტმა, რომელმაც სისტემა ააგო, საკუთარი სამუშაოს აუდიტი არ უნდა ჩაატაროს.
რა ხდება, თუ აუდიტორი მეორე ეტაპზე მნიშვნელოვან შეუსაბამობას აღმოაჩენს?
სერტიფიკატი არ გაიცემა, სანამ შეუსაბამობა არ გამოსწორდება და სასერტიფიკაციო ორგანო გამოსწორებას არ გადაამოწმებს, რისთვისაც შეიძლება საჭირო გახდეს განმეორებითი ვიზიტი ან დოკუმენტების განხილვა.
