Один день аудитора ISO: Проскурня Кирилл о работе изнутри

Меня часто спрашивают, как на самом деле выглядит день аудитора. Рассказываю на примере типичного дня аудита Stage 2 — от лица человека, который проводит их десятками в год. Я — Проскурня Кирилл, ведущий аудитор ISO.

08:30 — вводная встреча

Каждый аудит начинается с opening meeting: план дня, области, участники. Волнение команды на этом этапе нормально — о том, как оно снимается, я писал в статье как проходит аудит ISO.

09:00 — интервью с руководством

Первым делом смотрю вовлечённость топ-менеджмента: цели, ресурсы, management review. Если руководство «не в теме», это видно за десять минут.

10:30 — риски и SoA

Прошу показать реестр рисков и SoA, выборочно проверяю связку «риск → контроль → доказательство работы». Именно здесь чаще всего живут типичные несоответствия.

13:00 — «в полях»

После обеда — практика: доступы, резервные копии, физическая безопасность, логи. Смотрю живые системы, а не скриншоты в политиках.

16:30 — работа с находками

Каждую находку проговариваю с командой сразу: аудит — не экзамен с сюрпризом в конце. Затем классифицирую: наблюдение, minor, major.

17:30 — закрывающая встреча

Итоги дня, находки, следующие шаги. Хороший аудит заканчивается тем, что команда понимает, что и зачем улучшать — а не просто ждёт вердикта.