Методология
Методология на одитите
Одитите се извършват в съответствие с ISO 19011 – Насоки за одит на системи за управление, с риск-базиран и процесно ориентиран подход.
ISO/IEC 27001:2022ISO 9001:2015ISO/IEC 27701ISO/IEC 27017ISO/IEC 27018
Одитен подход
Методологията е приложима за вътрешни и GAP одити по следните стандарти:
ISO/IEC 27001:2022ISO 9001:2015ISO/IEC 27701ISO/IEC 27017ISO/IEC 27018
Основни принципи на одита
- независимост и обективност
- доказателствен подход (evidence-based auditing)
- проследимост на констатациите
- фокус върху ефективността, а не само формалното съответствие
- добавена стойност за организацията
Етапи на одитния процес
1. Планиране
- определяне на обхват и одитни критерии
- изготвяне и съгласуване на одитен план
- определяне на методи и график
2. Провеждане на одита
- интервюта с ключови роли
- преглед на документи и записи
- тестване на процеси и контроли
- събиране на обективни одитни доказателства
3. Одитни констатации
- идентифициране на несъответствия (NC)
- формулиране на наблюдения (Observations)
- дефиниране на възможности за подобрение (OFI)
- референции към приложимите клаузи и контроли
4. Докладване
- изготвяне на структуриран финален одитен доклад
- обобщена оценка на съответствието и ефективността
- ясни и приоритизирани препоръки
5. Follow-up
- последваща проверка на предприетите коригиращи действия (при договореност)
Одитни критерии и обхват
Одитните критерии се определят предварително и могат да включват:
- изискванията на приложимите ISO стандарти
- вътрешни политики, процедури и процеси
- законови и регулаторни изисквания
- договорни задължения и ангажименти към клиенти
Обхватът на одита се съгласува с клиента и се документира в одитния план.
Одитни техники и методи
В процеса на одит се използва комбинация от:
- интервюта
- преглед на документи и записи
- наблюдение на процеси
- извадково тестване на контроли
Всички констатации се базират на обективни и проверими доказателства, в съответствие с ISO 19011.
Документация и проследимост
По време на одита се поддържа документация, осигуряваща:
- проследимост между критерии, тестове и доказателства
- яснота и последователност на констатациите
- възможност за последваща проверка и анализ
Важно уточнение
Извършваните одити са вътрешни и GAP одити с консултантски характер и не представляват сертификационен одит или дейност на сертифициращ орган.