Die Norm stellt zwei Bedingungen: Der Auditor braucht die nötige Kompetenz (Abschnitt 7.2), und er prüft nichts, woran er selbst mitgewirkt hat, damit sein Urteil unabhängig bleibt (Abschnitt 9.2).
Unparteiisch heißt, dass der Auditor nicht seine eigene Arbeit prüft. Wer das ISMS verantwortet, kann es nicht selbst auditieren, und die IT-Leitung nicht die Zugriffsrechte, die sie eingerichtet hat. Kompetent heißt, dass jemand ISO 27001 versteht und das Handwerk kennt: Stichproben ziehen, Interviews führen, eine Maßnahme von der Richtlinie bis zur Aufzeichnung nachverfolgen.
In einem kleinen Unternehmen ziehen die beiden Bedingungen oft in entgegengesetzte Richtungen. Wer das ISMS gut kennt, hat es meist mit aufgebaut, und wer nicht beteiligt war, ist mit der Norm selten vertraut. Einige typische Fälle:
- Die Compliance-Managerin eines Unternehmens mit 30 Beschäftigten möchte das ISMS auditieren, das sie selbst betreibt. Nicht möglich.
- Der CEO eines Startups mit acht Leuten möchte das Audit übernehmen. Er hat die Richtlinien und Risikoentscheidungen freigegeben, kann also das Auditprogramm verantworten, während eine andere Person auditiert.
- Eine Kollegin aus der Finanzabteilung, die einen Kurs für interne Auditoren abgeschlossen hat, auditiert die IT-Maßnahmen. Möglich, weil die Finanzabteilung an diesen Maßnahmen nicht beteiligt war und der Kurs die Kompetenz nachweist.
- Die Entwicklung auditiert HR und HR die Entwicklung. Das funktioniert, wenn beide Auditoren geschult sind.
Viele Unternehmen unter 50 Beschäftigten entscheiden sich am Ende für einen externen Auditor, weil die Suche nach einer geschulten und zugleich unbeteiligten Person mehr Aufwand kostet, als sie einspart.