Der Auditor braucht sieben Dinge, idealerweise eine Woche vor Beginn der Feldarbeit.
- Scope-Beschreibung: welche Unternehmensteile, Standorte und Systeme das ISMS umfasst.
- Statement of Applicability (SoA): welche Maßnahmen aus Anhang A gelten, welche nicht und warum.
- Risikobeurteilung und Risikobehandlungsplan: die ermittelten Risiken und die jeweils dafür gewählten Maßnahmen.
- Freigegebene Richtlinien und Verfahren: Zugriffssteuerung, Incident Management, Lieferantenmanagement und alle weiteren.
- Feststellungen aus früheren Prüfungen: Berichte aus einer Gap Analysis, einem vorherigen internen Audit oder einem Zertifizierungsaudit, mit dem Stand der Korrekturmaßnahmen.
- Lesezugriff auf die Systeme mit Nachweisen: typischerweise das Ticketsystem, der Identity Provider, die Cloud-Konsole und das HR-System. Wo sich das nicht einrichten lässt, funktionieren Termine mit Bildschirmfreigabe.
- Control Owner und Interviewtermine: wer für welche Maßnahme verantwortlich ist, mit 30 bis 60 Minuten Gesprächszeit für jede Person.
Diese Unterlagen vorab zu schicken, verändert das Audit spürbar. Ein Auditor, der die Risikobeurteilung schon gelesen hat, kann direkt prüfen, ob die gewählten Maßnahmen funktionieren. Das spart oft etwa einen Tag Feldarbeit.