Четыре месяца назад я перешёл из ИТ-менеджмента во внутренний ИТ-аудит. За это время я понял, что самая большая разница между этими ролями вовсе не в процессах, стандартах или методологиях. Она в ответственности.

В ИТ ты видишь проблему и думаешь как её решить… В аудите ты видишь ту же проблему и тебе нужно объяснить, почему её нужно решать…

Раньше я мог собрать команду, выделить бюджет, принять решение и довести изменения до результата. Теперь моя задача - убедить тех, кто принимает решения, что риск действительно важен, последствия реальны, а рекомендации стоят вложенных усилий. И это оказалось сложнее, чем я ожидал. Хорошее решение не всегда принимается сразу. Иногда потому, что есть другие приоритеты. Или потому, что риск кажется далёким. Иногда люди просто устали от изменений.

Можно привести факты, показать риски., объяснить последствия. Можно даже предложить решение. Но желание изменить ситуацию должно возникнуть у того, кто за неё отвечает. И, наверное, именно в этом заключается настоящее искусство внутреннего аудита - не просто обнаружить проблему, а помочь человеку самому увидеть ценность изменений.

Как вам кажется, что сложнее: решать проблемы самому или убеждать других, что их действительно нужно решать? А что интересней? ))