Strony audytu, czyli kogo, kiedy i w jakim zakresie audytujemy?

Audyt - obraz wygenerowany przez CoPilot

Audyt możemy podzielić na dwa rodzaje, które osobiście określam jako wewnętrzny oraz zewnętrzny.

Pierwszy z nich często nazywany jest audytem strony pierwszej, czyli prowadzeniem audytu przez samą organizację lub w jej imieniu. Celem tego audytu jest ocena zgodności z własnymi procedurami. Ten rodzaj audytu bardzo dobrze wpisuje się obowiązek Inspektora Ochrony Danych określony w art. 39 ust. 1 lit. b) Rozporządzenia.

Audyt zewnętrzny obejmuje dwa rodzaje, czyli audyt drugiej strony, gdzie audytujemy zewnętrznego dostawcę (np. audyt prowadzony w Podmiocie przetwarzającym w trybie art. 28 ust. 3 lit. h) Rozporządzenia lub przed zawarciem umowy powierzenia w celu oceny Podmiotu przetwarzającego) oraz audyt strony trzeciej najczęściej spotykany w celu uzyskania certyfikacji lub akredytacji.

Nazywam go zewnętrznym ponieważ zazwyczaj odnosi się do innej organizacji.

Rodzaje audytów - opracowanie własne

Proces audytu składa się z 4 głównych etapów i wielu pomniejszych czynności w poszczególnych etapach, które można przykładowo przedstawić za pomocą tabeli:

1.     Inicjowanie audytu	a.     Nawiązanie pierwszego kontaktu b.     Określenie wykonalności audytu
2.     Przygotowanie działań audytowych	a.     Przeprowadzenie przeglądu udokumentowanych informacji w tym wyników poprzednich audytów b.     Przygotowanie planu audytu c.     Zaplanowanie szczegółów audytu d.     Wyznaczenie zadań zespołowi audytowemu e.     Przygotowanie dokumentów roboczych
3.     Przeprowadzenie działań audytowych	a.     Przypisanie ról i obowiązków b.     Przeprowadzenie spotkania otwierającego c.     Ustalenie kanałów komunikacji podczas audytu d.     Przeprowadzenie przeglądu dokumentacji e.     Zbieranie dowodów audytowych i weryfikowanie informacji f.      Opracowanie wyników i ustaleń z audytu g.     Przeprowadzenie spotkania zamykającego
4.     Przygotowanie i rozpowszechnianie raportu z audytu	a.     Przygotowanie raportu b.     Omówienie wyników audytu z interesariuszami c.     Rozpowszechnienie raportu z audytu

Proces zbierania i oceny informacji wygląda następująco:

Sekwencja przetwarzania informacji w audycie