Kontinuierliche Compliance für die Monate, in denen niemand prüft
Ein Zertifikat oder ein Bericht belegt, dass Sie am Stichtag gut aufgestellt waren. Wir helfen Ihnen, es zwischen den Audits zu bleiben, damit das nächste ein Besuch wird und keine Rettungsaktion.
Überblick
Was nach dem Zertifikat passiert
Die meisten Compliance-Programme erreichen ihren Höhepunkt kurz vor dem Audit und verfallen direkt danach. Nachweise werden nicht mehr gesammelt, Prüfungen verschieben sich, das Risikoregister veraltet, und drei Monate vor dem nächsten Audit beginnt jemand, ein Jahr an Aufzeichnungen aus dem Gedächtnis zu rekonstruieren.
Black Fox hält das Programm in Gang. Wir führen den Nachweiskalender, testen die Maßnahmen nach Plan, führen interne Audits durch, prüfen Richtlinien, wenn sie fällig sind, und bereiten Sie auf Überwachungs- und Rezertifizierungsaudits vor. Dieselbe Arbeit bedient mehrere Rahmenwerke zugleich, wo sich ihre Anforderungen überschneiden, etwa ISO/IEC 27001, SOC 2 und NIS2.
Wir stellen weder Zertifikate noch Berichte aus. Das tun Zertifizierungsstellen, Wirtschaftsprüfer und die zuständigen Behörden. Wir arbeiten mit langjährigen Zertifizierungspartnern zusammen und koordinieren Überwachungs- und Rezertifizierungsaudits mit ihnen oder mit der Stelle, die Sie bereits beauftragen. Wir halten in Ordnung, was sie sehen wollen.
Für wen es gedacht ist
Organisationen, die bereits ein Zertifikat, einen SOC-Bericht oder regulatorische Pflichten haben und diese halten wollen, ohne jedes Jahr in Hektik zu geraten, und Teams, die mehreren Rahmenwerken unterliegen und lieber ein Programm betreiben als drei.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Nachweiskalender
Ein Kalender aller wiederkehrenden Kontrolltätigkeiten und der Nachweise, die sie liefern sollen, mit Verantwortlichen und Erinnerungen, damit nichts vom Gedächtnis abhängt.
Kontrolltests
Wir prüfen Maßnahmen im Laufe des Jahres stichprobenartig, so wie ein Auditor es täte, und melden, was nicht funktioniert, solange noch Zeit zur Behebung ist.
Interne Audits
Interne Audits, unabhängig von denen, die die Maßnahmen betreiben, mit Nachverfolgung der Feststellungen bis zum Abschluss.
Prüfung von Richtlinien und Risiken
Richtlinien, Verfahren und das Risikoregister werden geprüft, wenn sie fällig sind und wann immer sich das Geschäft ändert.
Abbildung der Rahmenwerke
Ein Satz an Maßnahmen, abgebildet auf alle Rahmenwerke, denen Sie unterliegen, damit ein Nachweis jede Anforderung abdeckt, die er abdecken kann.
Audit-Unterstützung
Vorbereitung auf Überwachungs-, Rezertifizierungs- und Testataudits, Hilfe bei Anfragen der Auditoren und bei etwaigen Feststellungen.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Rahmenwerke, Umfang, Verantwortliche und die anstehenden Audittermine und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Programmprüfung
Wir prüfen den aktuellen Stand Ihrer Maßnahmen, Nachweise und Dokumente und listen auf, was seit dem letzten Audit liegen geblieben ist.
Kalender und Plan
Wir erstellen den Nachweiskalender und einen Jahresplan: Kontrolltests, interne Audits, Prüfungen und Auditvorbereitung.
Das Jahr über
Wir arbeiten den Plan mit Ihren Verantwortlichen ab, sammeln und prüfen Nachweise und berichten der Geschäftsleitung über den Fortschritt.
Auditvorbereitung
Vor jedem externen Audit prüfen wir die Bereitschaft, schließen, was möglich ist, und bereiten die Personen vor, die befragt werden.
Nach dem Audit
Wir helfen Ihnen, auf Feststellungen zu reagieren, und übernehmen die Erkenntnisse in den Plan für das nächste Jahr.
Was Sie erhalten
- Nachweiskalender mit Verantwortlichen und Fälligkeiten
- Ergebnisse der Kontrolltests und Maßnahmenverfolgung
- Berichte zu internen Audits
- Aktualisierte Richtlinien, Verfahren und Risikoregister
- Abbildung der Maßnahmen auf Ihre Rahmenwerke
- Bereitschaftsübersicht vor jedem externen Audit
Fragen
Stellen Sie Zertifikate oder SOC-Berichte aus?
Nein. ISO-Zertifikate stellen akkreditierte Zertifizierungsstellen aus, SOC-Berichte zugelassene CPA-Firmen. Regulatorische Pflichten wie NIS2 überwachen die zuständigen nationalen Behörden. Wir halten Ihr Programm und Ihre Nachweise für sie bereit.
Kann ein Programm mehrere Rahmenwerke abdecken?
Weitgehend ja. Viele Anforderungen überschneiden sich, zum Beispiel bei Zugriffskontrolle, Risikomanagement und Vorfallbehandlung. Wir bilden einen Satz an Maßnahmen auf jedes Rahmenwerk ab und vermerken, wo eines etwas verlangt, was die anderen nicht verlangen.
Bestehen wir damit das nächste Audit?
Das kann niemand zusagen. Es bedeutet aber, dass Maßnahmen das ganze Jahr über getestet und Nachweise gesammelt werden, sodass Probleme früh auffallen und der Auditor ein Programm sieht, das läuft.
Ersetzen Sie unseren Compliance-Verantwortlichen?
Nicht unbedingt. Wir können neben einem Compliance-Verantwortlichen arbeiten und die Aufgaben übernehmen, für die er keine Zeit hat, oder diejenigen sein, die das Programm in Bewegung halten, wenn es niemanden gibt.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Compliance und ZertifizierungSOC 2SOC 2 mit Black Fox Security: Abgrenzung nach Trust Services Criteria, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise für die Prüfung durch Ihre CPA-Firma.
- Compliance und ZertifizierungNIS-2NIS-2 mit Black Fox Security: Betroffenheitsprüfung, Gap-Analyse gegen die Risikomanagementmaßnahmen, Meldeprozess, Lieferkette und Schulung der Leitung.
- Managed SecurityBerechtigungsprüfungenBerechtigungsprüfungen von Black Fox Security: Benutzer und privilegierte Zugriffe in Verzeichnissen, Cloud und Anwendungen, mit Nachweisen fürs Audit.
Damit das nächste Audit langweilig wird
Sagen Sie uns, welchen Rahmenwerken Sie unterliegen und wann die nächsten Audits anstehen. Wir zeigen Ihnen, wie ein Jahr kontinuierlicher Compliance bei Ihnen aussieht.