¿Está listo para la auditoría?
Autores: Ki James y John Boyer
Cuando leyó por primera vez el título de este artículo, probablemente se estremeció e inmediatamente pensó en su auditoría financiera. Esos pueden dar miedo, pero ¿qué pasa con compliance auditorías?
¿Está preparado para una revisión del cumplimiento de su organización con los requisitos contractuales y reglamentarios?
Una auditoría de cumplimiento revisa sus controles internos, políticas de seguridad, controles de acceso de usuarios y gestión de riesgos. Las posibilidades son altas de que usted tiene algo tipo de políticas vigentes, pero una auditoría de cumplimiento relacionada con (por ejemplo) la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA) validará que su organización ha consistentemente aplicado políticas y controles, no solo que están en los libros.
La naturaleza exacta de una auditoría de cumplimiento dependerá del tipo, pero a menudo consiste en demostrar que el acceso a los registros es seguro y que los datos en su entorno de análisis e informes están restringidos al personal necesario.
El problema
Proporcionar una prueba buena y válida de la adherencia puede ser un gran dolor. Con fines demostrativos, centrémonos en un ejemplo específico.
Todo entorno de producción debe tener un digital rastro de papel. Debe comenzar con la ideación, continuar con las pruebas y la corrección de errores, encontrar su camino más allá de la resolución y terminar con la aprobación del producto final y completo.
Ese último paso, la aprobación final, es uno de los favoritos de los auditores. Podrían preguntar: "¿Puede mostrarme cómo confirma que todos los informes en el entorno de producción se han adherido a su proceso documentado?"
A continuación, tendría que proporcionar una lista de cada informe migrado.
Por qué esto es importante
Proporcionar a los auditores la información necesaria y suficiente puede ser desalentador, especialmente cuando se trata de un proceso manual, incluso más si no ha planificado la ocasión.
Es importante no solo establecer y seguir sus políticas, sino también mantener mecanismos para validar y demostrar el cumplimiento de sus propios estándares.
Como mínimo, debe estar preparado para proporcionar un registro auditable de quién accedió a qué, qué cambios se realizaron en el entorno, todos los informes que hizo la gente, quién hizo los informes y cómo cada activo en el entorno de producción pasó a través del desarrollador y las manos de control de calidad de manera adecuada. .
Las estrategias
Estar "listo" para una auditoría puede presentarse en múltiples formas diferentes, algunas de las cuales requieren un mayor esfuerzo y es más probable que lo mantengan fuera de problemas que otras. Aquí hay una clasificación de algunos, pero no todos, en orden de opciones cada vez mejores.
Caos y caos
Es posible que usted, querido y desafortunado lector, a través de este artículo se haya dado cuenta de que lamentablemente no está preparado para demostrar que no comete graves violaciones de la HIPAA a satisfacción de un auditor.
Si este es el caso, puede ser demasiado tarde dependiendo de cuánto tiempo haya reinado su statu quo fortuito. Es posible que se encuentre en la desafortunada posición de luchar para encontrar cualquier fragmento de información que pueda.
Este es un método probado y verdadero que ha demostrado a lo largo de los anales del tiempo tener resultados desastrosos.
Si planea arriesgarse y apuntar a esta estrategia, simplemente no lo haga. Tu futuro yo te lo agradecerá.
Sangre, sudor y lágrimas
Tradicionalmente, las empresas han mantenido registros meticulosos de todo lo que sucede a través del valor y el trabajo. En alguna carpeta de su sistema, hay hojas de cálculo y documentos escritos a mano (o mecanografiados a mano) que detallan todo lo que un auditor podría necesitar saber.
Si está tratando de salir de la estrategia Chaos and Mayhem, esta puede ser su mejor opción para comenzar. En lugar de esperar a revolver y encontrar toda la información clave bajo la terrible mirada de un auditor, puede desenterrar todo lo que tiene y compilarlo en un registro al menos semiaceptable de forma manual mientras tenga tiempo.
Sea o no esta estrategia su norma del día a día o la forma en que planea romper con los malos hábitos, le recomendamos el siguiente plan para que comience tan pronto como le sea posible.
Software de control de versiones
Tener un control holístico de la versión en todas las partes de su negocio, no solo en los repositorios donde viene preempaquetado, hace que todo este proceso se maneje esencialmente solo. A medida que los usuarios realicen cambios en cualquier cosa, automáticamente registrará en silencio quién realiza el cambio, a qué hora, qué procedimientos se siguieron, las nueve yardas completas.
Cuando los auditores llamen a su puerta y quieran saber qué sucedió, puede consultar su historial de versiones internas. No necesitará luchar para encontrar pruebas, no necesitará perder horas en una hoja de cálculo registrando información: el software hace el trabajo por usted. Puedes concentrarte donde más importa.
El software de control de versiones también tiene otros grandes beneficios; a saber, la capacidad de revertir a versiones anteriores. Esta puede ser una gran característica de calidad de vida, particularmente para programas que de otro modo no tendrían esta funcionalidad.
Tener la capacidad de retroceder de manera completa y precisa a versiones precisas también le brinda una manta de seguridad contra cosas como el ransomware, donde limpiar sus máquinas puede ser una necesidad para comenzar a operar el negocio nuevamente. En lugar de perder todos sus registros o incluso el proyecto en sí, simplemente puede consultar el control de versiones, elegir la opción más reciente y ¡bada boom! Está de vuelta en el negocio.
Conclusión
Las auditorías no tienen que ser espectros aterradores que se ciernen sobre su negocio, esperando aplastar cualquier impulso que tenga. Si toma las precauciones adecuadas y adquiere un buen software de control de versiones, entonces el estrés de una auditoría y el trabajo duro del mantenimiento de registros pueden desaparecer, como lágrimas en la lluvia.
