Govern
Managementsysteme, die einem Audit standhalten. Nachweise statt Folien.
Govern ist die Governance-, Risiko- und Compliance-Praxis von Aegentra. Wir führen Managementsysteme nach ISO/IEC 27001, ISO/IEC 42001 und ISO/IEC 27701 ein und bereiten Organisationen auf SOC-2-Prüfungen vor – mit Beraterinnen und Beratern in Europa, remote und vor Ort in Deutschland. Jedes Projekt beginnt mit einem schriftlichen Leistungsumfang und einem Festpreis.
Einführungsleistungen
Vier Wege, wie Govern Ihre Nachweise aufbaut
ISO/IEC 27001
Informationssicherheits-Managementsystem (ISMS): Anwendungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, Maßnahmen und Nachweise für eine akkreditierte Zertifizierungsstelle.
ISO/IEC 42001
KI-Managementsystem: KI-Inventar, Risiko- und Folgenabschätzung, Maßnahmen und Nachweise für die KI, die Sie entwickeln, anbieten oder nutzen.
ISO/IEC 27701
Datenschutz-Informationsmanagementsystem: Verarbeitungsverzeichnis, Datenschutzrisiken, Maßnahmen für Verantwortliche und Auftragsverarbeiter und Nachweise, die die Rechenschaftspflicht nach der DSGVO unterstützen.
SOC 2
Vorbereitung auf eine SOC-2-Prüfung: Abgrenzung der Dienstleistung, Gap-Analyse gegen die Trust Services Criteria und ein Nachweispaket für die CPA-Prüfungsgesellschaft.
So läuft ein Projekt ab
Benannte Phasen, ein verantwortlicher Leistungsumfang
Erstgespräch
Wir beginnen mit der konkreten Anforderung: der Kundenanfrage, der Regulierung oder dem Zertifizierungsziel, den betroffenen Gesellschaften und Leistungen sowie Ihrem Termin.
Schriftlicher Umfang und Festpreis
Sie erhalten ein Angebot mit Leistungen, Verantwortlichkeiten, Annahmen, Ausschlüssen und Festpreis. Gebühren der Zertifizierungsstelle oder CPA-Prüfungsgesellschaft sind gesondert.
Aufbau
Wir setzen die vereinbarten Anforderungen gemeinsam mit Ihrem Team um – ausgehend von Ihrem Kontext, Ihren Risiken und bestehenden Maßnahmen, nicht von einem Vorlagenpaket.
Nachweise
Maßnahmen werden mit den Risiken verknüpft, die sie behandeln, und mit Aufzeichnungen, die ihren Betrieb belegen, damit ein Auditor die Begründung nachvollziehen kann.
Übergabe
Wir bereiten die Managementbewertung vor und übergeben ein geordnetes Nachweispaket an die unabhängige Zertifizierungsstelle oder CPA-Prüfungsgesellschaft Ihrer Wahl.
Unabhängigkeit
Einführung und internes Audit bleiben getrennt
Wer ein Managementsystem aufbaut, kann es nicht glaubwürdig auditieren. Das interne Audit, das ISO-Managementsystemnormen verlangen (Abschnitt 9.2), muss objektiv und unparteiisch sein. Wer ein System konzipiert oder eingeführt hat, auditiert es daher nie.
Hat Aegentra das System eingeführt, kann eine andere fachkundige Beraterin oder ein anderer fachkundiger Berater von Aegentra, die oder der an dieser Arbeit nicht beteiligt war, das interne Audit durchführen – nachdem Kompetenz, frühere Beteiligung und Interessenkonflikte dokumentiert und geprüft wurden. Lässt sich die Objektivität nicht sicherstellen, ist ein anderer Anbieter erforderlich.
Die Zertifizierung ist ein dritter, getrennter Schritt. Eine unabhängige akkreditierte Zertifizierungsstelle führt das Zertifizierungsaudit durch und entscheidet über die Zertifizierung. Aegentra ist keine Zertifizierungsstelle und stellt keine Zertifikate aus.
Weitere Leistungen
Assurance und Sicherheit neben Govern
Interne Audits
Unabhängige interne Audits nach ISO/IEC 27001, ISO/IEC 42001, ISO/IEC 27701, ISO 9001 und ISO 45001.
Harden
Sicherheitsbewertung von Microsoft 365, Penetrationstests, E-Mail-Sicherheit und Informationsschutz, mit nach Risiko priorisierten Ergebnissen.
Sie planen eine Zertifizierung oder müssen eine Kundenanfrage beantworten?
Nennen Sie uns Anforderung, Umfang und Termin. Wir sagen Ihnen ehrlich, was dafür nötig ist.