ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
вычисления.
Коррекпфующиедействия (подраздел 8.2)
Аудитор должен получить и проверить информацию о корректирующих действиях,
связанных со СМИБ, такую как отчеты и планы действий, являющиеся результатом про
водимой руководством проверки(ок) СМИБ или аудитов (см. ИСО/МЭК27001, подраз
дел 7.3), запросы об изменениях СМИБ. бюджетныеУйнвестиционные предложения и
техни ко-экономические обоснования и т. д. Аудитор должен искать свидетельства того,
что СМИБ на самом деле существенно улучшилась, как результат обратной связи-про
верить документацию, связанную с результатами реализации пунктов плана действий,
чтобы подтвердить, действительно ли вопрос несоответствий и их основных причин эф
фективно разрешается руководством в разумные временные сроки.
Часто бывает так, что несоответствия исправляются, однако меры по предупрежде
нию их повторного возникновения не принимаются, потом/ что анализ основных причин
не имел успеха. Вместе с составлением отчетов о корректирующих мерах аудитор дол
жен проверить записи о корректирующих мерах и посредством проведения наблюдения
на месте, исходя из реальных случаев, подтвердить, являются ли зафиксированные ме
ры эффективными.
С почти зрения менеджмента риска СМИБ анализ основных причин должен быть вы
полнен:
- для установления, не обусловлено ли это фактом, что риски не идентифицированы;
- если риски идентифицированы, то для проверки применения к рискам мер и средств
контроля и управления;
- если риски идентифицированы и к ним применены меры и средства контроля и
управления, то для проверки, являются ли примененные меры и средства контроля и
управления соответствующими для рисков;
- если риски идентифицированы и к ним применены соответствующие меры и сред
ства контроля и управления, то для проверки, эффективно ли реализованы применен
ные меры и средства контроля и управления и выполнены ли они так, как ожидалось.
Любой из вышеприведенных случаев или их комбинация будет причиной несоответ
ствий. Б контексте менеджмента риска возникновение несоответствия может рассматри
ваться как подверженность риск/, а потенциальные несоответствия могут рассматри
ваться как прогнозируемые риски. Аудитор должен проверить и подтвердить с помощью
описанного выше детального анализа, установлены ли основные причины несоответ
ствий и принимаются ли соответствующие меры в отношении несоответствий с помо
щью записей и наблюдаемых фактов на местах, насколько это возможно.
Превентивные меры (подраздел 8.3)
В дополнение к проверке осуществления улучшений СМИБ, вытекающих из ранее
идентифицированных фактических несоответствий, аудитор должен определить, зани
мает ли организация более активную позицию в отношении реагирования на потенци-
30