Audit interni TISAX®, NIS 2 e ISO/IEC 27001: la prova generale prima della verifica
Audit interno impostato come una simulazione completa di terza parte, con lo sguardo di un valutatore esterno. Verifica dei controlli, dell’effettiva applicazione delle misure e delle evidenze, con interviste ai responsabili di processo. Disponibile anche quando il sistema è stato costruito internamente o da un altro consulente.
Richiedi la call gratuitaCosa comprende
Tre quadri di riferimento, un unico metodo
Ogni audit segue un metodo strutturato e si adatta allo schema da verificare.
Audit interno TISAX®
Verifica dei controlli del catalogo VDA ISA prima dell’assessment dell’audit provider accreditato da ENX. Un output direttamente utilizzabile per chiudere le carenze e preparare il self-assessment.
Audit interno NIS 2
Verifica dei requisiti del D.Lgs. 138/2024 e delle misure di base ACN applicabili, con attenzione a gestione e notifica degli incidenti e al ruolo degli organi di amministrazione.
Audit interno ISO/IEC 27001
Audit interno secondo il punto 9.2 della ISO/IEC 27001:2022, prima della certificazione o della sorveglianza, sull’ISMS e sui controlli dell’Annex A.
Interviste ai responsabili
Colloqui con direzione, Responsabile IT, fornitore IT e responsabili di processo, per verificare che le persone conoscano le regole e sappiano applicarle, come accade durante la verifica esterna.
Verifica delle evidenze tecniche
Controllo di configurazioni, accessi, backup, log, registri e report del fornitore IT. L’obiettivo è accertare che le misure descritte nei documenti risultino effettivamente applicate.
Rapporto di audit
Rapporto con non conformità, osservazioni, rischi residui e priorità d’intervento. Scritto per chi deve correggere e per chi deve decidere, utilizzabile anche nel riesame della direzione.
Perché scegliere General Tech di Rosario Zappalà
Un consulente che conosce sia la norma sia la tecnica
Un sistema che esiste solo sulla carta non regge all’intervista di un auditor: la differenza la fanno il metodo e la persona che segue il progetto.
Un referente diretto, dall’inizio alla fine
Nessun passaggio di consegne tra figure diverse: la stessa persona segue analisi, documenti, audit interno e affiancamento durante la verifica.
Lo sguardo dell’auditor, prima dell’audit
Auditor interno ISO/IEC 27001:2022: ogni evidenza viene preparata pensando alle domande che arriveranno in sede di verifica.
Competenze organizzative e tecniche
Sistemi di gestione e politiche da un lato, competenze Red Team e Blue Team dall’altro: le misure tecniche vengono verificate, non solo descritte.
Documenti su misura, non modelli
Politiche e procedure scritte sulla realtà dell’azienda, comprensibili per chi le applica e coerenti con le evidenze da mostrare.
Metodo
L’audit interno in 5 fasi
Un processo ripetibile e strutturato. Le attività partono dopo l’approvazione della proposta scritta.
Call gratuita e proposta scritta
Call di 30 minuti su schema, perimetro, sedi e data della verifica esterna. Segue una proposta scritta con attività e tempi; le condizioni vengono definite su misura per azienda e requisiti.
Piano di audit
Definizione di perimetro, criteri, processi da verificare, persone da intervistare e calendario delle sessioni, da remoto o in sede. Il piano viene condiviso prima dell’avvio.
Analisi documentale
Esame di politiche, procedure, analisi dei rischi, self-assessment o dichiarazione di applicabilità e registri. Emergono già incoerenze e punti da approfondire nelle interviste.
Interviste e verifica sul campo
Interviste ai responsabili di processo e campionamento delle evidenze tecniche e organizzative, con lo stesso approccio di un valutatore di terza parte durante l’assessment o la certificazione.
Rapporto e presentazione
Consegna del rapporto con non conformità, osservazioni, rischi residui e priorità, e sessione di presentazione dei risultati alla direzione e ai referenti coinvolti.
Cosa si ottiene
Un quadro chiaro prima della verifica esterna
Piano di audit
Perimetro, criteri, processi, persone da intervistare e calendario. Un documento che rende l’audit tracciabile e che costituisce a sua volta un’evidenza dell’attività di verifica.
Rapporto con rilievi classificati
Non conformità, osservazioni e rischi residui, ciascuno con riferimento al requisito, evidenza raccolta e priorità d’intervento, pronto da trasformare in azioni correttive.
Indicazioni per le azioni correttive
Per ogni rilievo, indicazioni concrete su cosa correggere e quali evidenze produrre, così da chiudere le carenze prima dell’assessment TISAX®, di un’ispezione ACN o di una verifica del cliente per la NIS 2, o della certificazione.
Sintesi per la direzione
Presentazione dei risultati alla direzione, con le priorità e le decisioni necessarie. Base utile per il riesame della direzione previsto dalla ISO/IEC 27001 e dagli altri schemi.
Domande frequenti
L’audit interno può svolgerlo chi ha costruito il sistema?
È preferibile un auditor diverso da chi ha progettato il sistema, per assicurare uno sguardo imparziale. Per questo l’audit interno è disponibile anche come servizio a sé, su sistemi costruiti internamente o con un altro consulente.
L’audit interno rilascia una certificazione o un label?
No. L’audit interno è una verifica di preparazione. Il label TISAX® arriva dopo l’assessment di un audit provider accreditato da ENX; la certificazione ISO/IEC 27001 la rilascia un organismo di certificazione accreditato. Rosario Zappalà non rilascia label né certificazioni.
Quando conviene svolgerlo?
Con un margine sufficiente prima della verifica esterna, in modo da poter chiudere le carenze emerse. Per la ISO/IEC 27001 l’audit interno è un requisito del punto 9.2 e va ripetuto a intervalli pianificati.
Si svolge da remoto?
In gran parte sì: analisi documentale, interviste e verifica delle evidenze si svolgono da remoto. Le verifiche in sede si concordano quando servono, ad esempio per la sicurezza fisica o per un label AL3.
Chi svolge gli audit?
Rosario Zappalà, auditor interno ISO/IEC 27001:2022, con formazione specifica su TISAX e competenze tecniche Red Team e Blue Team per la verifica delle evidenze tecniche.
Una verifica esterna in arrivo?
Schema, perimetro e data della verifica bastano per iniziare. In 30 minuti si definiscono obiettivo e piano dell’audit interno. La call è gratuita e senza impegno.
Richiedi la call gratuitaGeneral Tech di Rosario Zappalà · P.IVA 06157870871 · Cellulare +39 350 059 0978 · [email protected] · TISAX® è un marchio registrato di ENX Association.