Êtes-vous prêt pour l'audit ?
Auteurs : Ki James et John Boyer
Lorsque vous avez lu le titre de cet article pour la première fois, vous avez probablement frémi et pensé immédiatement à votre audit financier. Ceux-ci peuvent être effrayants, mais qu'en est-il conformité audits ?
Êtes-vous prêt pour un examen du respect par votre organisation des exigences contractuelles et réglementaires ?
Un audit de conformité examine vos contrôles internes, vos politiques de sécurité, vos contrôles d'accès des utilisateurs et votre gestion des risques. Il y a de fortes chances que vous ayez quelques type de politiques en place, mais un audit de conformité lié (par exemple) à la loi HIPAA (Health Insurance Portability and Accountability Act) validera que votre organisation a systématiquement appliqué politiques et contrôles, pas seulement qu'ils sont dans les livres.
La nature exacte d'un audit de conformité dépendra du type, mais consiste souvent à démontrer que l'accès aux enregistrements est sécurisé et que les données de votre environnement d'analyse et de reporting sont limitées au personnel nécessaire.
Le problème
Fournir une preuve d'adhésion bonne et valide peut être très pénible. À des fins de démonstration, concentrons-nous sur un exemple précis.
Chaque environnement de production doit avoir un digital piste de papier. Il doit commencer par l'idéation, se poursuivre par les tests et la correction des bogues, trouver son chemin au-delà de la résolution et se terminer par l'approbation du produit final et terminé.
Cette dernière étape - l'approbation finale - est l'une des préférées des auditeurs. Ils pourraient demander : "Pouvez-vous me montrer comment vous confirmez que tous les rapports de l'environnement de production ont adhéré à votre processus documenté ?"
Vous devrez alors fournir une liste de chaque rapport migré.
Pourquoi c'est important
Fournir aux auditeurs les informations nécessaires et suffisantes peut être intimidant, en particulier lorsqu'il s'agit d'un processus manuel - encore plus si vous n'avez pas prévu l'occasion.
Il est important non seulement d'établir et de suivre vos politiques, mais aussi de maintenir en place des mécanismes pour valider et prouver le respect de vos propres normes.
Au minimum, vous devez être prêt à fournir un enregistrement auditable de qui a accédé à quoi, quelles modifications ont été apportées à l'environnement, tous les rapports rédigés par les personnes, qui a rédigé les rapports et comment chaque actif de l'environnement de production est passé entre les mains du développeur et de l'assurance qualité de manière appropriée. .
Les stratégies
Être « prêt » pour un audit peut prendre plusieurs formes différentes, dont certaines nécessitent un effort plus important et sont plus susceptibles de vous éviter des ennuis que d'autres. Voici un classement de certains mais pas tous par ordre d'options de plus en plus meilleures.
Chaos et chaos
Il est possible que vous, cher, malheureux lecteur, à travers cet article, vous soyez rendu compte que vous n'êtes malheureusement pas préparé à prouver que vous ne commettez pas de graves violations de la loi HIPAA à la satisfaction d'un auditeur.
Si tel est le cas, il peut être trop tard selon la durée pendant laquelle votre statu quo aléatoire a régné. Vous pouvez vous retrouver dans la position malheureuse de vous démener pour trouver les bribes d'informations que vous pouvez.
Il s'agit d'une méthode éprouvée qui a fait ses preuves à travers les annales du temps pour avoir des résultats désastreux.
Si vous envisagez de tenter votre chance et de viser cette stratégie, ne le faites tout simplement pas. Votre futur moi vous remerciera.
Sang, sueur et larmes
Traditionnellement, les entreprises ont conservé des registres méticuleux de tout ce qui se passe grâce au courage et au travail. Dans certains dossiers de leur système, il y a des feuilles de calcul manuscrites (ou dactylographiées) et des documents détaillant tout ce qu'un auditeur pourrait avoir besoin de savoir.
Si vous essayez de vous sortir de la stratégie Chaos and Mayhem, cela peut être votre meilleur pari pour commencer. Plutôt que d'attendre de brouiller et de trouver toutes les informations clés sous le regard terrible d'un auditeur, déterrer tout ce que vous avez et le compiler dans un dossier au moins semi-acceptable peut être fait manuellement pendant que vous avez le temps.
Que cette stratégie soit ou non votre norme quotidienne ou la façon dont vous envisagez de vous débarrasser de vos mauvaises habitudes, nous vous recommandons le plan suivant pour que vous commenciez dès que possible.
Logiciel de contrôle de version
Le fait d'avoir un contrôle de version holistique dans toutes les parties de votre entreprise, et pas seulement les dépôts là où il est préemballé, permet à l'ensemble de ce processus de se gérer lui-même. Au fur et à mesure que les utilisateurs apportent des modifications à quoi que ce soit, il enregistre automatiquement et silencieusement qui effectue la modification, à quelle heure, quelles procédures ont été suivies, l'ensemble des neuf mètres.
Lorsque les auditeurs viennent frapper à votre porte et veulent savoir ce qui s'est passé, vous pouvez simplement vous référer à votre historique de version interne. Vous n'aurez pas besoin de vous démener pour trouver des preuves, vous n'aurez pas besoin de perdre des heures dans une feuille de calcul pour enregistrer des informations - le logiciel fait le travail pour vous. Vous pouvez simplement vous concentrer là où cela compte le plus.
Le logiciel de contrôle de version présente également d'autres avantages importants. à savoir, la possibilité de revenir aux versions précédentes. Cela peut être une énorme fonctionnalité de qualité de vie, en particulier pour les programmes qui n'avaient pas cette fonctionnalité autrement.
Avoir la possibilité de revenir de manière complète et précise à des versions précises vous donne également une couverture de sécurité contre des choses comme les ransomwares, où l'effacement de vos machines peut être une nécessité pour recommencer à faire fonctionner l'entreprise. Plutôt que de perdre tous vos enregistrements ou même le projet lui-même, vous pouvez simplement consulter le contrôle de version, choisir l'option la plus récente, et bada boom, vous êtes de retour dans les affaires.
Conclusion
Les audits ne doivent pas nécessairement être des spectres terrifiants menaçant votre entreprise, attendant d'écraser votre élan. Si vous prenez les précautions nécessaires et acquérez un bon logiciel de contrôle de version, le stress d'un audit et la corvée de la tenue des dossiers peuvent tous deux disparaître, comme des larmes dans la pluie.
