Spotkanie otwierające, będące integralną częścią procesu audytu wewnętrznego ISO 27001, jest przeprowadzane przez audytora wewnętrznego. Spotkanie to odbywa się w dniu audytu lub w innym wcześniej ustalonym terminie. Jego główne cele i procedury obejmują:

1. Rejestracja obecności: Audytor odnotowuje obecność wszystkich uczestników spotkania, w tym pełnomocnika zarządu ds. bezpieczeństwa informacji oraz kluczowego personelu.
2. Przedstawienie zespołu audytowego: W przypadku, gdy audyt przeprowadzany jest przez zespół, audytor przedstawia siebie i członków zespołu audytującego, w celu zapewnienia przejrzystości i wzajemnego poznania.
3. Omówienie zakresu i celów audytu: Audytor wyjaśnia zakres oraz główne cele przeprowadzanego audytu, zapewniając wszystkim uczestnikom jasne zrozumienie celów i oczekiwanych wyników.
4. Opis procesu audytu: Szczegółowe omówienie procesu audytu, w tym metodologii, etapów i oczekiwanych działaniach.
5. Przegląd rejestru niezgodności, działań korygujących i doskonalących: Audytor dokonuje przeglądu istotnych dokumentów, takich jak rejestr niezgodności i działań korygujących, aby zapewnić pełne zrozumienie dotychczasowych postępów i działań.
6. Wyjaśnienie wątpliwości i odpowiedzi na pytania: Audytor udziela wyjaśnień dotyczących wszelkich niejasnych aspektów procesu audytu oraz odpowiada na pytania uczestników, co przyczynia się do lepszego zrozumienia i przejrzystości całego procesu.
7. Potwierdzenie daty i godziny spotkania zamykającego: Ustalenie i potwierdzenie terminu spotkania zamykającego audyt pozwala na odpowiednie zaplanowanie kolejnych etapów procesu audytowego.

Każdy z tych elementów jest kluczowy dla zapewnienia efektywnego i skutecznego przebiegu audytu, a spotkanie otwierające stanowi ważny moment w procesie budowania współpracy i zrozumienia między audytorem a audytowaną organizacją.

Proces audytu wewnętrznego obejmuje szczegółową ocenę zaimplementowanego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), włączając w to analizę procedur operacyjnych i instrukcji, oraz ocenę ich zgodności z normą ISO 27001. Audytor korzysta z list kontrolnych do przeprowadzenia metodycznej analizy i ewaluacji SZBI.

Podczas audytu, audytor zbiera obiektywne dowody, wykorzystując metody takie jak rozmowy, analiza dokumentacji, obserwacja działań oraz warunków w obszarach objętych audytem. Wszystkie stwierdzone niezgodności i obszary możliwych ulepszeń muszą być dokumentowane w sposób klarowny i zwięzły, z oparciem o obiektywne dowody, nawet jeśli nie są one wprost wymienione na liście kontrolnej. Istotne jest, aby informacje uzyskane w trakcie rozmów były potwierdzane przez inne obiektywne źródła, takie jak obserwacje czy zapisy dokumentacyjne.

Informacje zebrane podczas audytu powinny być systematycznie dokumentowane na liście kontrolnej, obejmującej:

• Nazwę oraz numer procedury wraz z jej wersją;
• Zbadane obiektywne dowody;
• Obserwacje dotyczące adekwatności implementacji poszczególnych elementów;
• Stwierdzone niezgodności i uwagi;
• Aktualny status niezgodności, zgodnie z ostatnim raportem audytowym;
• Rekomendacje dotyczące udoskonalenia SZBI.

Po zakończeniu wszystkich etapów procesu audytowego, audytor zwołuje spotkanie zamykające z kluczowymi członkami personelu organizacji. Celem tego spotkania jest zapewnienie kompleksowego przeglądu i dyskusji na temat wyników audytu. Podczas spotkania zamykającego, należy uwzględnić następujące elementy:

1. Prezentację podjętych działań naprawczych w trakcie audytu wewnętrznego, wraz z omówieniem ich skuteczności i wpływu na ogólną wydajność systemu.
2. Szczegółowe przedstawienie wszystkich stwierdzonych niezgodności, wraz z ich charakterystyką i potencjalnymi skutkami dla organizacji.
3. Odpowiedzi na wszelkie pytania związane z przeprowadzonym audytem oraz wynikającymi z niego niezgodnościami, mające na celu wyjaśnienie wszelkich wątpliwości i zapewnienie jasności.
4. Informacje o planowanej dacie dostarczenia końcowego raportu z audytu, który będzie zawierał szczegółowe rekomendacje dotyczące dalszych działań.
5. Uzyskanie potwierdzenia od uczestników spotkania dotyczącego zrozumienia wszystkich stwierdzonych niezgodności oraz proponowanych możliwości doskonalenia, co jest kluczowe dla dalszego rozwoju i ulepszania systemu.

Znaczenie tego spotkania polega na zapewnieniu przejrzystości i zrozumienia wyników audytu, a także na ustaleniu dalszych kroków, które organizacja powinna podjąć w celu ciągłego doskonalenia swojego SZBI.

Po zakończeniu procesu audytu wewnętrznego, audytor sporządza szczegółowy raport audytowy. Raport ten zawiera kompleksowy przegląd stwierdzonych niezgodności oraz wskazuje na możliwości doskonalenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), wraz z odpowiednimi rekomendacjami.

Niezgodności identyfikowane w raporcie można sklasyfikować w następujący sposób:

1. Poważna niezgodność: Jest to znaczące odstępstwo od wymagań normy ISO 27001, które może obejmować braki w udokumentowanej informacji lub błędy w identyfikacji, ocenie i postępowaniu z ryzykiem.
2. Drobna niezgodność: To mniejsze odstępstwo od normy, które może dotyczyć drobnych błędów technicznych lub wad, mających ograniczony wpływ na ryzyko i bezpieczeństwo informacji.
3. Możliwości poprawy: Propozycje ulepszeń, które mogą dalej wzmacniać efektywność SZBI.
4. Mocne strony: Aspekty przekraczające wymagania normy, które wyróżniają i wspomagają SZBI.

Równie ważne jest, aby zarówno poważne, jak i drobne niezgodności były adresowane poprzez zaplanowanie i zaimplementowanie odpowiednich działań korygujących.

Raport z audytu powinien zawierać:

• Numer referencyjny audytu;
• Datę przeprowadzenia audytu;
• Nazwę audytowanego działu lub procesu;
• Imię i nazwisko osoby/ osób audytowanych oraz audytorów;
• Zestawienie ustaleń, obejmujące wszystkie stwierdzone niezgodności, potencjały oraz pozytywne ustalenia, wraz z rekomendacjami;
• Odniesienie do obowiązującego systemu i norm zarządzania bezpieczeństwem informacji.

Gotowy raport zostaje przekazany do pełnomocnika zarządu ds. bezpieczeństwa informacji, celem dalszej analizy i wdrożenia zaleceń.

Działania poaudytowe w ramach audytu wewnętrznego ISO 27001 rozpoczynają się od dokładnej analizy i przeglądu raportu audytowego przez pełnomocnika zarządu ds. bezpieczeństwa informacji, który ocenia stwierdzone niezgodności i rekomendacje. Następnie opracowywany jest szczegółowy plan działań korygujących, mający na celu rozwiązanie zaobserwowanych problemów i wzmocnienie systemu zarządzania bezpieczeństwem informacji. Po wdrożeniu tych działań, ich realizacja jest monitorowana, a skuteczność oceniana, aby zapewnić, że wszystkie niezgodności zostały skutecznie zaadresowane. Wszelkie wprowadzone zmiany i ulepszenia są dokładnie dokumentowane, a system jest aktualizowany, co ma na celu odzwierciedlenie wdrożonych poprawek i zabezpieczenie przed podobnymi problemami w przyszłości. Na zakończenie procesu, organizacja przeprowadza przegląd skuteczności wdrożonych działań, co może prowadzić do kolejnych cykli audytowych i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji.

To zależy od zakresu audytu oraz od tego, czy obejmuje on wiele lokalizacji lub funkcji biznesowych, które wchodzą w zakres audytu. Czas musi być również uwzględniony na zbieranie dowodów, pisanie raportu z audytu wraz ze wszelkimi ustaleniami audytowymi i niezgodnościami, które mogą zostać zidentyfikowane.

Raport z audytu ISO 27001 pozostaje ważny do czasu przeprowadzenia kolejnego audytu, który ma zostać wykonany zgodnie z rocznym planem audytów lub do momentu wystąpienia znaczących zmian danego procesu w systemie, które mogłyby wpłynąć na stan bezpieczeństwa informacji w organizacji.

Jeśli to Twój pierwszy audyt certyfikacyjny, będziesz musiał przeprowadzić audyt wewnętrzny całego systemu zarządzania i mieć dowód na to w postaci raportu przed audytem certyfikującym. Po tym większość audytorów certyfikacyjnych pozwala na przeprowadzenie audytu wewnętrznego systemu zarządzania w ciągu trzyletniego okresu recertyfikacji, który będzie zarządzany zgodnie z programem audytu wewnętrznego ustalonym przez Twoją organizację (cyklicznie, raz do roku lub przy większych zmianach danego procesu, systemu zarządzania bezpieczeństwem informacji).

Wymóg standardu jest taki, że organizacja określa plan audytu obejmujący okres czasu, zwykle organizacje przygotowują roczny harmonogram audytu, pokazujący, które funkcje lub obszary standardu mają być audytowane w określonym czasie. Audyty wewnętrzne powinny być przeprowadzane zgodnie z harmonogramem audytu.

Audyty wewnętrzne są wymogiem standardu ISO27001, dokładniej klauzuli 9.2. Audytor certyfikacyjny zweryfikuje, czy przeprowadzasz audyty wewnętrzne zgodnie z harmonogramem audytu, czy dostarczasz odpowiednie dowody audytowe (raporty i wszelkie niezgodności) oraz czy program audytowy jest zarządzany. Organizacje certyfikujące sprawdzą również, czy wyniki audytów są przeglądane na spotkaniach przeglądu zarządzania, aby zidentyfikować obszary słabości lub obszary do poprawy.

To nie jest wymóg, jednak wymagane jest, aby audytor wewnętrzny był niezależny od systemu zarządzania. Oznacza to, że jeśli pracowałeś nad wdrażaniem całego lub części systemu zarządzania, nie możesz audytować swojej własnej pracy. Dlatego wiele organizacji uznaje za łatwiejsze zlecić to na zewnątrz, aby zapewnić zgodność.

To również nie jest wymóg, jednak im większe doświadczenie i wiedza posiada Twój audytor wewnętrzny, tym lepszy będzie audyt wewnętrzny. Od wiedzy, co szukać, jakie pytania zadawać działom, po zapewnienie kompleksowego audytu, który będzie odpowiadał audytorom certyfikacyjnym, aby nie było niemiłych niespodzianek na audycie certyfikacyjnym.

Norma ISO 27001 zawiera szereg wymogów, które należy spełnić. Audyt wewnętrzny nie jest jednorazową czynnością. Musi być przeprowadzony przed audytem certyfikacyjnym ISO 27001, aby stwierdzić, czy organizacja jest gotowa na audyt, a także po udanej certyfikacji (ale przed audytem recertyfikacyjnym), aby ocenić, czy System Zarządzania Bezpieczeństwem Informacji nadal spełnia standard ISO 27001.

Zakres audytu wewnętrznego ISO 27001 może obejmować cały ISMS lub wybrane procesy w zależności od potrzeb organizacyjnych, złożoności i poziomów zgodności.