Як проходить аудит ISO: розповідає аудитор Кирило Проскурня

Мене звати Кирило Проскурня, я провідний аудитор ISO, і за роки практики я провів сотні аудитів — від стартапів на десять людей до міжнародних груп компаній. Найчастіше страх перед аудитом породжений незнанням того, як він насправді виглядає. Тож покажу процес зсередини.

До приїзду аудитора

Ще до аудиту ви отримуєте план: дати, аудитори, які процеси й підрозділи перевіряються в який час. Жодних раптових візитів — сертифікаційний аудит завжди погоджений заздалегідь. Компанія готує документацію та доступи, призначає супровідних.

День аудиту: як це виглядає

Аудит починається зі вступної наради: знайомство, підтвердження плану, правила. Далі — робота за процесами: я розмовляю з власниками процесів, дивлюся записи й системи, порівнюю сказане з задокументованим і з вимогами стандарту. Це не іспит із теорії — я не чекаю, що інженер цитуватиме пункти ISO 27001. Я дивлюся, чи людина знає свою роль: як повідомити про інцидент, де зберігати дані, кого повідомити про зміну.

Про що я питаю найчастіше

«Покажіть, як ви надаєте і забираєте доступи» — і дивимося реальні приклади;
«Що ви зробите, якщо помітите підозрілий лист?» — перевірка обізнаності;
«Покажіть останній інцидент і як його розібрали»;
«Як ви перевіряєте своїх підрядників?»

Заключна нарада і результат

Наприкінці — підсумки: сильні сторони, можливості для покращення, невідповідності (якщо є). Невідповідність — не вирок: на більшість дається час для коригувальних дій. Найтиповіші з них я зібрав у окремій статті.

Якщо ви готуєтеся до першого аудиту — почніть із розбору етапів Stage 1 і Stage 2 та чек-листа внутрішнього аудиту.

Читайте також

Автор — Кирило Проскурня (Kyrylo Proskurnya), провідний аудитор ISO та міжнародний експерт із систем менеджменту. Проводжу сертифікаційні та внутрішні аудити ISO 27001, ISO 9001, ISO 27701, ISO 42001 для компаній України, Європи та США. Про мене · Замовити консультацію