Sie brauchen beides, denn die zwei Audits werden von verschiedenen Seiten und mit unterschiedlichem Zweck durchgeführt.
Das Überwachungsaudit ist der Besuch der Zertifizierungsstelle im zweiten und dritten Jahr des Zertifikatszyklus. Deren Auditor prüft eine Stichprobe des ISMS, schreibt einen eigenen Bericht und kann Abweichungen mit Fristen feststellen. Es soll bestätigen, dass das Zertifikat weiterhin verdient ist.
Das interne Audit gehört Ihnen. Sie wählen den Auditor, der unparteiisch sein muss, und die Feststellungen landen in Ihrem Bericht und Ihrem Korrekturmaßnahmen-Tracker. Sein Zweck ist, Probleme zu finden, bevor die Zertifizierungsstelle es tut.
Verwechselt werden die beiden leicht, weil sie im Abstand weniger Wochen dieselben Maßnahmen betrachten. Die Reihenfolge im Jahr lautet: internes Audit, Korrekturen, Managementbewertung, Überwachungsaudit. Der Überwachungsauditor sieht sich bei seinem Besuch Ihren Bericht zum internen Audit und den Korrekturmaßnahmen-Tracker an. Ein gründliches internes Audit macht diesen Termin deshalb leichter.