Das interne Audit ist oft die letzte Zeile auf der ISMS-Projektliste, und neben ihr steht kein Name. Die Richtlinien sind geschrieben, der Risikoprozess läuft, die Anwendbarkeitserklärung ist abgestimmt. Dann kommt eine Zeile, die aussieht wie Papierarbeit, und sie wird auch so behandelt: ein Termin, ein Bericht, ein Haken.
In unserer Erfahrung verlieren Zertifizierungsprojekte hier ihre Zeitplanung. Ein internes Audit ist nicht schwierig. Es fehlt eine Zuständigkeit, nach der im ganzen Projekt niemand gefragt hat.
Ist ein internes Audit für ISO 27001 Pflicht?
Ja. ISO/IEC 27001 verlangt in Kapitel 9.2 interne Audits in geplanten Abständen, und in Kapitel 9.3 eine Managementbewertung, die auf deren Ergebnissen aufbaut. Ohne beides gibt es kein Zertifikat. Die Pflicht trifft jede Organisation mit einem ISMS, unabhängig von Grösse und Branche.
Was Kapitel 9.2 im Einzelnen fordert, ist nüchtern formuliert: ein Auditprogramm mit Häufigkeit, Methoden, Zuständigkeiten und Berichterstattung, festgelegte Kriterien und ein festgelegter Umfang je Audit, eine Auswahl der Auditoren, die Objektivität und Unparteilichkeit des Auditprozesses sicherstellt, ein Bericht an die zuständige Führungsebene und dokumentierte Nachweise.
Diese Liste beschreibt einen Betrieb und keinen Zustand, und darin liegt die unangenehme Eigenschaft. «In geplanten Abständen» heisst, dass es ein zweites Mal gibt. Ein einmaliges internes Audit drei Wochen vor dem Zertifizierungstermin erfüllt den Buchstaben und verfehlt den Zweck, weil ein Audit über ein System, das noch niemand benutzt hat, nichts findet. Was das für den Kalender bedeutet, haben wir in unserem Beitrag zur Dauer eines ISO-27001-Projekts aufgeschrieben.
Wer darf das interne Audit durchführen?
Jede Person, die kompetent ist und die geprüfte Arbeit nicht selbst gemacht hat. ISO 27001 verlangt Objektivität und Unparteilichkeit des Auditprozesses, und weiter nichts: keinen externen Auditor, keine Auditorenzertifizierung, keine Software. Das interne Audit ist eure Aufgabe, und ihr dürft sie mit eigenen Leuten erledigen.
Diese Fehlannahme kostet Geld, weil sie zu einem eingekauften Mandat führt, das ISO 27001 an dieser Stelle nie verlangt hat.
Eine Sache schliesst die Objektivität allerdings aus, und sie ist der ganze Knackpunkt. Wer eine Massnahme gebaut und betrieben hat, kann nicht derselbe sein, der bestätigt, dass sie wirkt. Das ist kein formaler Einwand. Wer seine eigene Arbeit prüft, findet die Fehler, die er schon kennt, und übersieht die Annahmen, die er beim Bauen getroffen hat. An diesen Annahmen entscheidet sich, ob ein internes Audit etwas wert ist.
Warum das interne Audit im KMU an der Arithmetik hängt
In einem Konzern ist das eine Organisationsfrage. Im KMU ist es eine Rechenaufgabe, die nicht aufgeht.
Das ISMS hat in unserer Erfahrung eine Person gebaut, meistens die IT-Leitung oder diejenige Person, die auch Qualität, Datenschutz und Compliance mitträgt. Dieselbe Person führt den Risikoprozess, schreibt die Richtlinien und sitzt in der Managementbewertung. Im ganzen Haus versteht niemand sonst das System im Detail. Und genau diese Person darf es nicht abnehmen.
Daraus folgt nicht, dass ihr einen Auditor einkaufen müsst. Es folgt, dass eine Entscheidung ansteht, die bisher niemand getroffen hat. Dafür gibt es drei brauchbare Antworten, und sie kosten Unterschiedliches.
Die erste ist das Kreuzaudit im eigenen Haus. Jemand aus der Buchhaltung schaut sich den Zugriffsprozess der IT an, jemand aus der IT die Lieferantenfreigabe im Einkauf. Das setzt voraus, dass die Kriterien vorher aufgeschrieben sind, denn fachliche Tiefe bringt diese Person nicht mit. Dafür bringt sie etwas mit, das der Erbauer nicht haben kann: Sie glaubt die Annahmen nicht, weil sie sie nicht getroffen hat.
Die zweite ist der Blick von aussen innerhalb der eigenen Gruppe. Eine Schwestergesellschaft, ein Partnerbetrieb, in Branchenverbänden auch eine Kollegin aus einer vergleichbaren Firma. Das kostet Zeit statt Geld und funktioniert, solange die Gegenseite nicht im selben Interessenkonflikt sitzt.
Die dritte ist der eingekaufte Auditor, aber zugeschnitten. Nicht für den gesamten Anwendungsbereich, sondern für die Bereiche, in denen intern niemand unparteiisch sein kann. In den Häusern, die wir begleiten, sind das zwei oder drei Themen und nicht der ganze Anhang.
Welche der drei Varianten passt, hängt weniger am Budget als an der Frage, wie viele Personen bei euch überhaupt beurteilen können, was sie sehen. Fällt die Antwort auf eine einzige Person, ist die Entscheidung bereits gefallen, und zwar gegen die interne Variante.
Nicht alles jedes Jahr
Die zweite Fehlannahme betrifft den Umfang. Ein Auditprogramm, das im ersten Durchgang jede Massnahme des Anhangs einmal prüfen will, scheitert in unserer Erfahrung an der eigenen Ambition und produziert danach gar nichts mehr.
Die Norm verlangt das auch nicht. Beim Aufstellen des Auditprogramms sind die Bedeutung der betroffenen Prozesse und die Ergebnisse früherer Audits zu berücksichtigen. Das heisst im Grunde: Das Programm ist risikobasiert, und es darf über mehrere Jahre laufen. Der Zugriffsprozess, über den eure Kronjuwelen erreichbar sind, verdient jedes Jahr einen Blick. Die Regelung zur Entsorgung von Datenträgern verdient ihn, wenn sich etwas geändert hat oder beim letzten Mal etwas aufgefallen ist.
Das ist der Unterschied zwischen einem Programm, das mehrere Jahre durchhält, und einer Übung, die nach dem ersten Zertifikat einschläft. Ein pragmatisch gebautes ISMS lebt von dieser Staffelung.
Gap-Analyse, internes Audit, Zertifizierungsaudit
Diese drei Begriffe werden im Verkaufsgespräch gern vermischt, und die Vermischung kostet Geld.
Die Gap-Analyse ist eine Beratungsleistung, die zeigt, was zwischen heute und der Norm fehlt. Kein Normkapitel verlangt sie. Nützlich am Anfang, und wir haben eingeordnet, was sie leistet und was nicht.
Das interne Audit ist eure Pflicht aus Kapitel 9.2. Es fragt, ob das Vorhandene tut, was dokumentiert ist, und nicht, was noch fehlt. Und es wiederholt sich.
Das Zertifizierungsaudit kommt von einer akkreditierten Zertifizierungsstelle. In der Schweiz ist diese Akkreditierung staatlich geregelt. Über die Schweizerische Akkreditierungsstelle SAS heisst es beim SECO: «Die Schweizerische Akkreditierungsstelle (SAS) ist die nationale Akkreditierungsstelle der Schweiz und Teil des Staatssekretariats für Wirtschaft (SECO).» Und weiter: «Sie begutachtet und akkreditiert verschiedene Typen von Konformitätsbewertungsstellen (KBS) auf der Basis der entsprechenden internationalen Normen.» Eine so akkreditierte Stelle stellt euer Zertifikat aus, und sie wird sehen wollen, dass das interne Audit und die Managementbewertung stattgefunden haben. Den Ablauf einer Zertifizierung haben wir separat beschrieben.
Wer die Gap-Analyse zweimal einkauft und Kapitel 9.2 überspringt, merkt das in der zweiten Stufe des Zertifizierungsaudits. Dann ist es ein Terminproblem.
Was ein ehrliches internes Audit findet
Der Wert eines internen Audits liegt nicht in der Befundliste, die ihr dem externen Auditor vorlegt. Er liegt darin, dass hier erstmals jemand den Unterschied zwischen beschrieben und betrieben sieht.
Drei Funde tauchen in unserer Erfahrung immer wieder auf.
Eine Massnahme hat einen dokumentierten Verantwortlichen, und dieser Verantwortliche weiss nichts davon. Eine Tabelle mit der Spalte «Verantwortlich: IT» produziert solche Fälle.
Ein Ausnahmeprozess ist beschrieben und wurde noch nie benutzt. Entweder gibt es keine Ausnahmen, was kaum je stimmt, oder die Ausnahmen laufen an ihm vorbei.
Eine Überprüfung soll quartalsweise stattfinden und hat einmal stattgefunden, am Tag, an dem das Dokument entstand.
Keiner dieser Funde ist peinlich. Alle drei sind das, was ein ISMS im ersten Betriebsjahr normal hervorbringt, und deshalb ist es besser, sie selbst zu finden, in einer Sitzung ohne Zertifikat auf dem Spiel. Ein externer Auditor, der denselben Fund macht, schreibt eine Abweichung, und die hat einen Termin.
Daran hängt auch die Managementbewertung aus Kapitel 9.3, die bewertet, was das interne Audit geliefert hat. Kommt aus dem Audit eine leere Liste, bewertet die Geschäftsleitung nichts und protokolliert das auch so. Ein internes Audit, das nur Bestätigungen produziert, macht die Pflicht aus 9.3 zu einer Formsache, und in unserer Erfahrung fällt dem externen Auditor diese Kombination auf.
Wofür du kein Geld ausgeben musst
Vier Positionen tauchen in Offerten rund um Kapitel 9.2 auf, ohne etwas beizutragen.
Auditsoftware für ein Programm mit zwei Audits im Jahr. Ein Kalendereintrag, eine Kriterienliste und ein Protokoll erfüllen die Nachweispflicht.
Eine Auditorenausbildung für die interne Rolle. Die Norm verlangt Kompetenz, nicht ein Zertifikat an der Wand.
Ein externes internes Audit über den gesamten Anwendungsbereich als erster Versuch. Kauft die Unparteilichkeit dort ein, wo sie intern fehlt, und sonst nirgends.
Ein zusätzliches Audit im selben Quartal, weil der erste Durchgang Befunde hatte. Befunde sind das Ergebnis, nicht der Fehler.
Was den Aufwand am Ende bestimmt, ist der Anwendungsbereich eures ISMS. Ist er zu breit gezogen, auditiert ihr jedes Jahr Dinge mit, die niemand schützen wollte, und zahlt diese Breite in jedem Zyklus erneut.
Der Name, der auf der Zeile fehlt
Wenn in euren Projektunterlagen eine Zeile «internes Audit» steht, ohne Namen und ohne Datum, ist das keine Dokumentationslücke. Es ist eine offene Entscheidung, und sie wird teurer, je näher der Zertifizierungstermin kommt. Unter Zeitdruck bleibt am Schluss die Variante, die sofort verfügbar ist, und das ist selten die günstige.
Der nächste Schritt ist klein. Nimm euer Auditprogramm, oder das leere Blatt, auf dem es stehen sollte, und schreib hinter jede Massnahme, die ihr prüfen wollt, zwei Dinge: wer sie betreibt und wer sie anschaut. Wo in beiden Feldern derselbe Name steht, habt ihr die Stelle gefunden, an der eure Entscheidung ansteht. Das ersetzt die meisten Diskussionen über Methodik.
Wie breit das Programm sein muss und wo die Unparteilichkeit fehlt, klären wir im ISMS-Aufbau nach ISO 27001 meist in einer Sitzung. Ein Erstgespräch reicht für die Einordnung.
Uns interessiert dabei eine Frage mehr als jede Methodenfrage: Wer in deinem Haus könnte heute ein Audit über die Arbeit der IT führen, ohne dabei die eigene Arbeit zu beurteilen?
Häufige Fragen
Ist ein internes Audit für ISO 27001 Pflicht?
Ja. ISO/IEC 27001 verlangt in Kapitel 9.2 interne Audits in geplanten Abständen und in Kapitel 9.3 eine Managementbewertung, die darauf aufbaut. Beide müssen stattgefunden haben, bevor eine Zertifizierungsstelle die Umsetzung prüft. Ohne beides gibt es kein Zertifikat, unabhängig von Grösse und Branche.
Wer darf das interne Audit durchführen?
Jede Person, die kompetent ist und die geprüfte Arbeit nicht selbst gemacht hat. Die Norm verlangt Objektivität und Unparteilichkeit des Auditprozesses, keinen externen Auditor und kein Auditorenzertifikat. Ausgeschlossen ist nur, dass jemand die eigene Arbeit abnimmt. Im KMU ist das der eigentliche Engpass.
Was ist der Unterschied zwischen internem Audit und Zertifizierungsaudit?
Das interne Audit führt ihr selbst durch, es erfüllt Kapitel 9.2 und wiederholt sich in geplanten Abständen. Das Zertifizierungsaudit kommt von einer akkreditierten Zertifizierungsstelle und führt zum Zertifikat. Die Gap-Analyse ist weder das eine noch das andere, sondern eine Beratungsleistung ohne Normkapitel.
