Das erste interne Audit deckt alles ab, weil die Zertifizierungsstelle vor dem ersten Zertifikat das ganze ISMS geprüft sehen will. Ab dem zweiten Jahr ändern sich drei Dinge.
- Scope. Das Audit umfasst, was das Programm für dieses Jahr vorsieht, dazu Bereiche, die sich verändert haben, etwa ein neues Produkt, ein weiteres Büro oder einen zusätzlichen wichtigen Dienstleister, und die Maßnahmen hinter den Feststellungen des Vorjahres.
- Fokus. Die Feststellungen aus dem letzten Audit werden zuerst geprüft. Der Auditor sieht nach, ob jede Korrekturmaßnahme gehalten hat, zum Beispiel ob die vierteljährlichen Berechtigungsprüfungen tatsächlich viermal stattgefunden haben.
- Vergleich. Der interne Auditor und der Überwachungsauditor lesen den diesjährigen Bericht neben dem des Vorjahres. Eine wiederkehrende Feststellung wird beim zweiten Mal ernster genommen, weil sie zeigt, dass die Korrekturmaßnahme nicht gewirkt hat.
Die Methode bleibt dieselbe: Stichproben, Interviews und Nachweise. Meist ist das Audit kürzer, weil die Dokumentation steht und die Beteiligten den Ablauf kennen, dafür geht es bei der Nachverfolgung tiefer.
Unternehmen haben vom zweiten Audit meist auch mehr. Wenn die Grundlagen sitzen, kann sich der Auditor der Frage widmen, wie gut die Maßnahmen wirken, zum Beispiel ob der Incident-Response-Plan in einem echten Sicherheitsvorfall tragen würde.