מה המשמעות של הסמכה ולמה זה חשוב?
לא כל גופי ההסמכה שווים. ההבדל הקריטי הוא הסמכה - האם הגוף אומת באופן עצמאי לביצוע ביקורות ISO 27701 לפי תקן בינלאומי מוכר.
בבריטניה, UKAS (United Kingdom Accreditation Service) הוא גוף ההסמכה הלאומי. גוף הסמכה מוסמך על ידי UKAS נבדק על פי תקן ISO/IEC 17021 (דרישות לגופי ביקורת והסמכה) והפגין יכולת ספציפית בתקן ISO 27701.
למה זה חשוב:
- אמינות התעודה — תעודה מוסמכת נושאת הכרה בינלאומית באמצעות הסכמי הכרה הדדית בין גופי הסמכה ברחבי העולם. תעודה לא מוסמכת עשויה לא להתקבל על ידי לקוחות, רגולטורים או צוותי רכש.
- איכות הביקורת גופים מוסמכים כפופים לפיקוח מתמשך. רואי החשבון שלהם חייבים לעמוד בדרישות הכשירות ולפעול לפי מתודולוגיות ביקורת סטנדרטיות.
- תהליך ערעורים — אם אינך מסכים עם ממצאי ביקורת, לגופים מוסמכים יש הליכי תלונות וערעורים רשמיים הנקבעים על ידי ההסמכה שלהם.
תמיד יש לוודא את ההסמכה ישירות. בבריטניה, חפשו במרשם UKAS . ברמה הבינלאומית, בדקו עם גוף ההסמכה הלאומי הרלוונטי או עם ה-IAF (פורום ההסמכה הבינלאומי).
מהם קריטריוני הבחירה המרכזיים?
| קריטריון | מה לבדוק | למה זה משנה |
|---|---|---|
| היקף ההסמכה | ודא שהגוף מוסמך במיוחד עבור ISO/IEC 27701, ולא רק עבור ISO 27001. | הסמכת ISO 27001 לבדה אינה מסמיכה את הגוף להסמיך את התקן לפי ISO 27701. |
| מוכנות למהדורת 2025 | שאלו האם הם מנפיקים כעת תעודות עבור מהדורת 2025 | ייתכן שחלק מהגופים עדיין נמצאים בתהליך של עדכון תוכניות הביקורת שלהם עבור מבנה עצמאי לשנת 2025 |
| מומחיות מבקר פרטיות | שאלו לגבי הכישורים של מבקר החשבון הראשי: מבקר ראשי ISO 27701, ידע ב-GDPR, הסמכות IAPP | מבקר שמבין את תקנות הפרטיות (לא רק את מערכות הניהול) יעריך את מערכות ה-PIMS שלכם בצורה יעילה יותר. |
| ניסיון בענף | בקשו דוגמאות של לקוחות בתעשייה שלכם | מבקר שמכיר את הקשר עיבוד הנתונים של המגזר שלך יבין את הבקרות והחלטות הסיכונים שלך מהר יותר. |
| כיסוי גיאוגרפי | ודא שהם יכולים לבצע ביקורת על כל המיקומים במסגרת ההסמכה שלך | ארגונים מרובי אתרים או בינלאומיים זקוקים לגוף שיכול לבצע ביקורת יעילה על פני תחומי שיפוט שונים |
| יכולת ביקורת משולבת | אם יש לכם גם תקן ISO 27001, שאלו האם הם יכולים לערוך ביקורות משולבות. | ביקורת משולבת מפחיתה את סך ימי הביקורת, עלויות הנסיעות וההפרעות לצוות שלך |
| שקיפות תמחור | בקשו הצעת מחיר מפורטת הכוללת את שלב 1, שלב 2, מעקב והסמכה מחדש | חלק מהגופים מציעים מחירים ראשוניים נמוכים יותר אך עמלות גבוהות יותר עבור מעקב או הסמכה מחדש. מדריך עלות הסמכה כולל טווחי עמלות אופייניים לפי גודל הארגון |
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
כיצד עובד תהליך הביקורת של תקן ISO 27701:2025?
הבנת תהליך הביקורת עוזרת לך להתכונן ביעילות ולקבוע ציפיות עם הצוות שלך:
ביקורת שלב 1 (סקירת תיעוד)
המבקר סוקר את תיעוד PIMS שלכם כדי להעריך האם מערכת הניהול שלכם תוכננה לעמוד בדרישות ISO 27701:2025 . מסמכים מרכזיים כוללים:
- תיעוד היקף והקשר של PIMS (סעיפים 4.1–4.4)
- מדיניות פרטיות (סעיף 5.2)
- הערכת סיכוני פרטיות ותוכנית טיפול (סעיפים 6.1.2–6.1.3)
- הצהרת תחולה התייחסות בקרות נספח א'
- תוכנית ותוצאות ביקורת פנימית (סעיף 9.2)
- רישומי סקירת הנהלה (סעיף 9.3)
שלב 1 אורך בדרך כלל יום-יומיים. המבקר יעלה כל חשש שיש לטפל בו לפני שלב 2.
ביקורת שלב 2 (ביקורת יישום)
זוהי הביקורת העיקרית. המבקר מאמת שמערכת ה-PIMS שלכם מיושמת ופועלת ביעילות - לא רק מתועדת. הם:
- ראיון עם הצוות כדי לאשר מודעות והבנה של אחריות הפרטיות
- מדגם ראיות לבקרות המיושמות (מדיניות מוכרת, סיכונים נבדקים, אירועים מטופלים)
- ודא שהצהרת הישימות שלך משקפת במדויק את יישום הבקרה שלך
- הערכת יעילות סקירת ההנהלה ותהליכי השיפור המתמיד שלך
שלב 2 אורך בדרך כלל 2-8 ימים, בהתאם לגודל הארגון והיקפו.
תוצאות ביקורת
| סוג מציאת | מה זה אומר | השפעה על הסמכה |
|---|---|---|
| אי התאמה גדולה | דרישה לא מתקיימת, או שבקרה נעדרת או אינה יעילה באופן מהותי | יש לפתור את הבעיה לפני מתן ההסמכה. ייתכן שיידרש ביקור ביקורת מעקב. |
| אי התאמה קלה | דרישה מתקיימת חלקית, או שהיישום אינו עקבי | יש לפתור את הליך זה בתוך מסגרת זמן מוסכמת (בדרך כלל 90 יום). ניתן להמשיך בהסמכה. |
| הזדמנות לשיפור | הצעה לשיפור PIMS, לא כשל בדרישה | אין השפעה על ההסמכה. התייחסות כפופה לשיקול דעתך. |
מעקב והסמכה מחדש
לאחר ההסמכה הראשונית, יתקיימו ביקורות מעקב שנתיות (הערכות קצרות וממוקדות) וביקורת הסמכה מחדש מלאה כל שלוש שנים. גוף ההסמכה שלכם צריך לספק לוח זמנים ברור לכך כבר בתחילת הדרך.
אילו שאלות כדאי לשאול לפני שאתם מתחייבים?
השתמשו בשאלות הבאות בעת הערכת גופי הסמכה:
- האם אתם מוסמכים על ידי UKAS עבור תקן ISO/IEC 27701? — לאמת את התקן הספציפי, לא רק את ISO 27001.
- האם אתם מנפיקים תעודות לפי מהדורת 2025? — ייתכן שחלק מהגופים עדיין עוברים לשינוי תוכניות הביקורת שלהם.
- מי יהיה רואה החשבון הראשי שלי, ומה הרקע שלו בנוגע לפרטיות? — כשירותו של רואה החשבון משפיעה ישירות על איכות חוויית הביקורת שלך.
- האם תוכל לספק הצעת מחיר מפורטת למחזור שלוש השנים המלא? — השוו את העלות הכוללת (שלב 1 + שלב 2 + 2 מעקבים + הסמכה מחדש), לא רק את שכר הביקורת הראשוני.
- האם ניתן לבצע ביקורת משולבת של ISO 27001/27701? — אם רלוונטי, זה חוסך זמן וכסף.
- מהי המדיניות שלכם בנוגע לתחלופת רואי חשבון? — ישנם ארגונים שמעדיפים עקביות; אחרים מעריכים נקודות מבט רעננות. יש להבין האם יהיה לכם אותו רואה חשבון לאורך כל המחזור.
- כיצד אתם מטפלים באי התאמות משמעותיות? — להבין את לוח הזמנים לפתרון הבעיה והאם ביקור מעקב כרוך בעלויות נוספות.
- מה הזמינות שלך? — גופי הסמכה פופולריים עשויים להציב זמני אספקה של 2-3 חודשים. קחו זאת בחשבון בלוח הזמנים של ההסמכה שלכם.
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
איך משווים הצעות מחיר בצורה הוגנת?
בקשו הצעות מחיר משלושה גופים מוסמכים לפחות והשוו ביניהן על בסיס דומה:
| פריט שורה | גוף א' | גוף ב' | גוף ג' |
|---|---|---|---|
| ביקורת שלב 1 (ימים / עלות) | - | - | - |
| ביקורת שלב 2 (ימים / עלות) | - | - | - |
| שנת מעקב 1 (ימים / עלות) | - | - | - |
| שנת מעקב 2 (ימים / עלות) | - | - | - |
| שנה ג' להסמכה מחדש (ימים / עלות) | - | - | - |
| הנפקת תעודה / דמי UKAS | - | - | - |
| נסיעות / הוצאות | - | - | - |
| עלות כוללת של 3 שנה | - | - | - |
לא תמיד הצעת המחיר הזולה ביותר היא התמורה הטובה ביותר. יש לקחת בחשבון את המומחיות של המבקר, את המוניטין של הגוף, והאם מוצעות ביקורות משולבות (אם רלוונטי). מבקר מנוסה יותר עשוי לזהות שיפורים אמיתיים במקום רק לסמן תיבות. אם אתם שוכרים גם יועץ , ודאו שהוא וגוף ההסמכה נפרדים לחלוטין.
למה לבחור ISMS.online עבור ISO 27701:2025?
- מוכן לביקורת מהיום הראשון — מסגרת בנויה מראש עם כל דרישות ISO 27701:2025 ובקרות נספח א' ממופות וניתנות למעקב
- נתיב ראיות נקי — סיכונים, בקרות, מדיניות וראיות מקושרים מעניקים למבקרים נתיב ברור לעקוב אחריו, ומפחיתים את משך הביקורת ואת ממצאיה.
- תנאי שימוש אוטומטיים — צור את הצהרת הישימות שלך מבחירות הבקרה שלך, עם נימוקים וקישורי ראיות מוכנים לסקירה על ידי רואה החשבון
- כלי ביקורת פנימית — תכנון וביצוע ביקורות פנימיות טרום-הסמכה עם ניהול ממצאים ומעקב אחר פעולות מתקנות
- תמיכה בביקורת הנהלה — לוחות מחוונים מספקים את התשומות שמבקרים מצפים לראות ברישומי סקירת הניהול שלכם
- רב-מסגרתית לביקורות משולבות — אם גוף ההסמכה שלכם מבצע ביקורת משולבת של ISO 27001/27701, הפלטפורמה מציגה את שתי המסגרות במקום אחד.
- מוכנות מתמשכת — הישארו מוכנים לביקורת בין ביקורי מעקב בעזרת ניהול משימות, מחזורי סקירה ולוחות מחוונים לתאימות
מוכנים להתכונן לביקורת ההסמכה שלכם? הזמינו הדגמה וראו כיצד ISMS.online תומך במסע ההסמכה שלכם לתקן ISO 27701:2025.
שאלות נפוצות
האם ניתן להחליף גופי הסמכה באמצע מחזור?
כן, באמצעות תהליך הנקרא העברת הסמכה. גוף ההסמכה החדש יבחן את התעודה הקיימת שלך, היסטוריית הביקורת וכל אי-התאמות שטרם נבדקו לפני קבלת ההעברה. תהליך זה בדרך כלל פשוט אך עשוי להיות כרוך בעמלות נוספות. תכנן כל העברה כך שתתאים לביקורת מעקב או הסמכה מחדש כדי למזער את ההפרעה.
מה ההבדל בין הסמכה של UKAS לבין הסמכה שאינה של UKAS?
הסמכת UKAS פירושה שגוף ההסמכה הוערך באופן עצמאי על פי סטנדרטים בינלאומיים לכשירות ביקורת. ייתכן שתעודות שאינן של UKAS (לא מוסמכות) לא יוכרו על ידי צוותי רכש, רגולטורים או שותפים בינלאומיים. לרוב המטרות המסחריות, תעודה מוסמכת על ידי UKAS (או גוף לאומי מקביל) היא חיונית.
כמה זמן מראש עליי לתאם את הביקורת שלי?
לרוב גופי ההסמכה זמני אספקה של 6-12 שבועות לתזמון. גופים פופולריים או בקשות ספציפיות של מבקרים עשויים לדרוש זמן רב יותר. צרו קשר עם הגוף המועדף עליכם בשלב מוקדם של היישום כדי להסכים על תאריך זמני לביקורת, ולאחר מכן אשרו מתי אתם בטוחים במוכנותכם.
האם ניתן לבצע ביקורת מרחוק?
כן, ביקורת מרחוק מקובלת כיום באופן נרחב, במיוחד בעקבות הנהלים שנקבעו במהלך 2020–2022. רוב גופי ההסמכה מציעים ביקורות מרחוק לחלוטין או היברידיות. ביקורות מרחוק יכולות להפחית עלויות נסיעה ומורכבות תזמון. עם זאת, גוף ההסמכה יקבע האם ביקורת מרחוק מתאימה בהתבסס על גודל הארגון, מורכבותו והיקף הביקורת.
מה אם אכשל בביקורת שלב 2?
אם עולות אי התאמות משמעותיות, ההסמכה מושעית עד לפתרון. בדרך כלל יהיו לכם 90 יום ליישם פעולות מתקנות. גוף ההסמכה עשוי לדרוש ביקור מעקב (הכרוך בתשלום נוסף) או לקבל ראיות לפתרון מרחוק, בהתאם לאופי הממצאים. אי התאמות קלות אינן מונעות הסמכה אך יש לטפל בהן במסגרת הזמן המוסכמת.
