Ja. Abschnitt 9.2 verlangt regelmäßige interne Audits nach einem Zeitplan, den Sie selbst festlegen, und ohne mindestens ein abgeschlossenes Audit stellt keine Zertifizierungsstelle ein Zertifikat aus.
Die Prüfung kommt früh. In Stage 1 fragt der Zertifizierungsauditor nach dem Auditprogramm, dem internen Auditbericht und dem Protokoll der Managementbewertung, denn die Regeln für Zertifizierungsstellen (ISO/IEC 17021-1) verlangen von ihnen, schon in dieser Phase zu bestätigen, dass interne Audits und Managementbewertungen geplant sind und tatsächlich stattfinden. Fehlt das interne Audit, hält der Auditor das als offenen Punkt fest, der in Stage 2 zur Abweichung würde, und es muss erledigt sein, bevor Stage 2 beginnen kann. Dieselbe Prüfung wiederholt sich bei jedem Überwachungsaudit und bei der Rezertifizierung.
Bei den Details lässt die Norm viel Spielraum. Sie legt weder fest, wie oft auditiert wird, noch wie lange das Audit dauert oder ob jemand aus dem eigenen Team oder eine externe Firma es übernimmt. Zwei Punkte stehen fest. Vor der Erstzertifizierung erwarten Zertifizierungsstellen, dass die Prüfung das gesamte ISMS abgedeckt hat: die Abschnitte 4 bis 10 und jede Maßnahme aus Anhang A, die als anwendbar markiert ist. Außerdem muss das Audit unabhängig sein: Der Auditor hat nicht selbst aufgebaut oder betrieben, was er prüft.
Ein kleines Unternehmen, das das interne Audit auslässt, um Zeit zu sparen, verliert sie meist wieder. Stage 1 deckt die Lücke auf, Stage 2 verschiebt sich, und das interne Audit kommt trotzdem, später und unter mehr Druck.