Ein Audittermin ist noch kein Auditprogramm

Fragt man nach dem internen Audit, bekommt man oft ein Datum. Meist liegt es im Herbst, ein paar Wochen vor dem Überwachungsaudit, und durchgeführt hat es die Person, die das ISMS auch betreibt. Das Protokoll ist ordentlich, die Abweichungen sind gering.

Das ist ein Audit. Ein Auditprogramm ist es noch nicht.

Was Abschnitt 9.2 verlangt

ISO/IEC 27001 unterscheidet in Abschnitt 9.2 zwischen dem einzelnen Audit und dem Programm, das die Audits trägt. Sinngemäß verlangt die Norm:

• Geplante Abstände: Interne Audits finden in geplanten Abständen statt und liefern Informationen darüber, ob das ISMS den eigenen Anforderungen und der Norm entspricht und ob es wirksam umgesetzt ist.
• Ein Programm mit Inhalt: Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung werden festgelegt.
• Gewichtung: Das Programm berücksichtigt die Bedeutung der betroffenen Prozesse und die Ergebnisse früherer Audits.
• Kriterien und Umfang je Audit: Jedes Audit hat festgelegte Auditkriterien und einen Umfang.
• Objektivität: Auditoren werden so ausgewählt und Audits so durchgeführt, dass Objektivität und Unparteilichkeit gewährleistet sind.
• Bericht und Nachweis: Die Ergebnisse gehen an die zuständige Leitung, Programm und Ergebnisse werden als dokumentierte Information aufbewahrt.

Der Normtext ist urheberrechtlich geschützt, deshalb hier nur sinngemäß. Entscheidend ist der dritte Punkt: Das Programm ist kein Kalender, sondern eine Abwägung.

Wo der Termin nicht reicht

Gleicher Abstand für alles. Ein Jahresaudit, das jedes Jahr dieselben Kapitel streift, behandelt das Berechtigungsmanagement wie die Pflege der Dokumentenvorlagen. Ein Prozess mit einer Hauptabweichung im letzten Jahr gehört früher und tiefer wieder auf den Plan als einer ohne Befund. Genau das meint „Ergebnisse früherer Audits berücksichtigen“.

Kein Umfang, keine Kriterien. „Internes Audit ISMS“ ist kein Umfang. Welche Standorte, welche Prozesse, gegen welche Anforderungen: Ohne diese Festlegung lässt sich hinterher nicht sagen, was geprüft wurde und was nicht. In der Praxis erwarten Zertifizierer zudem, dass über den Zertifizierungszyklus der gesamte Geltungsbereich einmal abgedeckt ist.

Das ISMS prüft sich selbst. Wer das ISMS aufgebaut hat, prüft die eigene Arbeit. Das ist in kleinen Organisationen kaum zu vermeiden und trotzdem der häufigste Schwachpunkt. Die Norm verlangt keine externe Prüfung, aber Unparteilichkeit. Praktikable Wege: Kolleginnen und Kollegen aus anderen Bereichen prüfen über Kreuz, die Prüfung der eigenen Kernprozesse wird an eine externe Stelle gegeben, oder der Plan hält fest, wer welchen Bereich nicht prüft.

Befunde ohne Rückweg. Ein Audit endet nicht mit dem Bericht. Ob die Korrekturmaßnahme gewirkt hat, entscheidet sich erst in der Nachverfolgung, und deren Ergebnis ist die Grundlage für das nächste Programm.

Das Programm vor dem Jahr

Ein belastbares Programm entsteht vor dem Auditjahr, nicht nach ihm. Es listet die geplanten Audits mit Umfang, Kriterien, Auditor und Begründung der Gewichtung, und es wird von der Leitung freigegeben. Ändert sich unterwegs etwas, etwa durch einen Vorfall oder eine neue Anforderung, wird das Programm fortgeschrieben, und der vorherige Stand bleibt nachvollziehbar.

Wie isidaten das abbildet

Im Audit-Management ist der Auditplan ein eigenes Objekt je Jahr oder Zeitraum. Jeder Eintrag trägt Umfang, Prozess oder Organisationseinheit, leitenden Auditor, Risikoeinstufung und Priorität. Der Plan wird über einen Freigabeablauf genehmigt und ab der Anfrage versiegelt. Eine neue Bearbeitung ist möglich, der bisher genehmigte Stand bleibt als Nachweis erhalten. Aus einem Eintrag entsteht das Audit mit den Prüfschritten der Vorlage, und abgeschlossen werden kann es nur nach erteilter Freigabe und im Vier-Augen-Prinzip: Wer freigibt, schließt nicht selbst ab. Feststellungen tragen Kategorie, Normbezug, Verantwortliche und Frist, lassen sich mit Maßnahmen und dem Risikoregister verknüpfen und gelten erst nach einer Verifizierung als erledigt. Welcher Auditor objektiv ist, entscheidet weiterhin die Planung, nicht das System.

Die Prüffrage

Welcher Prozess steht in Ihrem nächsten Auditprogramm früher als im letzten, und warum?

Wenn es keinen gibt, ist das Programm vermutlich eine Kopie des Vorjahres. Wie das interne Audit mit den übrigen Kapiteln der Norm zusammenhängt, steht in Die Norm beginnt nicht bei Anhang A.

Quellen

ISO/IEC 27001:2022, Abschnitt 9.2.1 und 9.2.2 (sinngemäß, Normtext urheberrechtlich geschützt). Leitfaden zur Auditierung von Managementsystemen: ISO 19011:2018.