Der größte Teil der Vorbereitung fällt in die zwei Wochen vor dem Audit und läuft auf fünf Aufgaben hinaus.
- Beheben Sie, was bekanntermaßen nicht funktioniert. Wurde die vierteljährliche Berechtigungsprüfung über den Sommer ausgelassen, holen Sie sie jetzt nach und dokumentieren Sie sie mit dem heutigen Datum. Eine Feststellung zu einem Problem, das Sie längst kannten, bringt Ihnen keine neue Erkenntnis.
- Schicken Sie Dokumente und Zugänge eine Woche vorher: die Scope-Beschreibung, das Statement of Applicability (SoA), die Risikobeurteilung mit dem Risikobehandlungsplan, die Richtlinien, frühere Feststellungen sowie Lesezugriff auf die Systeme, in denen die Nachweise liegen. Ein Auditor, der die Unterlagen schon kennt, kann sich in den Interviews darauf konzentrieren, wie im Alltag tatsächlich gearbeitet wird.
- Bereiten Sie die Control Owner vor. Erklären Sie ihnen, wozu das Audit dient und dass Feststellungen dazugehören, und reservieren Sie mit jedem 30 bis 60 Minuten.
- Klären Sie, wo Ihre Aufzeichnungen liegen. Der Auditor wird nach Tickets, Logs und durchgeführten Überprüfungen fragen. Eine Antwort wie „liegt in Jira, im Projekt SEC“ spart viel Zeit.
- Lassen Sie bestehende Aufzeichnungen unverändert. Eine rückdatierte Überprüfung oder ein am Vorabend angelegter Eintrag fällt sofort auf, weil die Zeitstempel im System ihn verraten. Außerdem sieht sich der Zertifizierungsauditor wenige Wochen später dieselben Nachweise an.
Eine gute Vorbereitung verkürzt die Feldarbeit oft um einen ganzen Tag und lässt mehr Zeit, um die Feststellungen zu beheben.