Audit & Advisory GRC

Fast immer mit der Risikoanalyse. Eine ohne sie erlangte Zertifizierung führt zu einem Managementsystem, das eine theoretische Organisation beschreibt: teuer im Unterhalt und von den realen Bedrohungen abgekoppelt. Die Risikoanalyse ist ohnehin eine Anforderung der Norm und kein freiwilliger Vorschritt. Ist die Frist vertraglich gesetzt — ein Kunde, eine Ausschreibung — zeigt die Gap-Analyse innert Wochen, was den Ist-Zustand vom Ziel trennt und was die Zertifizierung wirklich kostet.

Sie sind dafür gebaut: Richtlinien, Risikoanalyse, Erklärung zur Anwendbarkeit und Nachweise folgen der Struktur, die die angestrebten Standards erwarten. Ein Auditor prüft allerdings kein Dokument, sondern eine gelebte Praxis — ein beschriebener, aber nicht angewandter Prozess fällt im Gespräch auf. Deshalb ziehen wir ein knappes, tatsächlich gepflegtes Regelwerk einer erschöpfenden Dokumentation vor, die niemand am Leben hält.

Nein, und niemand kann beides tun. Die Zertifizierung erteilt eine akkreditierte Stelle, unabhängig von derjenigen, die beraten hat: Genau darin liegt ihr Wert. Wir bereiten Sie vor — Gap-Analyse, Aufbau des Managementsystems, Zusammenstellung der Nachweise, Begleitung während des Audits — anschliessend tritt die Zertifizierungsstelle auf den Plan. Wer das Zertifikat selbst verspricht, verkauft entweder ein Vor-Audit oder eine Vermischung der Rollen.