Beide Audits prüfen dasselbe: ob Ihr ISMS die Anforderungen von ISO 27001 erfüllt und so läuft, wie Ihre Dokumente es beschreiben. Sie unterscheiden sich darin, wer sie durchführt und was mit dem Ergebnis geschieht.
Das interne Audit gehört Ihrem Unternehmen. Sie entscheiden, wann es stattfindet, wer es übernimmt und welchen Teil des ISMS es abdeckt, im Rahmen von Abschnitt 9.2. Auditor kann eine Person aus einem fachfremden Team sein oder eine externe Firma, solange sie unparteiisch ist. Die Feststellungen landen in Ihrem eigenen Bericht, und Sie beheben sie nach Ihrem Zeitplan.
Das Zertifizierungsaudit gehört einer akkreditierten Zertifizierungsstelle und läuft in zwei Stufen. Stage 1 prüft Ihre Dokumente und ob Sie bereit sind, unter anderem, ob ein internes Audit und eine Managementbewertung geplant und durchgeführt wurden. Stage 2, meist einige Wochen später, testet, ob die Maßnahmen in der Praxis wirken. Was dabei festgestellt wird, ist aktenkundig, und eine schwerwiegende Abweichung muss geschlossen sein, bevor das Zertifikat ausgestellt wird. Nach der Zertifizierung kommt dieselbe Stelle einmal im Jahr zum Überwachungsaudit wieder.
In der Praxis ist das interne Audit dasjenige, aus dem Sie ohne Folgen lernen können. Viele Unternehmen legen es sechs bis zehn Wochen vor Stage 1, damit Zeit bleibt, das Gefundene zu schließen. Der Zertifizierungsauditor liest außerdem Ihren internen Auditbericht, und ein gründlicher Bericht erleichtert ihm den Besuch.