Planung und Vorbereitung

Da interne Audits oft nicht zum Tagesgeschäft gehören, gilt es zunächst einmal, einige Begrifflichkeiten zu klären. Über allem steht das Auditprogramm. Für die einzelnen Audits ist die Erstellung eines Auditplans und eines Auditberichts sinnvoll.

Im Auditprogramm werden alle anstehenden Audits dokumentiert. Neben internen Audits sollten hier auch Lieferantenaudits und externe Audits (z. B. Zertifizierungsaudits oder Kundenaudits) aufgelistet werden. Berücksichtige in der Festlegung des Auditprogramms, dass das ISMS zusätzlich zum Zertifizierungsaudit auch einmal jährlich intern vollständig zu prüfen ist. Dabei können die Kapitel und Controls der ISO 27001 entweder im Rahmen eines großen, vollumfänglichen Audits oder in mehreren, kleinen internen Audits geprüft werden. Lass dir das Auditprogramm für die nötige Rückendeckung von der Unternehmensleitung offiziell freigeben.

Wenn das Auditprogramm dann steht, geht es um die Vorbereitung des ersten internen Audits. Die Vorbereitung findet in dem sogenannten Auditplan statt. Dieser dient einerseits der Planung (Nennung des auditierten Bereichs/Objekts, des Datums, der Zeit und Räumlichkeiten) und andererseits der Koordination und Information aller Auditteilnehmer.