ISO/IEC 27001 verlangt interne Audits in geplanten Abständen. In Varmo planen Sie unter „Audits“ Ihr Auditprogramm, führen interne und externe Audits durch und behandeln die Feststellungen im Register bis zur Wirksamkeitsprüfung. Diese Anleitung richtet sich an ISMS-Verantwortliche, Auditleitungen und Verantwortliche von Feststellungen.

Bevor Sie beginnen

  • Audits planen und Feststellungen verwalten Personen mit den Rechten „Audits“ bzw. „Feststellungen“ verwalten, standardmässig die ISMS-Verantwortlichen.
  • Die Auditleitung eines internen Audits sieht ihr Audit auch ohne dieses Recht (unter Meine Audits) und erfasst während des Audits die Feststellungen.
  • Wählen Sie für interne Audits eine Auditleitung, die keine Bereiche prüft, die sie selbst verantwortet.

Audit planen

  1. Öffnen Sie Audits und klicken Sie auf Audit planen.
  2. Wählen Sie die Art: Internes Audit (durch eigene Auditorinnen und Auditoren) oder Externes Audit, zum Beispiel ein Zertifizierungsaudit.
  3. Geben Sie Titel, Umfang (Bereiche, Prozesse, Standorte), Auditkriterien und den Zeitraum an. Optional wählen Sie den geprüften Anforderungskatalog.
  4. Legen Sie die Auditleitung fest bzw. bei externen Audits die Externe Stelle.

Ein guter Start ist ein jährliches Audit der Kapitel 4–10 und rotierend Teile von Anhang A.

Auditprogramm: ISO/IEC 27001 (9.2.2) verlangt ein Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichterstattung, das die Bedeutung der Prozesse und die Ergebnisse früherer Audits berücksichtigt. In Varmo bilden die geplanten Audits mit Umfang und Auditkriterien dieses Programm; die Ergebnisse gehen über die Managementbewertung an die Leitung.

  1. ISMS-VerantwortlicheAudit planen

    Art, Umfang, Auditkriterien und Auditleitung.

  2. AuditleitungAudit starten

    Mit Unabhängigkeitserklärung.

  3. AuditleitungFeststellung erfassen

    Hauptabweichung, Nebenabweichung, Beobachtung oder Verbesserungspotenzial.

  4. Verantwortliche PersonKorrektur und Ursache festhalten

    Bei Abweichungen ist die Ursache Pflicht.

  5. Verantwortliche der MassnahmeMassnahme umsetzen

    Danach wird die Wirksamkeitsprüfung angefordert.

  6. Andere PersonWirksamkeit prüfen

    Nie, wer die Feststellung verantwortet oder die Prüfung angefordert hat.

Nicht wirksam

Die Feststellung geht mit Begründung zurück in die Behandlung.

Ohne Massnahme schliessen

Nur bei Beobachtungen und Verbesserungspotenzialen, mit Begründung.

Vom Audit bis zur wirksamen Korrektur

Sechs Schritte: Die ISMS-Verantwortlichen planen das Audit. Die Auditleitung startet es mit ihrer Unabhängigkeitserklärung und erfasst Feststellungen. Die verantwortliche Person hält Korrektur und Ursache fest und legt eine Massnahme fest, die umgesetzt wird. Danach prüft eine andere Person die Wirksamkeit; ist sie nicht gegeben, geht die Feststellung zurück in die Behandlung. Beobachtungen und Verbesserungspotenziale lassen sich mit Begründung ohne Massnahme schliessen.

Audit durchführen

  1. Starten: Ab 14 Tage vor Beginn erhält die Auditleitung die Pendenz „Audit starten“. Sie klickt auf Audit starten und bestätigt ihre Unabhängigkeitserklärung. Varmo hält diese Erklärung fest, prüft die Unabhängigkeit aber nicht selbst. Ein internes Audit startet nur die Auditleitung selbst. Externe Audits starten die Personen, die Audits planen.
  2. Feststellungen erfassen: Im laufenden Audit klicken Sie auf Feststellung erfassen. Wählen Sie die Art (Hauptabweichung, Nebenabweichung, Beobachtung oder Verbesserungspotenzial), beschreiben Sie, was festgestellt wurde und mit welchem Nachweis, und wählen Sie bei Bedarf die betroffene Anforderung, das betroffene Asset und die verantwortliche Person.
  3. Abschliessen: Mit Audit abschliessen halten Sie das Fazit fest und laden den Auditbericht als PDF hoch. Danach ist das Audit unveränderlich.

Ein geplantes Audit, das nicht stattfindet, sagen Sie mit Begründung ab.

Feststellungen behandeln

Die verantwortliche Person bearbeitet die Feststellung unter Feststellungen. Eine Feststellung durchläuft die Status „Erfasst“, „In Behandlung“, „Wirksamkeitsprüfung“ und „Geschlossen“:

  1. Korrektur und Ursache festhalten: Was wurde sofort unternommen (Sofortkorrektur), warum ist es passiert (Ursache) und kann dasselbe anderswo auftreten? Bei Abweichungen ist die Ursache Pflicht. Prüfen Sie auch, ob Richtlinien, Risiken oder Abläufe Ihres ISMS angepasst werden müssen.
  2. Massnahme festlegen: Legen Sie eine Neue Massnahme an oder wählen Sie eine bestehende. Die verantwortliche Person der Massnahme erhält eine Pendenz.
  3. Wirksamkeitsprüfung anfordern: Sind alle Massnahmen umgesetzt, fordern Sie die Prüfung an.
  4. Wirksamkeit prüfen: Eine andere Person mit Verwaltungsrecht bestätigt die Wirksamkeit oder gibt die Feststellung mit Nicht wirksam – zurück in die Behandlung und Begründung zurück.

Beobachtungen und Verbesserungspotenziale können Sie auch mit Begründung Ohne Massnahme schliessen. Soll regelmässig geprüft werden, dass eine Abweichung nicht wieder auftritt, legen Sie dafür eine interne Kontrolle an.

Was danach passiert

  • Sobald eine Feststellung eine verantwortliche Person hat, erhält diese eine Pendenz in Meine Pendenzen, auch wenn das Audit noch läuft.
  • Fehlt bei einer Feststellung die verantwortliche Person, erhalten die Personen, die Feststellungen verwalten, die Pendenz „Verantwortliche Person festlegen“.
  • Die prüfende Person erhält die Pendenz „Wirksamkeit prüfen“. Wer die Feststellung verantwortet oder die Prüfung angefordert hat, prüft nicht selbst.
  • Audits und offene Feststellungen fliessen in die nächste Managementbewertung ein.

Häufige Fragen

Kann ich ein Audit löschen?

Nur solange es geplant ist und keine Feststellungen hat. Gestartete Audits sagen Sie ab oder schliessen sie ab.

Wie gebe ich das Register weiter, etwa an eine Zertifizierungsstelle?

Unter Feststellungen laden Sie die Liste mit CSV herunter. Feststellungen einer Zertifizierungsstelle erfassen Personen, die Feststellungen verwalten, beim externen Audit.

Wer sieht eine Feststellung?

Personen mit Leserecht auf Feststellungen (z. B. die Fachrolle „Revision & Audit (nur lesen)“), die verantwortliche und die erfassende Person sowie die Auditleitung ihres Audits.