اعرف ما الذي تفعله أنظمتك فعلًا

يُسعَّر كنطاق ثابت يُتفق عليه قبل بدء العمل. المحركات هي عدد الكيانات القانونية، وعدد الأنظمة المستخدمة فعلًا، وعدد المواقع، وحجم ما هو موثَّق أصلًا. ولأن التدقيق يُباع منفصلًا عن أي إصلاح، فالسعر لا يتحرك بحسب ما نجده — وهذا بالضبط سبب شرائه من جهة ليست هي المنفّذ.

العمل الميداني عادة أسابيع، والمتغير هو الوصول لا الجهد. إذا كان من ينفّذون العمل متاحين للمقابلة، ومُنحت صلاحية القراءة على الأنظمة مبكرًا، تحرّك العمل بسرعة. وإذا كان استخراج البيانات يمر عبر مورّد، امتدت المدة. والتقرير المكتوب يتبع العمل الميداني، ونفضّل تأخير تسليمه على تسليم ملاحظات لم نتحقق منها.

تملكونه بالكامل، ويمكنكم عرضه على من شئتم: شريك التنفيذ الحالي، أو المدقق الخارجي، أو مجلس الإدارة، أو شركة استشارية أخرى تسعّر المعالجة. وهو مكتوب ليكون صالحًا للاستخدام من شخص لم يتحدث إلينا يومًا. والتشخيص الذي لا يعمل إلا إذا نفّذته الجهة التي كتبته ليس تشخيصًا.

فهذا ما سيقوله، وسيكون التقرير أقصر مما توقعتم. وهذا يحدث: أحيانًا يكون البرنامج كافيًا وتكون المشكلة الفعلية أن إدارتين لم تتفقا يومًا على تعريف، أو أن عملية لم تُكتب قط. تكونون قد دفعتم ثمن وثيقة تقول لكم لا تنفقوا أكثر، وهذه نتيجة أفضل من استبدال ERP لم تكونوا بحاجة إليه.

لا. نحن ندقّق الأنظمة والبيانات والإنفاق، لا أداء الأشخاص. والملاحظات تُكتب في مواجهة العمليات والضوابط لا الأسماء. وفي أغلب الحالات يكون الفريق الداخلي على علم بنصف ما نكتبه ولم يستطع إدراجه ضمن الأولويات. والتشخيص المستقل المكتوب هو غالبًا ما يمنحهم أخيرًا الميزانية التي طلبوها منذ زمن.

نغطي صلاحيات الوصول، والفصل بين المهام، وحسابات مديري الأنظمة، والنسخ الاحتياطي والاستعادة، والحوكمة المحيطة بها، لأن ملاحظات تدقيق الأنظمة تقع هناك عادة. ولا ننفّذ اختبارات اختراق ولا أعمال أمن هجومي. هذا تخصص قائم بذاته وينبغي شراؤه من متخصص. وحيث يجد التدقيق أنكم تحتاجونه، يقول التقرير ذلك ولا ندّعي أننا نحن ذلك المتخصص.

أحيانًا، ولا يكون ذلك شرطًا أبدًا. قائمة الإصلاحات مرتبة بكلفة التأجيل، وجزء جيد منها عادة عمل يستطيع فريقكم تنفيذه، أو عمل يخص المورّد الذي تدفعون له أصلًا. وحيث يكون البند من عملنا فعلًا، يُسعَّر منفصلًا بعد تسليم التقرير، حتى لا تُقرأ الملاحظات كوثيقة بيع.