Nein. Abschnitt 9.2 verlangt ein neutrales, unvoreingenommenes Audit, und ein Berater, der Ihre Richtlinien geschrieben und Ihre Maßnahmen eingerichtet hat, würde seine eigene Arbeit prüfen.
Zertifizierungsauditoren achten genau darauf. Sie vergleichen die Namen im internen Auditbericht mit denen in der ISMS-Dokumentation und der Projekthistorie. Tauchen an beiden Stellen dieselben Personen auf, ist die Anforderung an die Unparteilichkeit nicht erfüllt, und der Auditor vermerkt eine Abweichung. Diese kehrt jedes Jahr wieder, bis sich die Aufstellung ändert.
Es gibt zwei saubere Lösungen:
- Beauftragen Sie für das interne Audit eine andere Firma als die, die das ISMS aufgebaut hat.
- Übernimmt eine Firma beides, trennen Sie die Personen: Wer das ISMS eingeführt hat, auditiert es nicht. Viele Zertifizierungsstellen akzeptieren das, wenn die Trennung dokumentiert ist, etwa im Auditplan und in einer kurzen Unabhängigkeitserklärung des Auditors.
Dieselbe Logik gilt für jeden einzelnen Bereich. Wer Sie nur beim Lieferantenmanagement unterstützt hat, kann die übrigen Bereiche auditieren; das Lieferantenmanagement übernimmt dann jemand anderes.