Interne Kontrollen durchführen und nachweisen

Eine interne Kontrolle ist eine Prüfhandlung, die Ihre Organisation in festem Rhythmus durchführt und mit Nachweis festhält, zum Beispiel „Berechtigungen im ERP quartalsweise überprüfen“ oder „Restore testen“. Zusammen bilden die Kontrollen Ihr internes Kontrollsystem (IKS) und helfen bei der Überwachung nach ISO/IEC 27001, Kapitel 9.1. Dieser Artikel richtet sich an ISMS-Verantwortliche und an Personen, die Kontrollen durchführen.

Bevor Sie beginnen

• Sie finden die Kontrollen im Menü unter Kontrollen. Wer nur eigene Kontrollen durchführt, sieht dort Meine Kontrollen.
• Kontrollen anlegen, ändern, Anforderungen zuordnen und Mängel behandeln dürfen Personen mit dem Recht „Kontrollen: Verwalten“, standardmässig die ISMS-Verantwortlichen.
• Durchführungen erfasst die verantwortliche Person der Kontrolle oder wer Kontrollen verwaltet.
• Kontrollen sind in allen Paketen enthalten.

Kontrolle anlegen

1. Öffnen Sie Kontrollen und klicken Sie auf Neue Kontrolle.
2. Geben Sie den Titel ein, zum Beispiel „Berechtigungen im ERP überprüfen“, und das Kontrollziel: Was soll sichergestellt sein?
3. Beschreiben Sie unter Durchführung die Prüfschritte und unter Erwarteter Nachweis, was am Ende vorliegen soll, etwa „unterschriebene Rollenliste als PDF“.
4. Wählen Sie den Rhythmus (z. B. quartalsweise oder Einmalig) und Erste Durchführung bis.
5. Wählen Sie, wer Verantwortlich (führt durch) ist, und unter Prüft Anforderungen die Anforderungen, die die Kontrolle belegt.
6. Klicken Sie auf Kontrolle anlegen.

Die Ansicht Jahresplan zeigt alle Fälligkeiten des Jahres aus dem Rhythmus.

Durchführung erfassen

1. Öffnen Sie die Kontrolle und klicken Sie auf Durchführung erfassen.
2. Geben Sie an, wann sie Durchgeführt am war, und laden Sie den Nachweis (PDF) hoch. Der Nachweis ist Pflicht.
3. Wählen Sie das Ergebnis: Wirksam, wenn die Prüfung ohne Befund war, oder Mangel, wenn etwas nicht wie vorgesehen wirkt. Bei einem Mangel beschreiben Sie, was festgestellt wurde.
4. Speichern Sie. Varmo setzt die nächste Fälligkeit nach dem Rhythmus.

Mangel beheben

Bei einem Mangel legen Personen, die Kontrollen verwalten, mit Mangel beheben fest, wie er behoben wird: mit Neue Massnahme (Titel, Beschreibung, Verantwortlich und Umsetzen bis) oder mit einer bestehenden Massnahme unter Bestehende wählen. Die verantwortliche Person der Massnahme erhält eine Pendenz. Ob der Mangel behoben ist, zeigt die nächste Durchführung der Kontrolle; bei einer einmaligen Kontrolle erfassen Sie dafür eine Nachprüfung.

1. ISMS-VerantwortlicheAnlegen

   Rhythmus, verantwortliche Person, erwarteter Nachweis.

2. Verantwortliche PersonDurchführen

   Mit Nachweis als PDF.

3. Verantwortliche PersonErgebnis

   Wirksam oder Mangel.

↩ Mangel

Eine Massnahme behebt ihn; die nächste Durchführung bzw. die Nachprüfung zeigt, ob er behoben ist.

Eine Kontrolle wird angelegt und vor jeder Fälligkeit von der verantwortlichen Person durchgeführt. Die Durchführung wird mit Nachweis als wirksam oder mit Mangel erfasst. Bei einem Mangel wird eine Massnahme zur Behebung festgelegt; die nächste Durchführung zeigt, ob der Mangel behoben ist.

Was danach passiert

• 7 Tage vor jeder Fälligkeit erhält die verantwortliche Person die Pendenz Kontrolle durchführen, nach dem Termin Kontrolle überfällig.
• Fehlt die verantwortliche Person, erhalten Personen mit dem Recht, Kontrollen zu verwalten, die Pendenz Verantwortliche Person festlegen. Dasselbe gilt für Mangel beheben: Massnahme festlegen, solange ein Mangel ohne Behebung ist.
• Wirksame Durchführungen zählen als Nachweis bei den zugeordneten Anforderungen. Ein Mangel kann dazu führen, dass eine als umgesetzt gemeldete Anforderung wieder geprüft werden muss.
• Kontrollen erscheinen in der Managementbewertung, siehe Managementbewertung vorbereiten und durchführen.

Häufige Fragen

Kann ich eine Kontrolle löschen?

Nur solange sie keine Durchführungen hat. Sonst klicken Sie auf Deaktivieren: Die Kontrolle wird nicht mehr fällig, Durchführungen und Nachweise bleiben erhalten. Mit Aktivieren schalten Sie sie wieder ein.

Wie hängen Kontrollen mit Risiken zusammen?

Auf der Seite eines Risikos ordnen Sie unter „Laufende Behandlung“ mit Kontrolle zuordnen Kontrollen zu, die das Risiko überwachen. So sehen Sie dort, ob die Überwachung wirkt, siehe Risiken melden, prüfen und behandeln.

Was ist der Unterschied zu wiederkehrenden Massnahmen?

Eine wiederkehrende Massnahme ist etwas, das Sie regelmässig tun, etwa eine Datensicherung. Eine Kontrolle prüft, ob etwas wirkt, etwa ob die Datensicherung wiederhergestellt werden kann. Siehe Massnahmen umsetzen und nachweisen.