Der Auditor interviewt zwei Gruppen. Die erste sind die Control Owner, also die Verantwortlichen für Berechtigungsmanagement, Personalsicherheit, Incident Handling, Lieferanten, Backups und Entwicklung. Zur zweiten gehören einige Mitarbeitende, die er am Audittag auswählt, um zu sehen, ob die Prozesse so laufen wie beschrieben. Eine neue Kollegin kann zum Beispiel bestätigen, ob sie in ihrer ersten Woche wirklich eine Sicherheitsschulung erhalten hat.
Die Gespräche folgen einem Muster. Der Auditor fragt, wie ein Prozess funktioniert, und lässt sich dann die Aufzeichnung zeigen, die das bestätigt. Die IT-Leitung erklärt etwa, wie Zugänge vergeben werden, und öffnet anschließend das Ticket für einen bestimmten Neuzugang.
Ihre Leute vorzubereiten hilft, allerdings nur bis zu einem gewissen Punkt. Sagen Sie ihnen, dass das Audit stattfindet, wozu es dient und dass Feststellungen erwartet werden und dem Unternehmen nützen. Sorgen Sie dafür, dass jeder Control Owner weiß, wo seine Aufzeichnungen liegen.
Vermeiden Sie einstudierte Antworten. Sie fallen schnell auf, weil sie nicht mehr zu den Unterlagen passen, sobald der Auditor eine Stichprobe zieht, und sie verdecken genau die Lücken, die das Audit finden soll. Wird ein Prozess in der Praxis übersprungen, hören Sie das besser jetzt von Ihrem eigenen Auditor als in ein paar Wochen vom Zertifizierungsauditor.