Tipps für Audit Prüfung und Vorbereitung (ISO, SOC2, TISAX …)

Schiebst Du Angst vor Auditprüfung?

Dieser Guide erklärt Dir, wie Dir ein Audit leichter von der Hand geht.

Ich erkläre ….

Was ist eine Auditprüfung?

Ein Audit ist eine systematische Überprüfung, ob ein Unternehmen bestimmte Sicherheitsstandards einhält.

ISO 27001 und SOC2 sind Standards für den Schutz von Informationen:

• ISO 27001 ist ein internationaler Standard für Informationssicherheit.
• SOC 2 ist ein amerikanischer Standard, der sich auf Datenschutz, Verfügbarkeit, Vertraulichkeit usw. konzentriert.
• TISAX (Teil Informationssicherheit) nutzt die ISO 27001 und bewertet die Reife der Controls für Automobilkunden

Ablauf:

1. Vorbereitung: Das Unternehmen sammelt Belege und zeigt, wie es Daten schützt (z. B. Passwortrichtlinien, Backup-Systeme, Zugriffsregeln).
2. Prüfung durch Auditoren: Eine unabhängige Person oder Firma (der Auditor) prüft diese Belege und spricht mit Mitarbeitenden.
3. Vergleich mit dem Standard: Der Auditor schaut: Werden die Regeln von ISO 27001 oder SOC 2 eingehalten?
4. Bericht und Ergebnis: Am Ende gibt es einen Bericht. Wenn alles passt, bekommt das Unternehmen ein Zertifikat (bei ISO 27001) oder einen Prüfbericht (bei SOC 2).

Warum ist das wichtig?

• Mehr Vertrauen bei Kunden und Partnern: Das Unternehmen schützt Daten zuverlässig.
• Wettbewerbsvorteil: Zertifikat hebt das Unternehmen von anderen ab.
• Erkennung von Schwachstellen: Sicherheitslücken werden entdeckt und können behoben werden.

• Klare Prozesse und Zuständigkeiten: Bessere Organisation und Verantwortlichkeit im Unternehmen.
• Erfüllung gesetzlicher Anforderungen: Unterstützung bei DSGVO, HIPAA, u. ä.
• Bessere Vorbereitung auf Notfälle: Notfallpläne und Wiederherstellungsstrategien werden entwickelt.
• Ständige Verbesserung: Regelmäßige Audits fördern kontinuierliche Sicherheitsverbesserungen.

Was passiert, wenn das Unternehmen Audits halbherzig nimmt?

• Unnötige Findings: Viele Anforderungen in Audits sind sehr formeller Natur. Diese kann man mit Dokumentation und etwas Zeit lösen. Wer hier schon in die Falle tappt, bekommt unnötige viele Findings.
• Grobfahrlässige Findings: Das Unternehmen ist besser als nach außen es darstellt. Viele Vertreter des Unternehmens wissen nicht, was die Kollegen machen und welche Prozesse existieren. Das Arbeiten in Silos führt zu Findings, die grob fahrlässig sind, obwohl das Unternehmen bereits konform ist.
• Keine Zertifizierung: Wer nichts plant und nur vor sich hin stammelt, bekommt keine Zertifizierung. Das GAP-Audit vorher sagt Dir zu 95 %, wie das Audit ablaufen wird.

Warum scheitern Mitarbeiter an Audits?

Schlechte Vorbereitung = grausiger Audit

Ein Audit Tag ist intensiv. Viele Fragen müssen rasch beantwortet werden. Die Experten müssen bereit sein. Die Systeme erreichbar und die Termine geklärt sein. 90 % eines Audits ist Deine Vorbereitung. Die „Leistung im Audit“ ist nicht relevant, weil der Auditor das Unternehmen bewertet und nicht die Vortragsart. Der Vortrag muss nur die Normerfüllung klar darstellen.

Unrealistische Erwartungen – Ergebnis bekannt?

Wir arbeiten so professionell und machen X pro Jahr, da muss doch die Zertifizierung X drin sein! Nein – Zertifizierung fallen nicht vom Himmel. Wer aber eine Zertifizierung hat, kann leichter andere Zertifizierung erreichen. Das Prinzip ist ähnlich.

Keine Prüfung der Person – Prüfung des Unternehmens

Viele Führungs- /Fachkräfte glauben, dass der Erfolg der Zertifizierung von den Fähigkeiten des Sicherheits-Mitarbeiters zu 100 % abhängt. Bei einem Audit wird aber nicht die Person geprüft, sondern das Unternehmen. Die Fachabteilungen müssen Rede und Antwort stehen, der Sicherheits-Mitarbeiter gibt nur den Kontext für den Auditor.

Dokumentation undurchsichtig und fehlend

Was war noch mal in der Doku? Wo war das Dokument X? Wenn die große Suchaktion mit Hubschraubern und Hundestaffeln losgeht, wenn der Auditor am Tisch sitzt, ist es zu spät. Du bist aufgeregt und findest die Daten nicht.

Die Theorie wird nicht gelebt

Ein Fake-Integrated-Management-System ist nur für die Norm / Zertifikat dar. Das Management hat kein Interesse an der Nutzung dieses mächtigen Tools. Schade. Das Wort ISM beinhaltet schon „Management System“ und ist das Cockpit für die Führungsetage.

Nachweise fehlen oder zu langsam

Die Mitarbeiter sind fleißig und kennen die Regeln, dokumentieren aber nichts. Jetzt sieht der Auditor nur die Policies und keine Nachweise. Sehr doof.

Was machen, damit der Audit besser läuft?

Vor-Audit – Sind wir konform?

Du kannst in einem Vor-Audit den Ausgang des Audits abschätzen. Wenn Du die Norm und die Best Practices kennst, dann kannst Du mit einem Vor-Audit die Erwartungen prüfen.

Nachweise sammeln = Nervenschoner

Bei Deinem Vor-Audit kannst Du die Nachweise sammeln und Dir alles griffbereit zurechtlegen, sodass der Audittag entspannter wird. Oft werden Dokumente am Audittag von anderen Personen umbenannt, Systeme gehen offline oder der Zugang zu XZ funktioniert nicht. Lieber die Daten vorher abspeichern, anstatt zu suchen.

Grobe Planung des Audits / Checkliste

Der Audittag muss strickt durch getaktet sein. Welche Fragen stellt der Auditor wann? Wer kann diese beantworten? Was können wir vorzeigen / präsentieren, um die Lage und Konformität zu klären?

Entweder bringt der Auditor einen Tagesplan mit oder Du musst einen erstellen. Den Tagesplan musst Du mit ausreichend Zeit für die Themen füllen. Ein Zeitlimit pro Thema ist sinnvoll, weil der Auditor nicht alles prüfen kann (und sollte). Du solltest Pausen einplanen und einhalten. Achtung. Eine Frage zur Anti-Korruption-Richtlinie ist angebracht oder jeder zahlt sein Essen selbst.

Mitarbeiter Vorgespräche führen

Viele Mitarbeiter haben noch nie einen Auditor in freier Wildbahn gesehen und müssen aufgeklärt werden. Was müssen sie erklären? Welche Fragen können kommen? Was darf ich sagen / Was muss ich sagen? Ein Audit fühlt sich für die Mitarbeiter an wie eine mündliche Prüfung oder Verhör – das ist es aber nicht.

Präsentationen und Beweise vorbereiten

Es muss nicht immer eine PowerPoint sein, aber ein vorbereiteter Satz an Dokumenten, Links, Grafiken usw. kann Dich am Audittag retten.

Dokumentation feinschleifen

Auditoren wollen sehen, dass mit den Policies gearbeitet wird. Selbst wenn alles noch topaktuell ist, solltest Du eine Überprüfung dokumentieren.

Argumentation für potenzielle Findings formulieren

Mit einer gut vorbereiteten Argumentationsführung kannst Du das ein oder andere Kriterium ausschließen oder die alternativen „Compensating Controls“ benennen. Auditoren verhandeln nur zu einem bestimmten Grad. Wenn Du eine Control wie z. B. Dokumentenkontrolle einführen sollst, dieses aber nicht geschehen ist, musst Du nicht die Argumente aus den Fingern ziehen.

Nicht (kaum) diskutieren

Ein Audit ist keine Diskussion. Es ist eine Wiederholung von Frage, Nachweise Präsentation, Rückfragen und Dokumentation. Langatmige Diskussionen kannst Du für Dir für den Feierabend sparen. Die Auditoren müssen unabhängig werten und Du kannst nicht ein Finding „wegdiskutieren“.