Leitfaden zum internen Audit

Definition

ISO 19011 definiert ein Audit als systematischen, unabhängigen und dokumentierten Prozess, um Nachweise zu erlangen und objektiv auszuwerten, inwieweit Kriterien erfüllt sind. Abschnitt 9.2 der ISO/IEC 27001 verlangt interne Audits in geplanten Abständen.

Die Global Internal Audit Standards des IIA regeln den Berufsstand selbst, der weiter in Governance und Risikomanagement hineinreicht.

Warum es wichtig ist

Es findet Probleme, solange Sie sie noch selbst beheben können, bevor eine Zertifizierungsstelle, eine Behörde oder ein Vorfall es tut.

Es gibt der Leitung außerdem einen Blick, der nicht von den Menschen stammt, die den Prozess betreiben.

Wie es funktioniert

Erstellen Sie zuerst das Programm: welche Bereiche, wie oft und warum. Geben Sie dem Vorrang, was das meiste Risiko trägt oder sich kürzlich geändert hat, und wählen Sie Auditoren, die nicht ihre eigene Arbeit prüfen.

Legen Sie für jedes Audit Ziele, Umfang und Kriterien fest. Lesen Sie die Dokumente, befragen Sie dann Menschen, beobachten Sie die Arbeit und ziehen Sie Stichproben aus den Aufzeichnungen.

Berichten Sie die Feststellungen mit ihren Nachweisen und halten Sie ein Abschlussgespräch. Verfolgen Sie dann die Korrekturmaßnahmen bis zum Ende und prüfen Sie, dass sie gewirkt haben.

Ein Praxisbeispiel

Ein Unternehmen mit 150 Beschäftigten auditiert das Zugriffsmanagement nach ISO/IEC 27001, mit einem Auditor aus seiner Finanzabteilung. Der Plan umfasst drei Systeme an zwei Tagen.

Von 25 geprüften Austritten behielten 2 ihre Zugänge länger als einen Monat. Die Feststellung nennt Kriterium, Nachweis und Auswirkung. Der IT-Leiter sagt eine Korrekturmaßnahme bis zum 30. April zu, und der Auditor prüft sie im Juni.

Bewährte Praktiken

• Teilen Sie dem auditierten Team Umfang und Termine vorab mit. Ein Audit ist kein Hinterhalt.
• Halten Sie die Stichprobe fest und wie Sie sie gewählt haben, damit jemand anderes sie wiederholen könnte.
• Berichten Sie gute Praxis ebenso wie Lücken. Menschen arbeiten bereitwilliger mit einem Auditor zusammen, der bemerkt, was funktioniert.
• Warten Sie eine Betriebsphase ab, bevor Sie eine Korrekturmaßnahme prüfen.

Häufige Fehler

• Menschen ihre eigene Arbeit auditieren zu lassen, egal wie klein das Team ist.
• Sich auf Interviews ohne Aufzeichnungen dahinter zu stützen.
• Meinungen ohne zugehöriges Kriterium zu berichten, was das Abschlussgespräch in eine Debatte verwandelt.
• Eine Maßnahme zu schließen, weil jemand sagt, sie sei erledigt.

Fragen

Wie oft muss ein internes Audit stattfinden?

In geplanten Abständen, die Sie festlegen. ISO/IEC 27001 nennt keine Zahl, üblich ist aber ein jährliches Programm, das das gesamte System innerhalb des Zertifizierungszyklus abdeckt.

Kann ein kleines Unternehmen sich selbst auditieren?

Ja, wenn der Auditor objektiv und unparteiisch ist. Beschäftigte aus einer anderen Abteilung oder ein externer Auditor kommen beide infrage.

Was unterscheidet internes und externes Audit?

Das erste gibt das Unternehmen für sich selbst in Auftrag. Das zweite führt ein Kunde, eine Behörde oder eine Zertifizierungsstelle durch.

Was ist das Modell der drei Linien?

Ein Modell des IIA, in dem die Leitung die Risiken trägt, Funktionen der zweiten Linie sie unterstützen und überwachen und die interne Revision unabhängige Sicherheit gibt.

Wie lang sollte ein Auditbericht sein?

So kurz, wie es die Klarheit erlaubt: Umfang, Kriterien, Schlussfolgerung, Feststellungen mit ihren Nachweisen und vereinbarte Maßnahmen.