Was ist ein internes Audit?
Ein internes Audit ist die Selbstprüfung eines Managementsystems durch die Organisation, die es betreibt. Für ein ISMS schreibt es ISO/IEC 27001:2022 in Abschnitt 9.2 vor.
Für die Zertifizierung ist es eine Voraussetzung, wie der Leitfaden zur ISO-27001-Zertifizierung zeigt.
Was verlangt Abschnitt 9.2 der ISO 27001?
Abschnitt 9.2 regelt zwei Ebenen: das Auditprogramm, das die Audits über einen Zeitraum plant, und das einzelne Audit. Sein Kerntext stammt aus der harmonisierten Struktur, die ISO für Managementsystemnormen vorgibt. Ein Auditor achtet daran vor allem auf drei Punkte:
- Das Programm begründet, welche Bereiche wann geprüft werden, und berücksichtigt frühere Ergebnisse.
- Die Auditoren sind von dem unabhängig, was sie prüfen.
- Die Ergebnisse haben die Leitung erreicht und sind belegt.
Wer mehrere Managementsystemnormen mit harmonisierter Struktur betreibt, kann ein gemeinsames Auditprogramm führen; je Norm kommen deren Kriterien und fachspezifische Zusatzanforderungen hinzu.
Wie läuft ein internes Audit ab?
Ein internes Audit läuft in sieben Schritten ab. Anleitung für Planung und Durchführung gibt ISO 19011:2026.
| Schritt | Inhalt |
|---|---|
| Planung | Auditziel, Kriterien, Umfang und Termine festlegen, Auditplan an die Auditierten geben |
| Eröffnung | Ablauf, Vertraulichkeit und Umgang mit Feststellungen klären |
| Durchführung | Interviews, Einsicht in Aufzeichnungen, Stichproben, Beobachtung vor Ort |
| Bewertung | Nachweise gegen die Kriterien halten, Feststellungen einstufen |
| Abschluss | Ergebnisse und Einstufung mit den Auditierten besprechen |
| Bericht | Feststellungen, zugrunde liegende Nachweise, Bewertung, offene Punkte |
| Nachverfolgung | Korrekturmaßnahmen vereinbaren und ihre Wirksamkeit prüfen |
Ohne den letzten Schritt erzeugt ein Audit Dokumentation, aber keine Verbesserung. Die Punkte für Planung und Durchführung zum Abhaken enthält die Checkliste für das interne Audit.
Unabhängigkeit: Niemand auditiert die eigene Arbeit
Die Pflicht zu Objektivität und Unparteilichkeit schließt aus, dass jemand den eigenen Bereich oder ein selbst aufgebautes Verfahren prüft. Kleinere Organisationen können das über gegenseitige Prüfungen zwischen Bereichen oder über beauftragte externe Auditoren lösen. Auch ein extern beauftragtes Audit bleibt ein internes Audit, solange die Organisation es beauftragt und verantwortet. Worin sich internes Audit und Zertifizierungsaudit unterscheiden, zeigt der Vergleich internes vs. externes Audit.
Prüffragen, die Nachweise verlangen
Ob eine Richtlinie existiert, zeigt ein Dokument. Ob sie gelebt wird, zeigen erst Stichproben aus dem laufenden Betrieb. Brauchbare Prüffragen nennen den Nachweis deshalb gleich mit:
| Statt zu fragen | Fragen Sie |
|---|---|
| Gibt es ein Berechtigungskonzept? | Zeigen Sie mir die letzten drei Austritte und wann die Zugänge entzogen wurden. |
| Werden Änderungen freigegeben? | Zeigen Sie mir die letzten fünf Produktivänderungen und die zugehörige Freigabe. |
| Gibt es eine Lieferantenprüfung? | Zeigen Sie mir die Bewertung des zuletzt beauftragten kritischen Dienstleisters. |
| Werden Vorfälle erfasst? | Zeigen Sie mir den letzten Vorfall und wann er wem gemeldet wurde. |
Die linke Spalte lässt sich mit einem Dokument beantworten, die rechte nur mit Aufzeichnungen. Die Auswahl der Prüfpunkte lässt sich aus der Erklärung zur Anwendbarkeit und der Risikobehandlung ableiten.
Wie werden Auditfeststellungen eingestuft?
Eine öffentlich zugängliche Einstufung enthält das Auditierungsschema des BSI für ISO-27001-Zertifizierungen auf der Basis von IT-Grundschutz (Kapitel 4.6). Das Schema unterscheidet drei Stufen:
| Stufe | Bedeutung | Folge im Zertifizierungsaudit |
|---|---|---|
| Empfehlung | Verbesserungsvorschlag ohne bindende Wirkung | wird mit einer Frist zur Prüfung versehen |
| geringfügige Abweichung | einzelne Aspekte einer Anforderung fehlen, das Ziel der Anforderung ist erreicht | Zertifikat unter Umständen trotzdem möglich |
| schwerwiegende Abweichung | Mangel, der die Wirksamkeit des ISMS erheblich gefährdet | Zertifikat kann nicht ausgestellt oder aufrechterhalten werden |
Mehrere geringfügige Abweichungen können zusammen eine schwerwiegende ergeben. Die Begriffe erläutert der Eintrag Abweichung (Nonconformity).
Fünf Muster, die interne Audits entwerten
- Das Auditprogramm deckt Jahr für Jahr dieselben, wenig kritischen Bereiche ab.
- Auditoren prüfen Dokumente statt Aufzeichnungen aus dem Betrieb.
- Feststellungen werden abgeschwächt, um Konflikte zu vermeiden.
- Der Auditbericht erreicht die Leitung erst mit der Managementbewertung, wenn für Korrekturen keine Zeit mehr bleibt.
- Auditoren prüfen Bereiche, an deren Aufbau sie selbst mitgewirkt haben.
Was ein internes Audit in Rizzqo vorfindet
Für das interne Audit führt Rizzqo jede Anforderungsantwort mit Begründung und Belegdateien an dem Asset, für das die Anforderung gilt. Abgeschlossene Antworten sind mit Name und Zeitstempel festgehalten, sodass der Auditor bestätigte Aussagen prüft.
Für die Stichprobe hilft die Rechenlogik. Ein Asset gilt erst als vollständig abgedeckt, wenn jede zugeordnete Anforderung abschließend als erfüllt oder als nicht anwendbar beantwortet ist. Eine Antwort, die noch nicht abgeschlossen ist, zählt als offen. Das Auditprogramm kann sich damit an den offenen Anforderungen ausrichten.