Sind Sie Audit-Ready?
Autoren: Ki James und John Boyer
Als Sie die Überschrift dieses Artikels zum ersten Mal gelesen haben, haben Sie wahrscheinlich geschaudert und sofort an Ihre Finanzprüfung gedacht. Die mögen beängstigend sein, aber was ist Compliance Audits?
Sind Sie auf eine Überprüfung der Einhaltung vertraglicher und behördlicher Anforderungen durch Ihr Unternehmen vorbereitet?
Ein Compliance-Audit überprüft Ihre internen Kontrollen, Sicherheitsrichtlinien, Benutzerzugriffskontrollen und Ihr Risikomanagement. Die Chancen stehen gut, dass Sie haben einige Arten von Richtlinien vorhanden, aber ein Compliance-Audit in Bezug auf (zum Beispiel) den Health Insurance Portability and Accountability Act (HIPAA) wird bestätigen, dass Ihre Organisation hat konsequent durchgesetzt Richtlinien und Kontrollen, nicht nur, dass sie in den Büchern stehen.
Die genaue Art eines Compliance-Audits hängt von der Art ab, besteht jedoch häufig darin, nachzuweisen, dass der Zugriff auf Aufzeichnungen sicher ist und dass die Daten in Ihrer Analyse- und Berichtsumgebung auf das erforderliche Personal beschränkt sind.
Das Problem
Die Bereitstellung eines guten und gültigen Nachweises der Einhaltung kann sehr mühsam sein. Konzentrieren wir uns zu Demonstrationszwecken auf ein bestimmtes Beispiel.
Jede Produktionsumgebung sollte eine haben digital Papier Spur. Es sollte mit der Ideenfindung beginnen, sich durch Tests und Fehlerbeseitigung fortsetzen, seinen Weg über die Lösung hinaus finden und mit der Genehmigung des endgültigen, fertigen Produkts enden.
Dieser letzte Schritt – die endgültige Genehmigung – ist ein Favorit von Wirtschaftsprüfern. Sie könnten fragen: „Können Sie mir zeigen, wie Sie bestätigen, dass alle Berichte in der Produktionsumgebung Ihrem dokumentierten Prozess entsprechen?“
Sie müssten dann eine Liste von bereitstellen alles, migrierter Bericht.
Warum das wichtig ist
Die Bereitstellung der erforderlichen und ausreichenden Informationen für Prüfer kann entmutigend sein, insbesondere wenn es sich um einen manuellen Prozess handelt – umso mehr, wenn Sie diesen Anlass nicht geplant haben.
Es ist wichtig, dass Sie nicht nur Ihre Richtlinien festlegen und befolgen, sondern auch Mechanismen aufrechterhalten, um die Einhaltung Ihrer eigenen Standards zu validieren und nachzuweisen.
Sie müssen zumindest darauf vorbereitet sein, eine überprüfbare Aufzeichnung darüber bereitzustellen, wer auf was zugegriffen hat, welche Änderungen an der Umgebung vorgenommen wurden, alle Berichte, die von Personen erstellt wurden, wer die Berichte erstellt hat und wie jedes Asset in der Produktionsumgebung ordnungsgemäß durch die Hände von Entwicklern und QA gegangen ist .
Die Strategien
„Bereit“ für ein Audit zu sein, kann verschiedene Formen annehmen, von denen einige einen höheren Aufwand bedeuten und Sie eher vor Ärger bewahren als andere. Hier ist eine Rangliste von einigen, aber nicht allen, in der Reihenfolge immer besserer Optionen.
Chaos und Chaos
Es ist möglich, dass Sie, lieber, unglücklicher Leser, durch diesen Artikel zu der Erkenntnis gelangt sind, dass Sie kläglich unvorbereitet sind, um zu beweisen, dass Sie keine schwerwiegenden HIPAA-Verstöße zur Zufriedenheit eines Wirtschaftsprüfers begehen.
Wenn dies der Fall ist, kann es zu spät sein, je nachdem, wie lange Ihr willkürlicher Status quo geherrscht hat. Möglicherweise befinden Sie sich in der unglücklichen Lage, nach allen möglichen Informationsfetzen zu suchen.
Dies ist eine erprobte und wahre Methode, die sich im Laufe der Zeit als katastrophal erwiesen hat.
Wenn Sie vorhaben, Ihr Risiko einzugehen und auf diese Strategie zu setzen, tun Sie es einfach nicht. Dein zukünftiges Ich wird es dir danken.
Blut, Schweiß und Tränen
Traditionell haben Unternehmen akribisch Aufzeichnungen über alles geführt, was durch Grit und Arbeit passiert. In irgendeinem Ordner in ihrem System gibt es handgeschriebene (oder von Hand getippte) Tabellenkalkulationen und Dokumente, die alles detailliert beschreiben, was ein Prüfer möglicherweise wissen muss.
Wenn Sie versuchen, sich aus der Chaos- und Chaos-Strategie zu befreien, ist dies möglicherweise der beste Einstieg. Anstatt darauf zu warten, alle wichtigen Informationen unter dem schrecklichen Blick eines Prüfers zu finden, können Sie alles, was Sie haben, ausgraben und in einer zumindest halbwegs akzeptablen Aufzeichnung zusammenstellen, während Sie Zeit haben.
Unabhängig davon, ob diese Strategie Ihre tägliche Norm ist oder die Art und Weise, wie Sie schlechte Gewohnheiten ablegen möchten, empfehlen wir Ihnen den folgenden Plan, damit Sie so bald wie möglich beginnen können.
Software zur Versionskontrolle
Durch eine ganzheitliche Versionskontrolle über alle Teile Ihres Unternehmens hinweg, nicht nur über Repos, wo sie vorgefertigt geliefert werden, läuft dieser gesamte Prozess im Wesentlichen von selbst ab. Wenn Benutzer Änderungen an irgendetwas vornehmen, wird automatisch aufgezeichnet, wer die Änderung zu welcher Zeit vornimmt, welche Verfahren befolgt wurden, die ganzen neun Meter.
Wenn die Prüfer an Ihre Tür klopfen und wissen wollen, was passiert ist, können Sie einfach auf Ihren internen Versionsverlauf zurückgreifen. Sie müssen nicht nach Beweisen suchen, Sie müssen keine Stunden damit verschwenden, Informationen in einer Tabellenkalkulation aufzuzeichnen – die Software erledigt die Arbeit für Sie. Sie können sich einfach darauf konzentrieren, wo es am wichtigsten ist.
Versionskontrollsoftware hat auch einige andere große Vorteile; nämlich die Möglichkeit, zu früheren Versionen zurückzukehren. Dies kann eine enorme Lebensqualität sein, insbesondere für Programme, die diese Funktionalität sonst nicht hatten.
Die Fähigkeit, umfassend und genau auf präzise Versionen zurückzusetzen, gibt Ihnen auch eine Sicherheitsdecke vor Dingen wie Ransomware, bei denen das Löschen Ihrer Maschinen eine Notwendigkeit sein könnte, um das Geschäft wieder aufzunehmen. Anstatt alle Ihre Aufzeichnungen oder sogar das Projekt selbst zu verlieren, können Sie einfach die Versionskontrolle konsultieren, die neueste Option auswählen und bumsen, Sie sind wieder im Geschäft.
Zusammenfassung
Audits müssen keine schrecklichen Gespenster sein, die über Ihrem Unternehmen auftauchen und darauf warten, jede Dynamik, die Sie haben, zu zerstören. Wenn Sie die richtigen Vorkehrungen treffen und eine gute Versionskontrollsoftware erwerben, können der Stress eines Audits und die Mühsal der Aufzeichnungen verschwinden, wie Tränen im Regen.
