Vad är revisionsberedskap?

Revisionsberedskap är tillståndet där poster, interna kontroller och stödjande bevis är så ordnade att en intern eller extern revision kan börja när som helst, utan rekonstruktion i sista minuten. En revisionsberedd organisation behandlar inte revisioner som händelser att ladda upp inför; den håller register, godkännanden och pappersspår korrekta som rutin, så att revisionen blir ett stickprov snarare än arkeologi.

Ordet som skiljer beredskap från förberedelse är löpande. Förberedelse är en slutspurt före en deadline; beredskap är ett stående tillstånd. Organisationerna som klarar sig rent är inte de som jobbar hårdast sista veckan - det är de för vilka sista veckan är lugn, eftersom bevisen redan var korrekta, redan knutna till en person och redan gick att ta fram.

Vad revisorer faktiskt frågar efter

De exakta önskemålen varierar med revisionstypen - finansiell, ISO-certifiering, försäkring, intern granskning - men när det gäller tillgångar är kärnlistan anmärkningsvärt stabil:

• Ett aktuellt inventarieregister som stämmer med verkligheten: vad som finns, var det är, vem som har det, vad det kostade och vilket skick det är i.
• Bevis på att kontrollerna fungerar, inte bara att de finns på papper - registrerade godkännanden för inköp och avyttringar, och en synlig ansvarsfördelning mellan den som begär och den som godkänner.
• Ett spår per stickprov. Revisorer testar i båda riktningarna: de drar poster och ber dig visa upp tillgången, och drar sedan tillgångar från ett skrivbord och ber dig visa upp posten. Beredskap betyder att båda riktningarna fungerar - en disciplin som formaliseras i avstämning av tillgångar.
• Avyttrings- och utrangeringsbevis - vem som godkände, när tillgången lämnade, och för databärande utrustning: bevis på att den raderades.
• För säkerhetsinriktade revisioner som ISO 27001: ett register över informationstillgångar med en namngiven ägare per post.

En checklista för revisionsberedskap

De flesta publicerade checklistor faller ihop till samma korta sekvens. Utförd i den här ordningen är den den snabbaste vägen från “vi har ett kalkylark någonstans” till “en revisor kunde börja idag”:

1. Stäm av registret åt båda hållen. Dra ett urval poster och leta upp de fysiska tillgångarna; dra fysiska tillgångar och leta upp posterna. Andelen avvikelser är ditt verkliga utgångsläge.
2. Rensa undantagen. Ta bort eller utred spöktillgångar (registrerade men borta) och lägg till oregistrerade tillgångar (som finns men saknas i registret). Båda faller direkt på stickprovstestet.
3. Bekräfta innehavet. Kontrollera vem som faktiskt har varje laptop, telefon, nyckel och verktyg just nu - inte vem som tilldelades den för två roller sedan.
4. Jaga pappersspåret. Inköpsfakturor, garantidokument, godkännanden för tillägg och avyttrings- eller raderingsintyg, var och en arkiverad mot sin tillgång.
5. Testa kontrollerna, inte bara posterna. Bekräfta att godkännanden registrerades när de skedde och att begäran och godkännande ligger hos olika personer.
6. Kör en generalrepetition. Ta ett litet urval och ta fram fullständigt bevis för varje objekt under tidspress. Är det bekvämt är du redo. Blir det en jakt har du hittat dina återstående gap medan det fortfarande finns tid att åtgärda dem.

Att göra en nulägesanalys inför revision

Checklistan ovan är görandet; en nulägesanalys inför revision är mätandet. Det är en gapanalys du gör mot dig själv: ta den standard eller det omfång du ska bedömas mot, gå igenom dina poster och kontroller mot det, och skriv ner varje gap - en saknad faktura, ett registerfält som är inaktuellt, en kontroll som fungerar men inte lämnar något spår efter sig. Varje gap blir en åtgärd med en namngiven ansvarig och ett datum. Gjord några veckor före den riktiga revisionen förvandlar analysen överraskningar till en hanterbar att-göra-lista, och den gör revisorns besök till en bekräftelse av det du redan vet i stället för en upptäcktsresa. Större program formaliserar detta som en löpande cykel - analysera, åtgärda, övervaka, analysera igen - så att beredskapen aldrig glider tillbaka mellan revisionerna.

Poster att hålla aktuella året runt

Vissa poster åldras med behag; andra är inaktuella inom några veckor. De snabbt förfallande förtjänar rutinen: vem som faktiskt har varje laptop och telefon (tilldelningarna glider vid varje rollbyte), tillgångarnas status (maskinen som skickades på reparation i mars och tyst togs ur drift i maj) och antalet platser för programlicenser, som revisorer allt oftare behandlar som vilken tillgång som helst. Små bärbara prylar - externa hårddiskar, adaptrar, testenheter - försvinner ur registren först och orsakar mest pinsamheter, eftersom en saknad databärande enhet är en säkerhetsanmärkning, inte bara en inventeringsavvikelse. Det är ett återkommande tema för IT-avdelningar, där hårdvaran ständigt är i rörelse och varje oredovisad enhet är både ett revisionsgap och en risk. Långsammare men lika väsentligt: inköpsfakturor, garantidokument och avyttringsintyg, sparade så länge din lagringspolicy säger att de ska kunna tas fram.

Där beredskapen brukar brista

Samma luckor dyker upp revision efter revision. Spöktillgångar - poster i registret som inte längre finns fysiskt - blåser upp böckerna och faller direkt på post-till-tillgång-testet. Rekonstruerade bevis är nästa: godkännanden som gavs muntligt och skrevs ner veckan före revisionen är lätta för en erfaren revisor att genomskåda, och sämre än inget godkännande alls. Sedan har vi enpersonskunskapen, där registret tekniskt sett är i ordning men bara en enda medarbetare kan förklara det. Och till sist revisionspärmsvanan: att samla allt i en heroisk slutspurt veckan före besöket. Det är revisionsförberedelse - och skillnaden syns i sömmarna.

Revisionsberedskap i praktiken

Vanan som ger beredskap är enkel att formulera: registrera varje händelse när den sker, i ett system, knuten till en namngiven person. Utlåningar, återlämningar, överföringar, statusändringar och avyttringar som loggas i stunden förvandlar revisionen till ett filter-och-export-jobb i stället för ett kriminaltekniskt. I AMPthilly landar varje utlåning, återlämning, överföring, statusändring och godkännande i en permanent revisionshistorik på tillgångsposten, exporterbar till CSV när revisorn frågar. Vilket verktyg du än använder är testet detsamma: kan du ta fram beviset idag, för vilken tillgång som helst, utan att be någon minnas något?

Summering

Revisionsberedskap är inget projekt du slutför; det är ett tillstånd du upprätthåller. Stäm av registret åt båda hållen, håll innehav och status aktuella, registrera godkännanden och avyttringar när de sker, och gör en ärlig nulägesanalys innan någon annan gör det. Gör det året runt så slutar revisionen vara en händelse att överleva och blir ett stickprov du redan klarat.

Relaterade termer

• Interna kontroller - policyerna och kontrollerna revisorer testar att de fungerar
• Ansvarsfördelning - kontrollen som delar upp begäran, godkännande och registrering på olika personer
• Avstämning av tillgångar - kontrollen åt båda hållen som ligger i hjärtat av en ren revision
• Spöktillgång - den registrerade-men-borta posten som faller först på post-till-tillgång-testet
• ISO 27001 och tillgångshantering - certifieringssammanhanget där tillgångsbevis stickprovas hårdast
• Register över informationstillgångar - datasidans register som säkerhetsrevisorer förväntar sig vid sidan av hårdvaruregistret
• Lagringspolicy - reglerna för hur länge revisionsbevis måste kunna tas fram