Audit-Funktion

Ein Audit erzeugt zwei Dinge: Erkenntnis und Arbeit. Die Erkenntnis steht im Bericht, die Arbeit steht dort auch – und genau dort bleibt sie meistens. Die Audit-Funktion ist dafür da, dass aus Feststellungen Aufgaben werden und aus Aufgaben Nachweise.

Was geführt wird

Der Prüfplan. Welche Bereiche wann geprüft werden, von wem, gegen welchen Maßstab. Bei einem Managementsystem nach ISO 27001 ist ein Prüfplan über den Zyklus vorgeschrieben – jeder Bereich muss innerhalb des Zyklus einmal betrachtet worden sein, nicht jeder jedes Jahr.

Der Prüfmaßstab. Gegen welche Anforderung geprüft wird: einen Normenkatalog, eine interne Richtlinie, eine Checkliste. Ohne benannten Maßstab ist eine Feststellung eine Meinung.

Die Feststellungen. Je Punkt: was festgestellt wurde, wie schwer es wiegt, worauf es sich bezieht. Der Bezug ist wichtig – eine Feststellung hängt an einem System, einer Verarbeitung, einem Dienstleister oder einer Maßnahme.

Die Maßnahmen. Aus jeder Feststellung entsteht eine Aufgabe mit Verantwortlichem und Termin – über das Aufgabensystem. Das ist der Schritt, der über den Wert des ganzen Audits entscheidet.

Der Nachtest. Wurde die Feststellung tatsächlich behoben? Diese Prüfung fehlt in den meisten Audits, und ohne sie bleibt der Bericht eine Momentaufnahme.

Warum das für eine Zertifizierung entscheidend ist

Beim Zertifizierungsaudit wird nicht nur gefragt, ob Maßnahmen existieren, sondern ob das System wirkt. Der Beleg dafür sind zwei Dokumente: das interne Audit und die Managementbewertung.

Ein Auditor prüft dabei nicht nur den Bericht, sondern die Kette dahinter: Feststellung, zugewiesene Maßnahme, Erledigung, Nachweis. Wo diese Kette bricht – Feststellungen ohne Maßnahme, Maßnahmen ohne Erledigung, Erledigungen ohne Beleg –, entstehen Abweichungen. Das ist der häufigste Grund, warum ein Zertifizierungsaudit nicht im ersten Anlauf durchgeht; siehe ISMS aufbauen.

Dieselbe Kette trägt im Datenschutz die Rechenschaftspflicht: Ein Datenschutzaudit mit nachverfolgten Maßnahmen ist der stärkste Beleg, dass die Organisation ihre Pflichten wahrnimmt.

Die Managementbewertung

Der formale Termin, in dem die Leitung Auditergebnisse, Kennzahlen, Vorfälle und offene Maßnahmen betrachtet und über die Weiterentwicklung entscheidet. Die Vorlage dafür entsteht aus den geführten Daten statt aus einer eigens gebauten Präsentation – und bei erfassten Einrichtungen ist die Befassung der Leitung ohnehin Pflicht, siehe NIS-2 und die Geschäftsleitung.

Grenzen

Ein internes Audit ersetzt kein externes. Die Zertifizierung erfolgt durch eine akkreditierte Stelle; das interne Audit bereitet darauf vor.

Unabhängigkeit lässt sich nicht konfigurieren. Wer einen Bereich verantwortet, sollte ihn nicht selbst prüfen. Das ist eine organisatorische Frage, keine des Werkzeugs.