Ein internes Audit ist die Selbstprüfung eines Managementsystems: systematisch, unabhängig durchgeführt und dokumentiert. Hier erfährt eine Organisation, ob ihr System auch dann funktioniert, wenn niemand von außen fragt. ISO/IEC 27001 verlangt es in Abschnitt 9.2 in geplanten Abständen, und zwar mit zwei Prüffragen: Erfüllt das ISMS die eigenen Vorgaben und die Anforderungen der Norm, und ist es wirksam umgesetzt und aufrechterhalten?
Was die Norm verlangt
Gefordert ist zunächst ein Auditprogramm, das Häufigkeit, Methoden, Verantwortlichkeiten und Berichtswege festlegt und dabei die Bedeutung der betroffenen Prozesse sowie die Ergebnisse früherer Audits berücksichtigt. Für jedes einzelne Audit sind Kriterien und Umfang zu bestimmen. Die Auswahl der Auditoren muss Objektivität und Unparteilichkeit sicherstellen, die Ergebnisse sind der zuständigen Leitung zu berichten, und beides ist als dokumentierte Information aufzubewahren.
Vom Auditplan zur Nachverfolgung
| Schritt | Inhalt |
|---|---|
| Planung | Auditziel, Kriterien, Umfang und Termine festlegen, Auditplan an die Auditierten geben |
| Eröffnung | Ablauf, Vertraulichkeit und Umgang mit Feststellungen klären |
| Durchführung | Interviews, Einsicht in Aufzeichnungen, Stichproben, Beobachtung vor Ort |
| Bewertung | Nachweise gegen die Kriterien halten, Feststellungen einstufen |
| Abschluss | Ergebnisse und Einstufung mit den Auditierten besprechen |
| Bericht | Feststellungen, zugrunde liegende Nachweise, Bewertung, offene Punkte |
| Nachverfolgung | Korrekturmaßnahmen vereinbaren und ihre Wirksamkeit prüfen |
Am häufigsten fehlt die Nachverfolgung. Ein Audit ohne nachverfolgte Maßnahmen erzeugt Dokumentation, aber keine Verbesserung.
Unabhängigkeit in kleinen Organisationen
Niemand darf die eigene Arbeit auditieren. In kleineren Häusern lässt sich das über gegenseitige Prüfung zwischen Bereichen, über eine zweite unabhängige Rolle oder über beauftragte externe Auditoren lösen. Wichtig ist die Einordnung: Auch ein extern beauftragtes Audit bleibt ein internes Audit, solange die Organisation es selbst beauftragt und verantwortet. Ein Zertifizierungsaudit ersetzt es nicht; die Norm verlangt beides nebeneinander.
Wirksamkeit statt Vollständigkeit prüfen
Der Unterschied zwischen einem nützlichen und einem folgenlosen Audit liegt in der Fragestellung. Ob eine Richtlinie existiert, ist in Minuten geklärt. Ob sie gelebt wird, zeigt sich erst an Stichproben aus dem laufenden Betrieb: an Freigaben, die tatsächlich eingeholt wurden, an Berechtigungen, die nach einem Austritt entzogen wurden, an Ausnahmen, die dokumentiert und befristet sind. Als Leitfaden für Planung und Durchführung von Managementsystemaudits ist ISO 19011 etabliert; die Auswahl der Prüfpunkte orientiert sich in einem ISMS üblicherweise am Statement of Applicability und an der Risikobehandlung.
Feststellungen einstufen
Üblich ist die Unterscheidung zwischen Hauptabweichung, Nebenabweichung und Beobachtung oder Empfehlung. Eine Hauptabweichung bedeutet, dass eine Anforderung nicht erfüllt ist; eine Nebenabweichung beschreibt eine punktuelle Schwäche. Jede Feststellung braucht den Nachweis, auf dem sie beruht, einen benannten Verantwortlichen und einen Termin. Für die Einstufung gilt: Sie sollte derselben Logik folgen wie im Zertifizierungsaudit, sonst überrascht das externe Ergebnis.
Wo interne Audits an Wert verlieren
- Das Auditprogramm deckt Jahr für Jahr dieselben, wenig kritischen Bereiche ab.
- Auditoren prüfen Dokumente statt Aufzeichnungen aus dem laufenden Betrieb.
- Feststellungen werden abgeschwächt, um Konflikte zu vermeiden.
- Der Auditbericht erreicht die Leitung erst gemeinsam mit der Managementbewertung und ist dort nicht mehr zu bearbeiten.
- Auditoren prüfen Bereiche, an deren Aufbau sie selbst mitgewirkt haben.