Amikor ez a jó választás
Közeleg a tanúsító audit, és kell egy független belső audit
Az ISO 27001 és az ISO 42001 is előírja a tervezett belső auditot, és a tanúsító auditor a Stage 2 auditon ennek jegyzőkönyvét kéri. Kis szervezetben nincs olyan munkatárs, aki a saját munkáját függetlenül auditálhatná. Ezt a szerepet veszem át, a szabvány és az ISO 19011 elvárásai szerint.
AI szolgáltatót választotok, és látni akarjátok, hová kerül az adat
Egy chatbot, egy AI ügynök vagy egy LLM alapú SaaS bevezetésekor a cég adata egy újabb láncon halad át, a beszállítón, a modellszolgáltatón és azok alvállalkozóin. Szerződéskötés előtt átvilágítom, mit ígér a beszállító, és mit tud ebből bizonyítani.
NIS2 hatálya alá estek, és a beszállítói láncot is kezelni kell
A NIS2 az ellátási lánc biztonságát is a szervezet felelősségévé teszi. A beszállítói audit dokumentált bizonyíték arra, hogy a kritikus partnereket nem csak egy kitöltött kérdőív alapján fogadtátok el. AI beszállítóknál ehhez olyan auditor kell, aki a modellek, az ügynökök és a prompt injekció kockázatait is érti.
A két szolgáltatás
Kiszervezett belső audit
A szervezet saját irányítási rendszerének auditja, a szabvány belső audit követelménye szerint. Éves auditként, tanúsítás előtti felkészítő auditként, vagy egy konkrét terület mélyebb átnézéseként.
Amit kaptok.
- Audit program és audit terv a hatókörrel, a kritériumokkal és az ütemezéssel
- Dokumentumátnézés, interjúk és mintavétel a valódi működésből, nem csak a szabályzatokból
- Audit jelentés súlyosság szerint besorolt megállapításokkal, bizonyítékkal és fejlesztési javaslatokkal
- Vezetői összefoglaló a vezetőségi átvizsgáláshoz
- Utánkövetés, amelyen a helyesbítő intézkedések lezárását ellenőrzöm
AI beszállítói audit
A beszállítót a megbízó nevében auditálom. AI szolgáltatóra, AI megoldást fejlesztő partnerre, vagy olyan szoftverbeszállítóra, amelyik AI funkciót épít a termékébe. Akkreditáció ehhez nem szükséges, a jelentés a megbízó saját kockázatkezelésének része.
Amit kaptok.
- A beszállító kockázati besorolása, és ehhez igazított audit mélység
- Kérdőív, bizonyítékkérés és technikai interjú a beszállító szakembereivel
- A bizonyítékok ellenőrzése a nyilatkozatokkal szemben, mintavétellel
- Kockázat szerint rangsorolt jelentés, és döntési javaslat az elfogadásról, a feltételes elfogadásról vagy az elutasításról
- Szerződésbe emelhető feltételek és javítási teendők a beszállító felé, igény szerint ismételt audittal
Hogyan zajlik
- Hatókör és kritériumok. Egy rövid beszélgetésben tisztázzuk, mit auditálunk, melyik szabvány vagy követelmény szerint, és mire kell a jelentés. Itt derül ki az is, van-e olyan terület, amit függetlenség miatt nem vállalhatok.
- Dokumentumátnézés. A szabályzatokat, nyilvántartásokat és bizonyítékokat előre átnézem, így a közös idő a valódi működésre jut.
- Audit. Interjúk, bejárás és mintavétel helyszínen vagy online. A megállapításokat a záró megbeszélésen még a helyszínen végigvesszük, hogy a jelentés ne okozzon meglepetést.
- Jelentés és utánkövetés. Írásos jelentés megállapításokkal, bizonyítékkal, felelősökkel. A javítások lezárását egy utánkövetési alkalommal ellenőrzöm.
Miért egy AI szakértő auditor
Egy AI rendszer kockázatait a szabályzatból ritkán lehet kiolvasni. Belőlük az derül ki, mit ígér a szervezet. A valódi működés a jogosultsági beállításokban, a naplókban és az ügynökök eszközlistájában látszik, és abban, hová megy egy prompt a hívás után.
AI rendszereket és automatizációkat magam is fejlesztek, és több mint ötven vállalattal dolgoztam már, többek között a MOL Group, az Arriva és a FANUC Europe csapataival. Ezért a technikai interjún azt is meg tudom kérdezni, amire egy általános auditor nem gondol, és a választ ellenőrizni is tudom.
A függetlenség szabálya egyszerű. Olyan rendszert, folyamatot vagy beszállítói kapcsolatot, amelynek kiépítésében részt vettem, nem auditálok. Ha a hatókörben ilyen terület van, az ajánlatban jelzem, és független partner auditort javaslok rá.
Árazás
Az ár a hatókörtől, a szervezet méretétől és az auditnapok számától függ. Egy kis szervezet belső auditja jellemzően egy és három nap közötti munka, egy AI beszállítói audit mélysége a beszállító kockázati besorolásától függ. A felmérő beszélgetés után fix árú ajánlatot adok. Az árak áfa nélkül értendők, alanyi adómentes egyéni vállalkozóként számlázok.
Beszéljük át fél órában
Kiderül, mit érdemes auditálni, melyik szabvány szerint, és mennyi idő kell hozzá.
Foglalj ingyenes konzultációtVagy hívj közvetlenül a +36 30 571 2138 számon.
Gyakori kérdések
Kiváltja a belső audit a tanúsító auditot?
Nem. A tanúsítványt egy akkreditált tanúsító szervezet auditja adja. A belső audit a szabvány saját követelménye, amit a tanúsító auditor a Stage 2 auditon bizonyítékként kér. Ha a belső audit rendben van, a tanúsító audit kevesebb meglepetést hoz.
Kell ISO tanúsítvány ahhoz, hogy beszállítói auditot kérjünk?
Nem. A beszállítói audit a megbízó saját kockázatkezelésének része, és bármelyik szervezet kérheti, amelyik AI szolgáltatót választ, vagy már dolgozik eggyel. NIS2 hatálya alá eső cégeknél az ellátási lánc biztonságának kezelése kötelező, és ennek bizonyítéka lehet a dokumentált beszállítói audit.
Mennyi ideig tart egy audit?
Egy kis vagy közepes szervezet belső auditja jellemzően egy és három nap közötti munka, előtte dokumentumátnézéssel, utána jelentéssel. Egy AI beszállítói audit átfutása a kérdőívtől a jelentésig általában két és négy hét között van, a beszállító válaszidejétől függően.
Auditálod azt is, amit te építettél ki nálunk?
Nem. Az ISO 19011 szerint az auditor nem auditálhatja a saját munkáját. Ha egy terület kiépítésében tanácsadóként részt vettem, azt nem auditálom, és ezt az ajánlatban előre jelzem.
Mi történik a megállapításokkal az audit után?
Minden megállapítás súlyossággal, bizonyítékkal és felelőssel kerül a jelentésbe. Belső auditnál a helyesbítő intézkedések lezárását utánkövetéssel ellenőrzöm. Beszállítói auditnál rangsorolt teendőlista készül, amit szerződéses feltételként vagy javítási tervként lehet továbbadni a beszállítónak.
Ha a cégnél most épül az AI szabályozás, az AI Compliance csomag adja hozzá a szabályzatot és a dokumentált képzést, a NIS2 vezetőknek tananyag pedig a vezetői felelősséget veszi végig. A szervezeti AI működés nyilvánosan ellenőrizhető igazolására a KD AI Standard szolgál. Az auditok szakmai háttere a Mérnöki kézikönyvek sorozatban is olvasható, az ISO megfeleléstől az AI szabványokig. A teljes kínálat a Szolgáltatások oldalon található.