Es ist noch machbar, braucht aber einen straffen Plan ohne jeden Puffer.
- Wochen 1 und 2: das interne Audit, von der Planung bis zum Abschlussgespräch. Wählen Sie einen Auditor, der sofort verfügbar ist, und schicken Sie die Dokumente am ersten Tag.
- Woche 3: Der Bericht kommt, und die Managementbewertung findet mit den Feststellungen auf der Tagesordnung statt. Beides muss vor Stage 1 vorliegen.
- Wochen 3 bis 6: Feststellungen schließen, die schwersten zuerst. Schwerwiegend ist eine Abweichung, wenn eine Anforderung gar nicht erfüllt ist, etwa wenn für ein zentrales System keine Risikobeurteilung existiert oder nie eine Berechtigungsprüfung stattfand. Geringfügige, etwa eine einmal verspätete Überprüfung, dürfen beim Zertifizierungsaudit noch offen sein, sofern jede einen Verantwortlichen, eine Frist und einen Plan für die Korrekturmaßnahme hat.
Fördert das interne Audit mehrere schwerwiegende Abweichungen zutage, die sich nicht in drei Wochen beheben lassen, bitten Sie die Zertifizierungsstelle, den Termin zu verschieben. Ein Aufschub um ein oder zwei Monate ist für sie Routine. Ein Stage-2-Audit, das mit offenen schwerwiegenden Abweichungen endet, kostet meist mehr, weil sich das Zertifikat ohnehin verzögert und zusätzlich ein Nachaudit berechnet wird.
Prüfen Sie, wann Stage 1 stattfindet. Liegt der Termin innerhalb dieser sechs Wochen, müssen internes Audit und Managementbewertung bis zu diesem früheren Datum abgeschlossen sein.