Fünf Feststellungen tauchen in ersten internen Audits immer wieder auf.
- Risikobehandlung, die nicht zu den Risiken passt. Die Maßnahmen stammen aus einer Vorlage, daher deckt der Behandlungsplan Risiken ab, die das Unternehmen gar nicht hat, und lässt einige aus, die es tatsächlich hat.
- Berechtigungsprüfungen, die nicht stattgefunden haben. Laut Richtlinie sind sie quartalsweise fällig, die Aufzeichnungen zeigen für die letzten zwölf Monate ein einziges Review.
- Backups, die nie wiederhergestellt wurden. Die Sicherungen laufen jede Nacht, aber niemand hat ausprobiert, ob sich daraus tatsächlich Daten zurückspielen lassen.
- Fehlende Lieferantenprüfungen. Die drei oder vier Anbieter, die Ihre Daten halten, etwa Cloud-Hoster, CRM und Lohnabrechnung, wurden nie bewertet.
- Keine Managementbewertung oder eine, die die vorgeschriebenen Themen auslässt. Die Leitung hat sich getroffen, doch das Protokoll behandelt weder Auditergebnisse noch Risiken oder Ziele.
Remote-Unternehmen haben oft eine sechste: Richtlinien, die genehmigt, aber nie verteilt wurden, sodass Mitarbeitende weder sagen können, wo sie liegen, noch, was darin steht.
Jede davon lässt sich in einigen Tagen bis wenigen Wochen beheben. Im internen Audit entdeckt, sind das Aufgaben auf einer Liste; bei Stage 2 können dieselben Punkte als schwerwiegende Abweichungen eingestuft werden und das Zertifikat verzögern.