Odpowiedz na: Czynności doradcze

[mareksp]

O „akceptacji” nie powinno być mowy. Instrukcję i tak przecież wprowadzi w życie kierownik jednostki. Co do roli audytora, to moim zdaniem już samo wydanie zaleceń po wykonaniu zadania zapewniającego zawiera w sobie element doradczy. Jeśli Instrukcji dotąd nie było to zaopiniowanie jej projektu przez audytora może się odnosić do kompletności jej zawartości co do wymogów prawnych oraz czy odnosi się ona do ryzyk zidentyfikowanych w trakcie zadania audytowego. Jednocześnie przekazując opinię audytor powinien wskazać zakres w jakim dokonał oceny instrukcji oraz konieczność weryfikacji jej adekwatności i skuteczności przestrzegania po pewnym czasie jej stosowania przez osoby odpowiedzialne za bezpieczeństwo teleinformatyczne (najczęściej ABI). Jeśli instrukcja jest wynikiem zaleceń to takie „zaopiniowanie” może być potraktowane jako monitorowanie ich wykonaia lub nawet jako czynności sprawdzające.
Ważne jest też jaki rodzaj i sposób wykonywania czyności doradczych przewidziałeś w Karcie audytu. Jeśli nie ma tam jednoznacznych zapisów, to w zależności od własnej oceny możez uzasadnić przyjęcie do realizacji lub odmowę „opiniowania” instrukcji – tj. czy tego rodzaju zadanie możesz „zmieścić” w realizowanym planie audytu.
Opiniowanie merytoryczne instrukcji obiegu dokumentów przez audytora, wdług mnie nie, jest możliwe bez przeprowadzenia audytu.