Ein Zertifizierungsauditor liest den internen Auditbericht, um zwei Dinge zu beurteilen: ob das Audit sauber durchgeführt wurde und ob das ISMS funktioniert. Ein Bericht, der beide Fragen beantwortet, enthält sechs Elemente.
- Scope und Prüfmaßstab: welche Teile des ISMS auditiert wurden und woran sie gemessen wurden, zum Beispiel an den Abschnitten 4 bis 10 der ISO 27001:2022 und den Maßnahmen aus Anhang A in Version 3 des Statement of Applicability (SoA).
- Auditor, Termine und Methode: wer wann und wie auditiert hat, einschließlich der geführten Interviews und der gezogenen Stichproben.
- Feststellungen: jede mit der Anforderung, die sie nicht erfüllt, dem gesichteten Nachweis und einer Einstufung als schwerwiegende Abweichung, geringfügige Abweichung oder Hinweis. Gut formuliert klingt das so: „Anhang A 5.18: Die Zugriffsrichtlinie verlangt vierteljährliche Reviews; in den letzten 12 Monaten ist nur eines dokumentiert, im März.“
- Konformität: eine Zusammenfassung dessen, was geprüft wurde und in Ordnung war, damit der Bericht das Gesamtbild zeigt.
- Korrekturmaßnahmen: zu jeder Feststellung die geplante Maßnahme, die verantwortliche Person und die Frist oder ein Verweis auf den Korrekturmaßnahmen-Tracker.
- Kompetenz und Unparteilichkeit: ein Satz, der beides bestätigt; das Zertifikat des Auditors liegt in der Ablage.
Nach Abschnitt 9.2 muss außerdem die Leitung von den Ergebnissen erfahren. Eine einseitige Zusammenfassung vorn im Bericht, mit der Zahl der Feststellungen je Einstufung und den drei wichtigsten, deckt das ab und gibt der Geschäftsführung etwas Konkretes für die Managementbewertung.