Audyty i zgodność — audyty i wymagania

W części Wymagania organizacja otrzymuje uporządkowaną listę obowiązków właściwych dla jej profilu, zakresu działalności i przyjętych ram zgodności. Każde wymaganie posiada opis wyjaśniający, czego dotyczy, dlaczego jest istotne, w jaki sposób może zostać spełnione oraz z jakiej podstawy wynika. Pozwala to przejść od samego przepisu lub normy do praktycznego sposobu jego realizacji.

Osoba odpowiedzialna za zgodność może dla każdego wymagania określić jego status, dodać komentarze oraz przypisać dowody potwierdzające realizację. Zmiany statusu są zapisywane w historii, dzięki czemu organizacja może wykazać nie tylko aktualny poziom zgodności, ale również sposób, w jaki dochodziła do spełnienia danego wymagania.

Część Audyty służy do planowania, prowadzenia i dokumentowania audytów oraz innych działań weryfikacyjnych. Pozwala rejestrować zakres audytu, oceniane obszary, ustalenia, niezgodności, obserwacje i zalecenia oraz monitorować ich dalszy status. Ustalenie ma priorytet, zalecenie i rekomendowany termin, a jego status wynika z zadań naprawczych — zamyka je CISO po weryfikacji skuteczności.

Audyt prowadzi się według programu audytów KSC Manager: przy rozpoczęciu zakres wymagań zamraża się razem z pytaniami audytowymi i podpowiedziami, jakim dowodem potwierdzić odpowiedź, a odpowiedzi na pytania dają propozycję oceny każdego wymagania i wynik procentowy audytu. Dowody audytowe — dokumenty, raporty, logi, zrzuty ekranu, próbki czy notatki z wywiadów — zapisuje się przy wymaganiu, obok dowodów zebranych wcześniej w zakładce Wymagania. Raport z audytu składa się sam z danych audytu — metryka, cel, zakres, kryteria, wyniki także według obszarów, ustalenia, zalecenia, zadania naprawcze, otwarte ryzyka i podsumowanie CISO — i ma wersję do druku, a audyt kończy się dopiero po potwierdzeniu osoby spoza roli CISO, np. członka zarządu — który może potwierdzić go sam, w systemie. Przy audycie ustawowym system zakłada zadanie przekazania raportu organowi z terminem 3 dni roboczych od jego otrzymania. Program audytów liczy się z profilu organizacji i dostawców: które programy obowiązują, kiedy audyt zintegrowany KSC/ISO zastępuje osobne audyty, audyt każdego dostawcy D1 i D2 (z wybranymi umowami dostawcy) oraz kolejny termin z cyklu — a CISO ustala pierwsze terminy, zmienia cykl i wyłącza pozycje z uzasadnieniem. Przed terminem system sam zakłada audyt z zadaniem dla prowadzącego, a po zmianie profilu pokazuje, jak zmienił się program. Po zamknięciu poważnego incydentu i po zatwierdzeniu nowego dostawcy krytycznego system proponuje audyt zdarzeniowy — CISO zakłada go jednym kliknięciem albo odrzuca z komentarzem.

Audyty są powiązane z wymaganiami i pozostałymi rejestrami KSC Manager, dzięki czemu wynik kontroli nie funkcjonuje jako odrębny dokument, lecz staje się częścią spójnego obrazu zgodności organizacji: każde wymaganie ma historię audytową z oceną i liczbą ustaleń, a bieżący status wymagania można zaktualizować z ostatniego audytu, z uzasadnieniem.