Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Interne Audits planen und durchführen

Auditprogramm, einzelne Prüfungen und tatsächliche Ergebnisse verbinden. Kriterien und Umfang bleiben konkret, Befunde führen in den vorhandenen Korrekturablauf.

Verantwortlich: Auditverantwortliche mit geeigneten unabhängigen PrüfendenFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende das ISMS-Handbuch, vorhandene Auditvorgänge und bestehende Befund- oder Aufgabenbestände. Die Vorlage ist eine Alternative, wenn diese die nötigen Angaben noch nicht führen.

Was du konkret tun musst

  1. 1

    Programm und konkrete Prüfung planen

    Plane Häufigkeit, Methoden, Zuständigkeit und Berichterstattung passend zur Bedeutung der Prozesse und zu früheren Auditergebnissen. Lege je Audit Umfang und Kriterien fest. Die Prüfung bezieht die eigenen ISMS-Vorgaben, die ISO-Anforderungen und den tatsächlichen Betrieb ein. Wähle geeignete Prüfende so, dass Objektivität und Unparteilichkeit gewahrt bleiben.

  2. 2

    Durchführung und Urteil belegen

    Prüfe den geplanten Gegenstand anhand geeigneter Unterlagen, Gespräche und tatsächlicher Abläufe. Halte betrachteten Stand, relevante Stichproben, nachvollziehbare Belege und Befunde fest. Begründe das Urteil zur Erfüllung der geprüften Vorgaben sowie zur wirksamen Umsetzung und Aufrechterhaltung. Mache Grenzen des tatsächlichen Prüfumfangs kenntlich.

  3. 3

    Berichten und Folgearbeiten verbinden

    Berichte die Ergebnisse an das zuständige Management und halte diesen Schritt nachvollziehbar fest. Aktualisiere den Programmeintrag mit dem tatsächlichen Bericht oder einer begründeten Änderung. Verbinde Abweichungen mit dem bestehenden Korrekturablauf nach Handbuch Kapitel 10. Aufgaben erhalten dort Verantwortung, Termin und Ergebnisprüfung, statt eine zweite Befundliste zu erzeugen.

Praxisbeispiel

Eine Rechteprüfung wird im internen Audit untersucht

Fiktives Beispiel: Das Programm sieht die Prüfung des Berechtigungsablaufs eines Teams vor. Die prüfende Person ist nicht für die untersuchten Vergaben verantwortlich.

Kriterien und Belege
FestlegungDie Prüfung vergleicht die gültigen internen Regeln mit ausgewählten Vergaben, Entzügen und dokumentierten Rechteprüfungen.
NachweisBenannter Regelstand, Stichprobe und nachvollziehbare Feststellungen im Auditbericht.
Offener Befund
FestlegungEine fehlende Prüfung wird am bestehenden Befund bearbeitet und an das zuständige Management berichtet.
NachweisBericht, Zuständigkeit und nachvollziehbare Korrektur samt Ergebnisprüfung.

Ergebnis festhalten

  • Auditprogramm und konkrete Planung mit Kriterien, Umfang, Methode und geeigneten objektiven Prüfenden.
  • Belege zur tatsächlichen Durchführung, nachvollziehbare Ergebnisse und Bericht an das zuständige Management.

Häufige Fehler bei der Umsetzung

Nur Annex-A-Felder abhaken

Ein internes Audit betrachtet auch die Managementanforderungen, die eigenen Vorgaben und ihre wirksame Anwendung im Betrieb.

Die geplante Datei als durchgeführtes Audit behandeln

Ein Termin oder ein ausgefüllter Plan ersetzt keine Prüfung. Halte die tatsächliche Durchführung und ihre Belege fest.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen

  • ISO/IEC 27001 · 9.2.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Einzelplanung benennt eigene ISMS-Vorgaben und Normanforderungen. Der Bericht verbindet tatsächlichen Prüfumfang, objektive Nachweise und Urteil zur Konformität sowie zur wirksamen Umsetzung und Aufrechterhaltung. Geeignete Prüfende müssen das Audit tatsächlich durchführen; eine vorbereitete oder ausgefüllte Datei allein belegt dies nicht.

    Referenz

  • ISO/IEC 27001 · 9.2.2

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Programmfelder bereiten Frequenz, Methoden, Zuständigkeit, Planung und Berichterstattung vor und berücksichtigen Prozessbedeutung sowie frühere Auditergebnisse. Einzelpläne erfassen Kriterien, Umfang und die Auswahl objektiver unparteiischer Prüfender. Bericht und Programmstatus können Durchführung und Berichterstattung belegen. Der Anwender muss den Plan umsetzen, Unparteilichkeit sichern, das zuständige Management tatsächlich informieren und die Ergebnisstände erhalten.

    Referenz

Vorlagen für die Umsetzung

Quellen und weiterführende Informationen