Audit, který neskončí PDFkemJak převést zjištění do realizovatelné bezpečnostní roadmapy

Proč audity končí jako mrtvé PDF

Audit najde desítky zjištění, dodavatel je odevzdá ve formátu dlouhé zprávy a pak nastanou dva typické scénáře. Buď zprávu nikdo nepřečte celou, protože je psaná jazykem, kterému vedení a provoz nerozumějí, nebo ji přečte IT oddělení, které z ní nemá jednoznačný pracovní příkaz. Zjištění bez priority, odpovědnosti a termínu se chovají jako nápady: zůstávají nápadem. Problém není v kvalitě auditu, ale v chybějícím převodu mezi zjištěním a realizací.

Jak vypadá užitečný výstup auditu

Užitečný výstup popisuje každé zjištění tak, aby se s ním dalo pracovat: co konkrétně je problém, jaké riziko nese, co se doporučuje udělat, jak náročné to je a kdo by to měl řešit. Důležitá je priorita, která vychází z dopadu na provoz a z povinností, ne z technické závažnosti samotné. Dále je potřeba rozlišit, co je rychlá oprava (dny až týdny) a co je projekt (měsíce). Takto strukturovaný seznam zjištění je základem, ze kterého se roadmapa jen seřadí do etap.

Vazba roadmapy na kapacitu a rozpočet

Roadmapa, která nepočítá s kapacitou týmu a rozpočtem, je stejně nereálná jako dlouhá zpráva z auditu. Prakticky znamená: rozdělit opatření do etap tak, aby si organizace mohla být jistá, že zvládne každou etapu zrealizovat, a přidělit jim odpovědné osoby a termíny. U opatření vyžadujících investici je potřeba naplánovat do rozpočtových období, u opatření vyžadujících práci je nutné počítat s tím, co má tým skutečně k dispozici. Je lepší mít v etapě méně položek a ty skutečně dokončit, než dlouhý seznam, který se nikdy nedotáhne.

Sledování postupu

Roadmapa bez sledování se rychle stane dalším dokumentem, který nikdo neotevře. Užitečné je jednoduché pravidlo: každé opatření má odpovědnou osobu, termín a stav (nezačato, probíhá, dokončeno, odloženo s odůvodněním). Stav se projednává v pravidelném intervalu, obvykle jednou měsíčně, na krátké schůzce s vedením. Cílem není kontrola lidí, ale včasné odhalení, že opatření se zaseklo: chybí rozpočet, chybí kapacita, nebo se ukázalo, že opatření je složitější, než se čekalo. Odložená opatření nezmizí: zůstávají viditelná s datem, kdy se k nim vrátíte.

Kadenze revize a reauditu

Po dokončení první etapy je vhodné ověřit, že zjištění skutečně byla odstraněna a že nová opatření fungují v provozu, ne jen na papíře. Prakticky to znamená periodickou revizi: částečnou kontrolu klíčových zjištění po dokončení etapy a úplnější reaudit obvykle po jednom až dvou letech, nebo po významné změně v organizaci. Reaudit by měl ověřit i to, co se mezi tím změnilo: nové systémy, nové povinnosti, nové typy rizik. Výstup z reauditu pak opět vstupuje do aktualizace roadmapy, a cyklus se opakuje.

• Výstup auditu přepište do pracovního seznamu: zjištění, priorita, odpovědná osoba, odhad náročnosti.
• Rozdělete opatření do etap podle kapacity týmu a rozpočtu.
• Stav opatření projednávejte pravidelně, ideálně měsíčně, s vedením.
• Odložená opatření nevymazávejte, ale evidujte s datem dalšího posouzení.
• Naplánujte revizi po dokončení etapy a reaudit v horizontu jednoho až dvou let.