Internes Audit für Managementsysteme

Ein internes Audit ist eine systematische, unabhängige Überprüfung eines Managementsystems gegen definierte Normkriterien. Die Anforderung ergibt sich aus Kapitel 9.2 der ISO-Managementsystemnormen (ISO 27001, ISO 22301, ISO 42001). Das Audit wird nach der Methodik der ISO 19011 durchgeführt und prüft, ob dokumentierte Prozesse tatsächlich gelebt werden und die Normkonformität gewährleistet ist. Es dient der Vorbereitung auf das externe Zertifizierungsaudit und der kontinuierlichen Verbesserung.

Die Dauer hängt von der Größe der Organisation, dem Geltungsbereich und der Anzahl der zu prüfenden Standorte ab. In der Regel umfasst die Vor-Ort-Phase eines internen Audits zwei bis fünf Tage. Hinzu kommen die Vorbereitung (Dokumentenprüfung, Auditplanung) und die Nachbereitung (Berichterstellung, Maßnahmenabstimmung). Für ein Erstaudit eines ISMS mit 50 bis 200 Mitarbeitenden sollte man insgesamt vier bis sechs Wochen einplanen.

Die Kosten richten sich nach dem Umfang des Geltungsbereichs, der Anzahl der Standorte und der Komplexität des Managementsystems. SECURAM erstellt ein individuelles Angebot auf Basis eines Vorgespräches, in dem Scope und Auditkriterien abgestimmt werden. Anders als bei internen Lösungen entfallen Schulungskosten für eigene Auditoren und das Risiko fehlender Unabhängigkeit.

SECURAM prüft über alle vier Säulen der Managementsysteme hinweg: ISMS, BCMS, AIMS und Risikomanagement. Das bedeutet, dass ein einziges Auditteam normübergreifende Zusammenhänge erkennt, die bei isolierten Einzelaudits verloren gehen. Nadine Eibel als Lead Auditorin ISO 27001 mit CISM-Zertifizierung bringt operative Erfahrung aus der Implementierung mit, nicht nur Prüfkompetenz. Das Ergebnis sind Feststellungen, die sich direkt in Verbesserungsmaßnahmen übersetzen lassen.

Interne Audits werden von qualifizierten Auditoren durchgeführt, die unabhängig vom geprüften Bereich sind. ISO 19011 fordert Objektivität und Unparteilichkeit. Für kleine und mittlere Unternehmen ist diese Unabhängigkeit intern oft schwer sicherzustellen, weshalb die Beauftragung eines externen Auditdienstleisters wie SECURAM eine verbreitete und normkonforme Lösung darstellt.

ISO 19011 ist der internationale Leitfaden für die Auditierung von Managementsystemen. Die Norm definiert Grundsätze des Auditierens, beschreibt das Management von Auditprogrammen und gibt Anleitungen zur Durchführung von Audits sowie zur Kompetenz von Auditoren. Sie ist auf alle Managementsystemnormen anwendbar und bildet die methodische Grundlage für interne wie externe Audits.

Stellen Sie sicher, dass die Dokumentation Ihres Managementsystems aktuell und vollständig ist. Dazu gehören Leitlinien, Verfahrensanweisungen, Risikobewertungen und Nachweise durchgeführter Maßnahmen. Informieren Sie die betroffenen Mitarbeitenden über den Auditablauf und stellen Sie Interviewpartner bereit. Eine vorherige GAP-Analyse kann offensichtliche Lücken aufdecken und die Auditeffizienz erhöhen.

Jede Feststellung wird nach Schweregrad klassifiziert: Hauptabweichung (Major), Nebenabweichung (Minor) oder Beobachtung (Observation). Für Abweichungen werden Korrekturmaßnahmen mit Verantwortlichen und Fristen vereinbart. SECURAM liefert eine strukturierte Feststellungsliste mit Nachverfolgungssystem. Die Ergebnisse fließen in das Management Review ein und bilden die Grundlage für den kontinuierlichen Verbesserungsprozess nach PDCA.

Ein internes Audit (First-Party-Audit) wird von der Organisation selbst oder in deren Auftrag durchgeführt. Es dient der Selbstbewertung und Vorbereitung auf die Zertifizierung. Ein externes Audit (Third-Party-Audit) wird von einer akkreditierten Zertifizierungsstelle durchgeführt und ist Voraussetzung für die Erteilung oder Aufrechterhaltung eines Zertifikats. Beide Auditarten folgen der Methodik nach ISO 19011, unterscheiden sich aber in Auftraggeber und rechtlicher Wirkung.