În articolul Cum audităm ce impune CyFun? am scris despre două controale din Ordinul DNSC nr. 1/2026 pornind de la un exercițiu pentru cursul de audit de la master. Am căutat să arăt ce ar trebui să verifice auditorul, ce probe ar trebui să obțină și cum poate utiliza ToD (Test of Design) și ToE (Test of Effectiveness). Exercițiul era despre auditarea controalelor, nu despre metodologia de calcul al scorurilor de maturitate. Am făcut totuși referire și la acestea, pentru că sînt parte a CyFun.
Pentru că „încă învăț”, am continuat să dezvolt exercițiul și să analizez mai atent anexa nr. 2 la Ordinul nr. 1/2026, inclusiv modificările introduse prin Ordinul nr. 2/2026. Am constatat că atribuirea scorurilor ridică probleme pe care nu le identificasem anterior. Și, culmea, verificarea controalelor pare să fie acum partea mai simplă.
Dacă doi auditori verifică același control, examinează aceleași probe și ajung la aceleași constatări, vor atribui și același scor? Ar trebui. Numai că metodologia lasă loc unor interpretări diferite, în înțelegerea mea.
Să revin la controlul PR.AA-01.1, privind gestionarea identităților și datelor de acces. Presupunem că auditorul examinează 25 de conturi create în perioada auditată și constată că două nu au aprobarea prevăzută de procedură. Avem două abateri, susținute prin probe. Pentru implementare, metodologia CyFun utilizează praguri ale excepțiilor sub 10%, sub 5% și sub 1%, corespunzătoare stadiilor 3, 4 și 5.
Cele două abateri reprezintă 8%. Dar 8% din ce? Din eșantionul examinat, evident. Controlul cuprinde însă și modificarea drepturilor de acces, dezactivarea conturilor, gestionarea identităților serviciilor și echipamentelor etc. Fiecare activitate poate avea o populație diferită de cazuri, iar cele 25 de conturi nu reprezintă neapărat totalitatea conturilor create în perioada respectivă.
Ce folosim la numitor? Numărul conturilor create, numărul tuturor conturilor, numărul operațiunilor de administrare a accesului sau altceva? Cum combinăm rezultatele pentru activități diferite?
Anexa nr. 2 nu precizează aceste lucruri. Putem calcula procentul cu oricîte zecimale dorim, dar dacă nu știm exact ce numărăm, precizia rezultatului este discutabilă.
Nici noțiunea de excepție nu este suficient delimitată. O derogare documentată și aprobată (de exemplu, amînarea autorizată a instalării unui patch din motive de compatibilitate) nu este același lucru cu o abatere neautorizată (patch-ul nu a fost instalat la termen, fără justificare sau aprobare). Un eșec tehnic (un test de restaurare nereușit) nu este neapărat un incident de securitate. Iar aceeași abatere poate fi relevantă pentru mai multe controale (casarea unui echipament fără ștergerea securizată a datelor privește atît ID.AM-08.5, cît și PR.DS-01.9).
Metodologia utilizează excepțiile pentru ambele componente ale maturității, dar cu praguri diferite: sub 5%, 3% și 0,5% pentru documentație, respectiv sub 10%, 5% și 1% pentru implementare. Fără definirea populațiilor și a tipurilor de excepții, aceleași dovezi pot conduce la scoruri diferite.
Să presupunem că verificăm dezactivarea conturilor angajaților care au părăsit organizația. Procedura este aprobată, fluxul este configurat, dar în perioada auditată nu a plecat niciun angajat (situația cel mai des întîlnită). Avem zero plecări și zero dezactivări întîrziate. Rata excepțiilor este 0%? Nu putem spune asta. Zero excepții din zero cazuri nu este același lucru cu zero excepții dintr-o populație existentă. Raportul 0/0 este nedefinit matematic.
Absența plecărilor nu demonstrează nici că procesul funcționează, nici că nu funcționează. Putem utiliza teste, simulări sau probe din alte perioade, dar metodologia nu precizează în ce condiții acestea justifică atribuirea unui anumit stadiu.
Și nici nu cred că ar trebui să avem incidente numai pentru a putea evalua procesul de răspuns la incidente, de exemplu.
Pentru procesele cu puține evenimente apare o altă dificultate. Dacă organizația efectuează patru teste de restaurare într-un an și unul nu respectă cerințele, rata excepțiilor este 25%.
O singură excepție exclude încadrarea implementării în stadiul 3 sau superior. Dar în ce stadiu încadrăm procesul? Stadiul 2 descrie un proces ad-hoc, desfășurat informal, în timp ce aici putem avea un proces formal, repetitiv, cu o abatere identificată. Metodologia nu stabilește cum tratăm situațiile care nu îndeplinesc integral condițiile unui stadiu, dar nici nu corespund descrierii celui inferior. Pînă la urmă, auditorul trebuie să atribuie un scor. Pe ce criteriu?
Două scoruri și o medie
Art. 2 alin. (4) și (5) din anexa nr. 2 prevăd două scoruri pentru fiecare control: documentație și implementare.
În articolul anterior am considerat că, pentru o Măsură cheie, pragul individual trebuie îndeplinit de ambele componente. Păstrez această interpretare în evaluarea unui control critic. Nu mi se pare justificat ca o documentație foarte bună să compenseze o implementare slabă. Dar preferința mea nu înseamnă că regula este prevăzută expres de metodologie.
Art. 2 alin. (11) stabilește un scor-țintă de cel puțin 3 pentru fiecare Măsură cheie, la nivelurile Important și Esențial. Numai că fiecare control are două scoruri, iar combinarea acestora este prevăzută explicit abia la nivelul categoriei.
Pentru un control cu documentația în stadiul 4 și implementarea în stadiul 2, media este 3. Dacă pragul se verifică pe medie, ținta este atinsă. Dacă se verifică separat pentru fiecare componentă, nu este atinsă. Aceleași probe, aceleași scoruri, două concluzii diferite.
Să extindem exemplul la o entitate esențială cu documentația în stadiul 5 și implementarea în stadiul 2 pentru toate controalele aplicabile. Media este 3,5 pentru fiecare control, fiecare categorie și întreaga entitate. Dacă pragul Măsurilor cheie se verifică pe medie, toate pragurile numerice pentru nivelul Esențial sînt îndeplinite.
Avem însă o entitate la care toate procesele sînt ad-hoc, desfășurate informal. Documentație excelentă, implementare informală și scor general 3,5. Pe hîrtie, am atins ținta. O performanță, avînd în vedere că toate procesele sînt aplicate… informal. Nu este o greșeală de calcul. Media dintre 5 și 2 este 3,5. Dar ce ne spune această medie despre implementarea controalelor?
Un control cu documentație 5 și implementare 1 contribuie la medie la fel ca unul cu documentație 3 și implementare 3. În primul caz avem un control foarte bine documentat, dar practic neimplementat; în al doilea, unul documentat și aplicat formal. Aceeași medie nu înseamnă aceeași stare a controlului.
Ce face auditorul dacă identifică o deficiență relevantă, dar scorul agregat indică îndeplinirea pragurilor? Constatarea nu dispare pentru că media este suficient de mare. Rămîne însă problema efectului acesteia asupra concluziei globale de conformitate, dacă aceasta este întemeiată pe scorurile de maturitate.
Și totuși, ce face auditorul?
Pînă aici am presupus că verificările au fost efectuate corect și că probele susțin constatările. Dificultățile apar la atribuirea scorurilor și la formularea concluziei.
Să luăm cazul probelor insuficiente.
Dacă un control impune păstrarea unor înregistrări, iar entitatea nu le deține, lipsa lor poate constitui neîndeplinirea cerinței. Dacă înregistrările există, dar auditorul nu le poate examina din cauza unor restricții de acces, putem avea o limitare a ariei auditului. Iar dacă probele demonstrează funcționarea procesului, dar nu susțin stadiul declarat, scorul trebuie fundamentat la nivelul justificat de acestea.
Sînt situații diferite, pe care anexa nr. 2 nu le tratează distinct. Scara 1–5 nu prevede o valoare pentru imposibilitatea obținerii probelor, iar N/A privește controalele neaplicabile.
S-ar putea spune că toate acestea se rezolvă prin ”professional judgment”. Pînă la urmă, auditorul nu este un simplu operator care introduce valori într-un tabel. De acord. Numai că professional judgment nu este o formulă magică prin care completăm ce lipsește din metodologie.
ITAF prevede utilizarea raționamentului profesional pentru stabilirea procedurilor de audit, evaluarea probelor și fundamentarea concluziilor. Auditorul decide ce teste efectuează, cît extinde verificările și dacă probele sînt suficiente. Dar ITAF cere și criterii de audit adecvate: evaluarea nu trebuie bazată exclusiv pe așteptările sau judecățile personale ale auditorului, iar criteriile incomplete ori interpretabile trebuie prezentate astfel încît concluzia să fie corectă și inteligibilă.
Dacă metodologia nu stabilește ce numărăm pentru determinarea ratei excepțiilor, auditorul poate justifica o metodă de testare. Dar numitorul ales de el nu devine automat numitorul prevăzut de ordin. Și uite așa am putea avea tot atîtea metode de calcul cîți auditori: fiecare documentată, justificată și, eventual, prezentată ca fiind singura corectă.
La fel, professional judgment nu transformă interpretarea preferată a pragului Măsurilor cheie în singura interpretare normativă posibilă.
Raționamentul profesional ajută auditorul să aplice criteriile, nu să ascundă faptul că unele sînt insuficient definite.
Nici în cazul controalelor declarate N/A lucrurile nu sînt chiar simple. Acestea nu sînt eliminate efectiv din calcul, ci primesc valoarea fixă 3 la nivelurile Important și Esențial. Cum la nivelul Esențial ținta generală este 3,5, un control neaplicabil poate reduce scorul general, chiar dacă toate controalele aplicabile au scoruri peste țintă. Cu alte cuvinte, un control care nu trebuie aplicat poate strica media.
Ce ar trebui să remedieze entitatea? Faptul că acel control nu i se aplică?
Mai avem și aria auditului. Art. 1 alin. (6) din anexa nr. 1 prevede revizuirea Aspectelor de management în cadrul fiecărui audit de evaluare a nivelului de asigurare. De ce sînt menționate distinct? Celelalte controale trebuie examinate integral la fiecare audit sau pot fi verificate prin eșantionare ori rotație? Ordinul nu precizează această distincție și nici regulile unei eventuale eșantionări. Doi auditori ar putea verifica arii diferite și ar putea susține, fiecare, că au evaluat nivelul de asigurare.
Revin la exercițiul pentru master. Am folosit ToD și ToE deoarece auditarea unui control presupune verificarea proiectării și funcționării lui, nu doar existența unor documente. Nu îmi schimb abordarea. Recunosc însă că o corespondență directă între ToD și scorul documentației, respectiv între ToE și scorul implementării, simplifică relația dintre componentele maturității. Pentru stadiile 3–5, documentația este evaluată inclusiv prin excepții rezultate din operare, iar implementarea se raportează și la documentația aferentă. ToD și ToE mă ajută să organizez verificările, dar nu îmi spun automat ce scor CyFun trebuie atribuit.
Mai trebuie reținut că metodologia din anexa nr. 2 este destinată autoevaluării anuale. Art. 11 alin. (5) din OUG nr. 155/2024 prevede stabilirea condițiilor și periodicității auditului printr-un ordin distinct. Nu rezultă că auditul trebuie să reproducă automat autoevaluarea. Totuși, anexa nr. 1 se referă expres la auditul de evaluare a nivelului de asigurare, iar anexa nr. 2 definește maturitatea ca grad de conformitate cu controalele aplicabile.
Dacă scorurile vor fi utilizate drept criterii pentru concluziile de audit, ambiguitățile metodologiei vor trebui clarificate. Interpretarea criteriilor face parte din activitatea auditorului. Stabilirea unor reguli normative de calcul care lipsesc din metodologie este însă altceva.
În lipsa unor reguli comune privind populațiile de cazuri, excepțiile, încadrarea în stadii și verificarea pragurilor, aceleași probe pot conduce la scoruri diferite. Auditorii riscă să își concentreze eforturile mai mult pe interpretarea formulei de calcul decît pe testarea funcționării controalelor.
„Încă învăț”…
