Scrisoare deschisă către organismele de acreditare AICPA și ISO

O platformă de automatizare a conformității a fost recent prinsă producând rapoarte aproape identice SOC2 pentru mai multe companii. Rapoartele păreau reale. Certificatele păreau reale.

O foaie de calcul internă a fost partajată accidental printr-un link public Google Drive. a arătat că furnizorul folosea șabloane pentru a produce rapoarte de audit în masă. Aceste rapoarte au fost apoi semnate de firme de audit licențiate.

Pe baza a ceea ce a fost expus, ei nu au verificat prea mult.

Acest lucru nu este o veste pentru tine. ai primit rapoarte despre acest tip de practică înainte. de mai multe ori.

Nothing changed.

Vânzătorii nu sunt principala problemă

Unii furnizori de conformitate taie colțuri.Alții nu.Dar chiar și cei care fac funcționează în cadrul a ceea ce firmele dvs. de audit permit.

Firmele dvs. de audit dețin licența. Ei poartă responsabilitatea legală. Ei sunt cei care semnează raportul. Când se înregistrează fără a verifica, totul în aval este lipsit de valoare. Vânzătorul care taie colțurile și vânzătorul care face munca reală se termină cu același ștampilă.

Tu supraveghezi aceste firme de audit.AICPA pentru SOC2.Organismele de acreditare din cadrul Forumului Internațional de Acreditare pentru ISO27001.

Reports get filed. Nothing happens.

Firmele de audit care produc rapoarte lipsite de sens v-au fost raportate de mai multe ori. de mai multe persoane. Firmele îşi păstrează licenţele.

AICPA, ați recunoscut "deficiențe comune de examinare" în activitatea SOC2. Ați introdus cerințele de evaluare peer.

Pe partea ISO, modelul este același. Organizații precum Oxebridge Quality Resources au documentat ISO"fabricile de certificare" de ani de zile. Organisme de certificare care eliberează certificate fără audituri reale. Plângerile merg la organismele de acreditare. Organismele de acreditare le ignoră. IAF, care ar trebui să țină organismele de acreditare răspunzătoare, nu acționează.

Rezultatul: oricine poate obține un certificat. Certificatul își pierde semnificația și companiile care respectă în mod corespunzător sunt indistinguizabile de cele care au cumpărat un ștampilă.

Conformitatea nu înseamnă securitate

Există o confuzie pe scară largă pe piață: oamenii presupun că conformitatea înseamnă securitate.

Conformitatea înseamnă respectarea legilor și a cadrelor. Cele mai multe dintre aceste cadre necesită măsuri de securitate, da. Dar conformitatea este despre respectarea regulilor.

Adevărata securitate provine dintr-o voință autentică din interiorul companiei de a face munca. niciun furnizor nu poate vinde acest lucru. niciun șablon nu îl poate produce. Când o companie implementează de fapt controalele pe care le cere un cadru, va fi mai sigur.

Ce vă cerem să faceți

Când o firmă de audit este raportată pentru producerea de rapoarte frauduloase sau neglijente, acționați asupra acestora.

Executați consecințele. Trageți licențe. Publicați sancțiuni. În acest moment, ștampila de cauciuc nu suportă costuri.

Soluţionează conflictul de interese.Astăzi, societatea auditată îl selectează şi îl plăteşte pe auditor.Dacă auditorul este prea strict, societatea îl alege pe altcineva data viitoare.

Publicati rezultatele actiunilor dvs. de aplicare a legii. Lasati piata sa vada care firme sunt sanctionate si de ce.

De ce contează

De fiecare dată când ignorați o plângere, credibilitatea întregului ecosistem de conformitate este erodată. Companiile care investesc efort real în conformitate primesc același certificat ca și cei care nu au făcut-o.Clienții care se bazează pe aceste certificate pentru a lua decizii de încredere sunt înșelați.

Dacă nu acționați, nu veți pierde doar credibilitatea. Veți pierde relevanța. Piața va găsi alte modalități de a stabili încrederea. Modalități care nu vă includ.

Preferăm ca acest lucru să nu se întâmple.Aceste cadre, atunci când sunt aplicate corect, servesc unui scop real.Dar ele funcționează numai dacă organizațiile din spatele lor își fac treaba.

Vă cerem să vă faceți treaba.