Nach dem Lesen können Sie eine Checkliste schreiben, die das Audit leitet, ohne es einzuschränken, und verwertbare Nachweise hinterlässt.
Definition
ISO 19011 behandelt Checklisten als Arbeitsdokumente, die Auditoren helfen, den Überblick zu behalten, und warnt, dass sie das Audit nicht einschränken dürfen. Was unterwegs auftaucht, verdient trotzdem Beachtung.
Warum es wichtig ist
Sie stellt sicher, dass der Umfang abgedeckt wird, und zeigt danach, was geprüft wurde und was nicht.
Ein weniger erfahrener Auditor gewinnt außerdem eine Struktur, die seine Arbeit einheitlich hält.
Wie es funktioniert
Nehmen Sie die Kriterien im Umfang. Schreiben Sie für jedes auf, was Sie in der Praxis zu sehen erwarten, welche Dokumente und Aufzeichnungen Sie anfordern und wen Sie treffen.
Legen Sie Ihre Stichproben vorab fest: wie viele, über welchen Zeitraum und wie sie ausgewählt werden.
Halten Sie während des Audits die Nachweise genau fest, mit Dokumentname, Version, Datum und Nummern der gesehenen Aufzeichnungen. Schließen Sie jede Zeile mit einem Ergebnis ab.
Ein Praxisbeispiel
Kriterium: ISO/IEC 27001 Maßnahme 5.18, Zugriffsrechte. Der Auditor erwartet eine jährliche, von den Systemverantwortlichen unterschriebene Überprüfung und fordert die letzte Überprüfung des Finanzsystems sowie die Liste der 15 Personen an, die in diesem Jahr eingetreten sind oder die Rolle gewechselt haben.
Der Nachweis ist eine Überprüfung vom 14. Februar, unterschrieben vom Finanzvorstand, und 15 von 15 genehmigten Zugriffsänderungen. Ergebnis: konform.
Bewährte Praktiken
- Beschreiben Sie die Praxis, die Sie zu sehen erwarten. Den Wortlaut der Norm abzuschreiben bringt nichts.
- Lassen Sie in jeder Zeile Platz, um den Nachweis festzuhalten.
- Erstellen Sie für jedes Audit eine neue Fassung, ausgehend von dem, was das letzte gefunden hat.
- Gehen Sie dem nach, was Sie entdecken, auch wenn es nicht auf der Liste steht.
Häufige Fehler
- Die Liste vom Vorjahr wiederzuverwenden, ohne zu prüfen, was sich geändert hat.
- Geschlossene Fragen zu stellen und ein Ja hinzunehmen. Menschen antworten gern, was Sie offenbar hören wollen.
- Das Audit in Formularausfüllen zu verwandeln, sodass der Auditor nicht mehr vom Blatt aufschaut.
- „Geprüft“ ohne Referenz zu schreiben, worauf man sich später nicht stützen kann.
Fragen
- Ist eine Audit-Checkliste Pflicht?
- Nein. ISO 19011 nennt sie unter den Arbeitsdokumenten, die ein Auditor vorbereiten kann.
- Sollte die Checkliste vorab geteilt werden?
- Der Auditplan wird geteilt. Die Liste der vorzubereitenden Aufzeichnungen zu senden spart Zeit, solange der Auditor die Stichproben weiterhin vor Ort auswählt.
- Wie viele Zeilen braucht eine Audit-Checkliste?
- So viele, wie Umfang und Zeit sorgfältig zu prüfen erlauben, meist weit weniger als der gesamte Normtext.
- Welche Stichprobengröße ist für ein Audit richtig?
- Keine einzelne Zahl passt. Sie hängt von der Grundgesamtheit, dem Risiko und der Häufigkeit der Kontrolle ab. Halten Sie fest, wie Sie gewählt haben.
- Gibt es andere Ergebnisse als bestanden oder nicht bestanden?
- Ja: konform, nicht konform, Verbesserungspotenzial und nicht auditiert sind alles nützliche Ergebnisse.