Nach einem internen ISO-27001-Audit sollten Sie fünf Dokumente in der Hand haben. Der Zertifizierungsauditor fragt in Stage 1 und bei jedem Überwachungsaudit danach.
- Auditprogramm. Der mehrjährige Zeitplan, der festlegt, welche Teile des ISMS wann und von wem auditiert werden. Abschnitt 9.2.2 verlangt es, und es gehört Ihnen, auch wenn eine externe Firma das Audit durchführt.
- Auditplan. Der Plan für genau dieses Audit: Scope, Prüfmaßstab, Termine, der Name des Auditors und die interviewten Personen. Abschnitt 9.2.2 erwartet, dass Sie vor jedem Audit bestimmen, welchen Bereich es prüft und an welchem Maßstab, und genau das steht hier.
- Auditbericht. Jede Feststellung mit der Anforderung, die sie verfehlt, dem gesichteten Nachweis und einer Einstufung, dazu eine Zusammenfassung dessen, was ohne Beanstandung geprüft wurde.
- Korrekturmaßnahmen-Tracker. Eine Zeile pro Feststellung mit Korrektur, Ursache, Korrekturmaßnahme, Verantwortlichem, Frist und dem Nachweis, dass sie geschlossen wurde. Dahinter steht die Anforderung aus Abschnitt 10.2.
- Nachweis über Kompetenz und Unparteilichkeit. Das Schulungszertifikat oder der Lebenslauf des Auditors und eine kurze Erklärung, dass er nicht seine eigene Arbeit auditiert hat. Abschnitt 7.2 regelt die Kompetenz, Abschnitt 9.2.2 die Unparteilichkeit.
Legen Sie alle fünf in einem Ordner ab. In Stage 1 fordert der Auditor sie oft in einer einzigen Anfrage an, und ein vollständiger Satz beantwortet mehrere Fragen, bevor sie aufkommen.