ISO 27001 schreibt keine bestimmte Qualifikation vor. Nach Abschnitt 7.2 legen Sie fest, was eine Rolle können muss, stellen sicher, dass die Person es kann, und dokumentieren das. Genau diese Nachweise will der Zertifizierungsauditor beim internen Auditor sehen.
Akzeptiert wird in der Regel Folgendes:
- Bei Beschäftigten: das Zertifikat eines Kurses für interne ISO-27001-Auditoren, üblicherweise zwei bis drei Tage, oder einer Lead-Auditor-Schulung, die meist fünf Tage dauert. Etwas Praxis hilft, etwa wenn die Person schon einmal bei einem Audit mitgelaufen ist.
- Bei externen Auditoren: ihr Lead-Auditor-Zertifikat und eine Übersicht der durchgeführten Audits, idealerweise auch solcher für Zertifizierungsstellen.
Die Ausbildung zeigt sich auch im Ergebnis. Ein geschulter Auditor kann Feststellungen als schwerwiegende oder geringfügige Abweichung oder als Hinweis einstufen, jede davon an eine konkrete Anforderung knüpfen und einen Bericht in der Form schreiben, die Zertifizierungsauditoren erwarten. Der Bericht einer ungeschulten Person enthält oft Meinungen ohne zugehörige Anforderung, und bei der Zertifizierung folgen dann Rückfragen.
Bewahren Sie die Nachweise in den ISMS-Unterlagen neben dem Auditbericht auf, damit Sie sie in Stage 1 ohne Suchen vorlegen können.