Sådan forbereder du en intern audit i familievirksomheden

Annonce – sponsoreret indhold.

Når du som selvstændig forælder pludselig skal gennemføre en intern audit ISO 27001, fordi en kunde stiller krav, eller fordi du vil have styr på informationssikkerheden, er det vigtigste at se opgaven som en række små, planlagte skridt. En intern audit er en systematisk, dokumenteret gennemgang af, om jeres informationssikkerhed fungerer, som I har besluttet, og om den lever op til standardens krav. Den kan tages i bidder af en times tid, så den ikke æder aftener og weekender.

Hvad en intern audit ISO 27001 konkret kræver af en lille virksomhed

ISO 27001 er den internationale standard for et ledelsessystem for informationssikkerhed. I Danmark udgives den af Dansk Standard. Standarden stiller i punkt 9.2 krav om, at organisationen med planlagte mellemrum gennemfører interne audits. Formålet er at undersøge to ting: Lever jeres system op til både standardens og jeres egne krav? Og er det faktisk implementeret og i brug, eller står det bare i en mappe?

Mange tror, at en audit er en teknisk it-test. Det er den ikke. Du gennemgår primært, om det, I har skrevet, også er det, I gør. Har I en politik for adgangsstyring, skal du kunne se, at den bliver fulgt. Har I besluttet, at backup testes jævnligt, skal der ligge dokumentation for, at det sker. Derfor handler en intern audit ISO 27001 mere om dokumentation, evidens og ansvar end om avanceret teknik. Det er godt nyt for dig, der driver virksomhed ved siden af børn og arbejde.

En intern audit består typisk af disse elementer:

• Auditprogram og -plan: Hvad skal auditeres, hvornår, og af hvem?
• Auditkriterier: Standardens krav, jeres egne politikker og eventuelle kundekrav.
• Evidens: Dokumenter, logs, interviews og stikprøver, der viser, hvordan det fungerer i praksis.
• Afvigelser og observationer: Det, der ikke lever op til kravene, og det, der kan forbedres.
• Rapport og opfølgning: En kort skriftlig konklusion og en plan for at rette fejlene.

Auditten bygger på, at I allerede har et ledelsessystem med en risikovurdering, en anvendelighedserklæring (SoA) og relevante kontroller fra standardens Annex A. Mangler I stadig de dele, er det en GAP-analyse, der skal tages først. Den viser, hvor langt I er fra kravene, og er et bedre første skridt end en audit.

Hvorfor den interne audit er et centralt skridt mod certificering og kundekrav

Den interne audit er ikke en formalitet, man kan springe over. En akkrediteret certificeringsvirksomhed forventer at kunne se, at I har gennemført både en intern audit og en ledelsesgennemgang, før den eksterne audit finder sted. Den interne audit fungerer som en generalprøve. Her opdager I selv de huller, som ellers ville dukke op, når certificeringsauditoren er på besøg.

Også uden planer om certificering har den stor værdi. Mange mindre virksomheder oplever, at en større kunde, en offentlig myndighed eller en samarbejdspartner kræver dokumentation for et struktureret arbejde med informationssikkerhed. Kunden spørger sjældent kun, om I har en politik. Den vil vide, om I følger den, og hvordan I kontrollerer det. En gennemført intern audit med en rapport og en handlingsplan er et stærkt svar på netop det spørgsmål.

For en familievirksomhed har det desuden en praktisk gevinst. Når rollerne er tydelige, og processerne er skrevet ned, bliver virksomheden mindre afhængig af, at du husker alt. Det er en lettelse, når du en uge har sygt barn hjemme, eller når en partner eller et familiemedlem skal træde ind i driften.

Sådan forbereder du auditten, så den passer til familiens kalender

Den største fejl er at sætte en hel weekend af til “at få det overstået”. Det går næsten altid galt: Børnene har fødselsdage, træning eller brug for en forælder, og weekenden ender med at blive en dårlig blanding af arbejde og dårlig samvittighed. Del i stedet forløbet i korte, afgrænsede blokke.

Trin 1: Afklar omfang og krav (én aften)

Beslut, hvad auditten skal dække. Er det hele jeres ledelsessystem eller kun en afgrænset del? Find kundekravene frem, og noter, hvilke af dem der skal kunne dokumenteres. Skriv omfanget ned på en enkelt side. Det er grundlaget for alt det følgende.

Trin 2: Læg et auditprogram ind i kalenderen (30-60 minutter)

Åbn familiekalenderen og find de perioder, hvor der er luft. Undgå skoleferier, efterårsferie, vinterferie og de uger, hvor der er forældresamtaler, skolehjem-aftaler eller stævner. Fordel auditten over flere uger, og book blokkene med dig selv, som du ville gøre med et kundemøde. Hold dem i tidsrum, hvor du er frisk. Det kan være formiddagen, mens børnene er i institution eller skole, frem for sent på aftenen, når du er træt.

Trin 3: Vælg en upartisk auditor

Standarden kræver, at auditorerne er objektive og upartiske. Du kan ikke auditere dit eget arbejde. Har du selv opbygget systemet, bør en anden gennemgå det. I en lille virksomhed kan det være en kollega, en betroet samarbejdspartner eller en ekstern. Mangler du en neutral person, er det en af de situationer, hvor ekstern hjælp giver mest mening.

Trin 4: Lav en simpel tjekliste

Brug standardens krav og jeres egen anvendelighedserklæring som udgangspunkt. Lav en tjekliste med tre kolonner: kravet, den evidens I forventer at finde, og resultatet. Køb standarden hos Dansk Standard, så du arbejder med den gældende version, og lad være med at stole på tredjehåndsgengivelser.

Trin 5: Indsaml evidens i små bidder

Brug en blok ad gangen på ét emne, for eksempel adgangsstyring, leverandører, backup, hændelseshåndtering eller medarbejderes uddannelse. Se på konkrete eksempler: Hvem fik adgang til systemet sidste gang, der kom en ny medarbejder? Hvornår blev en backup sidst gendannet som test? Hvad skete der ved den sidste sikkerhedshændelse, og blev den registreret?

Trin 6: Skriv afvigelser ned med det samme

Notér fund, mens du har dem frisk. Beskriv hvad du så, hvilket krav det vedrører, og hvorfor det er en afvigelse. Vent ikke til weekenden med at skrive det rent. Du glemmer detaljer, og det bliver dobbeltarbejde.

Trin 7: Rapportér og lav en handlingsplan

Saml fundene i en kort rapport. For hver afvigelse skal der være en ansvarlig, en frist og en beskrivelse af, hvordan årsagen rettes. Det knytter sig til standardens krav om korrigerende handlinger. Præsentér rapporten for ledelsen, som i en familievirksomhed ofte er dig selv og din partner. Husk også at holde ledelsesgennemgangen, som er et selvstændigt krav i standarden.

Typiske fejl, når familievirksomheder gennemfører auditten

Nogle fejl går igen i mindre virksomheder. Det er godt at kende dem på forhånd:

• Auditor og systemejer er samme person. Det er den hyppigste svaghed og ofte det første, en certificeringsauditor lægger mærke til.
• Dokumenter uden praksis. En flot politik er værdiløs, hvis ingen kan vise, at den bliver brugt.
• Hele auditten klemt ind på ét tidspunkt. Det giver overfladiske fund og en træt forælder.
• Ingen opfølgning. Afvigelser, der aldrig bliver lukket, er en rød lampe ved en ekstern audit.
• Privat og forretning flyder sammen. I en familievirksomhed deles computere, telefoner, skyopbevaring og e-mailkonti tit på tværs af hjem og virksomhed. Det skal indgå i risikovurderingen, for eksempel hvis børnene bruger den samme pc, eller hvis familiemedlemmer har adgang til virksomhedens filer.
• Leverandører glemmes. Bogholder, it-support, webhotel og andre eksterne parter har ofte adgang til data og skal med i gennemgangen.

Har du nogle af disse udfordringer i den almindelige hverdag, kan det være en idé at læse mere om, hvordan du driver virksomhed som forælder, uden at familien betaler prisen. De samme principper om afgrænsning og realistisk planlægning gælder her.

Hvornår kan det betale sig at hente en ekstern specialist ind?

Mange kan gennemføre en intern audit på egen hånd, især hvis systemet er enkelt, og virksomheden er lille. Men der er situationer, hvor ekstern hjælp sparer både tid og fejl:

• Du ved ikke, hvor I står. Før I kan auditere, skal der være noget at auditere. En GAP-analyse viser, hvilke krav I opfylder, og hvilke I mangler.
• Der mangler en upartisk auditor. Når alle opgaver ligger hos dig, er en ekstern auditor den enkleste løsning på kravet om objektivitet.
• Tidsfristen er stram. Har en kunde sat en frist, eller er certificeringsauditen booket, kan en specialist forkorte vejen.
• Risikovurderingen er uklar. Standarden bygger på risici. Er du usikker på, hvordan du identificerer informationsaktiver og vurderer risici, er det bedre at få hjælp tidligt end at rette op senere.
• Du er i tvivl om, hvad kunden egentlig kræver. En specialist kan hjælpe med at oversætte kundens krav til konkrete indsatser.

Nesp.ONE tilbyder blandt andet en foranalyse med GAP-analyse, modenhedsvurdering og kortlægning af de vigtigste risici. Resultatet er en prioriteret handlingsplan, og en specialist gennemgår resultaterne med jer. Foranalysen starter fra 10.000 DKK, og du kan også få en uforpligtende samtale eller en gratis gennemgang på 15 minutter, hvis du først vil vide, om det er relevant. Overvej, om beløbet står mål med den risiko, det er at miste en kunde, eller med den tid, du ellers selv skulle bruge.

Sådan holder du overblikket efter auditten

Informationssikkerhed er ikke et engangsprojekt. ISO 27001 bygger på løbende forbedring, så auditten skal gentages med planlagte mellemrum. Lav et årshjul med faste tidspunkter for risikovurdering, intern audit og ledelsesgennemgang. Læg dem ind i kalenderen på tidspunkter, hvor virksomhedens og familiens travlhed er lavere, og undgå de uger, hvor der alligevel er mange aftaler.

Gem rapporter, handlingsplaner og beviser samlet et sted med en tydelig navngivning. Næste gang bliver det meget lettere, fordi du ikke starter forfra. Overvej også at dele opgaver ud, så systemet ikke hviler på din hukommelse alene. Det gør virksomheden mere robust, og det giver dig ro til at være til stede, når du har fri.

Ofte stillede spørgsmål

Skal vi have en intern audit, før vi kan blive ISO 27001-certificeret?

Ja. Standarden kræver, at organisationen gennemfører interne audits, og certificeringsvirksomheden vil forvente at se dokumentation for det. Det gælder sammen med ledelsesgennemgangen, som også skal være på plads, før den eksterne audit gennemføres.

Kan jeg auditere mit eget system, hvis jeg er alene i virksomheden?

Standarden kræver objektivitet og upartiskhed, så det er problematisk at auditere sit eget arbejde. I en meget lille virksomhed løser mange det ved at bruge en ekstern auditor til netop denne opgave, mens resten af arbejdet foregår internt.

Hvor lang tid tager en intern audit?

Det afhænger af virksomhedens størrelse, omfanget af ledelsessystemet og hvor godt dokumentationen er organiseret. Derfor er det bedst at dele arbejdet op i korte blokke og planlægge efter, hvor mange emner der skal gennemgås, frem for at gætte på et samlet timetal.

Hvad er forskellen på en GAP-analyse og en intern audit?

En GAP-analyse sammenligner jeres nuværende niveau med standardens krav, før I har et fuldt ledelsessystem, og resultatet er en handlingsplan. En intern audit gennemføres, når systemet er indført, og kontrollerer, om det fungerer og efterleves i praksis.