Finding gesloten. De oorzaak niet.
Remediation past regelmatig de controltekst aan, terwijl de dagelijkse uitvoering voor control owners ongewijzigd blijft.
Het probleem
Waarom blijven dezelfde audit findings terugkomen?
Vaak niet omdat de control ontbreekt, maar omdat controlbeschrijving, uitvoering, lokale implementatie en bewijsverwachtingen onvoldoende op elkaar aansluiten.
Control-remediation
Waarom control-remediation niet altijd het gewenste resultaat oplevert
Evidence ontbreekt pas tijdens testing.
De control is uitgevoerd, maar vooraf is nooit expliciet gemaakt welk bewijs uiteindelijk verwacht wordt.
De control owner krijgt de finding.
Maar uitvoering, informatie en bewijs zijn verdeeld over meerdere teams.
Dezelfde control wordt verschillend uitgevoerd.
Teams vertalen dezelfde controlbeschrijving ieder op hun eigen manier naar de praktijk.
Praktijkobservaties
Wat wij regelmatig terugzien
Voldoende controls.
De meeste organisaties beschikken al over voldoende controls.
Nieuwe controls.
Nieuwe controls worden geschreven terwijl bestaande controls vaak al voldoende zijn.
Ownership.
Control owners krijgen ownership zonder alle benodigde informatie.
Evidence.
Evidenceverwachtingen blijven impliciet.
Lokale implementatie.
Lokale implementatie verschilt per team of systeem.
Audit findings.
Audit findings lossen symptomen op, maar niet altijd de onderliggende oorzaak.
De onderliggende oorzaak
Waarom gebeurt dit?
Veel organisaties lossen de zichtbare finding op, terwijl de onderliggende oorzaak blijft bestaan.
Het probleem zit vaak niet uitsluitend in de control zelf, maar in de samenhang tussen de generieke control, de lokale implementatie, de dagelijkse uitvoering, de bewijsverwachtingen en control testing.
Wanneer die onderdelen onvoldoende op elkaar aansluiten, blijft de control bestaan, maar verandert de dagelijkse praktijk nauwelijks. Daardoor ontstaan opnieuw discussies, onzekerheid over ownership en bewijs, en kan dezelfde finding later terugkomen.
Volgende stap
Waar loopt uw controlomgeving werkelijk vast?
Een eerste gesprek is bedoeld om te begrijpen waar het vraagstuk werkelijk zit.
Terugkerende audit findings
Control-remediation
Onduidelijke evidence
Verschillend uitgevoerde controls
Ownership dat niet goed landt
Pas daarna bepalen we samen welke analyse en operationalisatie daadwerkelijk nodig zijn.
Bespreek uw vraagstuk