Valeo · security governance / 2026. január
Az audit readiness nem dokumentumgyűjtő verseny
A sok feltöltött fájl látványos előrehaladást mutathat, de auditnál az számít, hogy a kontroll tényleg működik-e, és a bizonyíték kapcsolódik-e hozzá.
A helyzet
A felkészülés elején könnyű volt a siker mérőszámává tenni a begyűjtött fájlok számát. Ez kényelmes, mert mérhető, de félrevezető. Egy mappában lehet száz dokumentum úgy, hogy egy kulcsfontosságú folyamat továbbra sincs bizonyítva, és lehet egyetlen jól megválasztott rendszerexport, amely sokkal többet ér tíz képernyőképnél.
A megoldási út
A mennyiség helyett a kontroll–bizonyíték kapcsolatot kezdtem vizsgálni. Minden tételnél azt kérdeztem: mit állítunk, mi bizonyítja, és ugyanazt látná-e egy külső auditor is a forrásból. Külön jelöltem a policy-szintű dokumentumot, a működési evidenciát és az egyszeri kézi igazolást, hogy ne lehessen őket egymással felcserélni.
Mi lett belőle
A backlog egy része elsőre rosszabbnak látszott, mert néhány korábban zöldnek tekintett sor visszakerült vizsgálatra. Cserébe a végső állapot sokkal őszintébb lett, és a csapat pontosan tudta, hol kell folyamatot javítani, nem csak dokumentumot gyártani.