Interne Audits
Unabhängige interne Audits für ISO-Managementsysteme
ISO-Managementsystemnormen verlangen interne Audits in geplanten Abständen durch objektive und unparteiische Auditoren. Aegentra auditiert Managementsysteme nach ISO/IEC 27001, ISO/IEC 42001, ISO/IEC 27701, ISO 9001 und ISO 45001 anhand vereinbarter Kriterien, prüft Betriebsnachweise in Stichproben und berichtet Feststellungen, mit denen Ihr Team arbeiten kann – mit Beraterinnen und Beratern in Europa, remote und vor Ort in Deutschland.
Abschnitt 9.2
Was ein unabhängiges internes Audit umfasst
Was die Normen verlangen
Jede dieser Normen verlangt, dass die Organisation in geplanten Abständen interne Audits durchführt, um festzustellen, ob das Managementsystem ihren eigenen Anforderungen und der Norm entspricht und ob es wirksam verwirklicht und aufrechterhalten wird. Dazu gehören ein Auditprogramm, festgelegte Kriterien und ein Umfang je Audit, Auditoren, deren Auswahl Objektivität und Unparteilichkeit sicherstellt, die Berichterstattung an das zuständige Management und aufbewahrte Nachweise.
Was wir prüfen
Die Abschnitte 4 bis 10, die anwendbaren Maßnahmen oder betrieblichen Anforderungen, Ihre eigenen Richtlinien und Verpflichtungen und ob frühere Feststellungen behoben wurden. Stichproben werden nach Risiko, Bedeutung der Prozesse, Änderungen und früheren Ergebnissen ausgewählt; der Bericht nennt, was geprüft wurde.
Internes Audit ist keine Zertifizierung
Das interne Audit ist die eigene Überwachungstätigkeit Ihrer Organisation. Audits der Stufen 1 und 2 sowie Überwachungsaudits führt eine unabhängige Zertifizierungsstelle durch, die allein über die Zertifizierung entscheidet. Aegentra ist keine Zertifizierungsstelle.
Normen
Fünf Normen, ein Prüfansatz
Jedes Audit folgt dem Anwendungsbereich und den Risiken Ihres Systems. Die Schwerpunkte unterscheiden sich je Norm.
ISO/IEC 27001
Informationssicherheits-Managementsysteme. Das Audit umfasst den ISMS-Anwendungsbereich, Risikobeurteilung und -behandlung, die Erklärung zur Anwendbarkeit und eine risikobasierte Stichprobe der anwendbaren Maßnahmen aus Anhang A, etwa Zugriffsverwaltung, Lieferantensicherheit, Protokollierung und Reaktion auf Vorfälle.
ISO/IEC 42001
KI-Managementsysteme. Das Audit umfasst das KI-Inventar, KI-Risikobeurteilungen und Folgenabschätzungen, die Erklärung zur Anwendbarkeit, menschliche Aufsicht und Lebenszykluskontrollen sowie die Steuerung von KI-Diensten Dritter.
ISO/IEC 27701
Datenschutz-Informationsmanagementsysteme. Das Audit umfasst die Rollenentscheidungen als Verantwortlicher und Auftragsverarbeiter, das Verarbeitungsverzeichnis, die Behandlung von Datenschutzrisiken, Betroffenenrechte, Übermittlungen, Aufbewahrung und Löschung.
ISO 9001
Qualitätsmanagementsysteme. Das Audit umfasst Kontext und interessierte Parteien, Prozesssteuerung, Kundenanforderungen, die Steuerung extern bereitgestellter Prozesse, den Umgang mit Nichtkonformitäten und die Überwachung der Qualitätsziele.
ISO 45001
Managementsysteme für Sicherheit und Gesundheit bei der Arbeit. Das Audit umfasst Gefährdungsermittlung und Risikobeurteilung, rechtliche und andere Anforderungen, Konsultation und Beteiligung der Beschäftigten, betriebliche Steuerung, Notfallvorsorge und die Untersuchung von Vorfällen.
Ergebnisse
Was Sie erhalten
- Auditplan
- Umfang, Kriterien, Methoden, Zeitplan, Gesprächspartner und Nachweisanforderung, vereinbart vor Beginn der Prüfung.
- Auditbericht mit bewerteten Feststellungen
- Feststellungen, eingestuft als Hauptabweichung, Nebenabweichung oder Verbesserungspotenzial, jeweils verknüpft mit dem geprüften Kriterium und den geprüften Nachweisen.
- Grundlage für Korrekturmaßnahmen
- Ein Feststellungsregister, in dem Ihr Team Korrektur, Ursache und Korrekturmaßnahme festhält, und eine Eingabe für die Managementbewertung.
- Abschlussprüfung
- Sofern vereinbart, eine Prüfung der Folgenachweise, die festhält, welche Maßnahmen als abgeschlossen bestätigt sind und welche offen bleiben.
So läuft es ab
Vom Auditplan bis zum Abschluss
Umfang und Planung
Wir prüfen Anwendungsbereich, Auditprogramm, frühere Feststellungen und Ihre Zertifizierungstermine, klären die Unabhängigkeit und vereinbaren Kriterien, Zeitplan und Festpreis.
Nachweise prüfen
Wir befragen Prozessverantwortliche und prüfen Dokumente, Aufzeichnungen, Konfigurationen und gelebte Praxis anhand der vereinbarten Kriterien.
Bericht
In einem Abschlussgespräch stellen wir die Ergebnisse vor; Bericht und Feststellungsregister zeigen die Nachweise hinter jeder Feststellung.
Korrekturmaßnahmen prüfen
Sofern vereinbart, prüfen wir Nachweise zu Korrektur, Ursache und Wirksamkeit, bevor eine Maßnahme als abgeschlossen gilt.
Unabhängigkeit
Niemand auditiert die eigene Arbeit
Wer auditiert, darf nicht die eigene Arbeit prüfen. Bevor wir ein Audit annehmen, dokumentieren wir die Kompetenz der auditierenden Person, eine etwaige frühere Beteiligung am System, Interessenkonflikte und die Berichtswege.
Hat Aegentra das Managementsystem eingeführt, führt eine andere fachkundige Person, die an dieser Arbeit nicht beteiligt war, das Audit durch – vorbehaltlich dieser dokumentierten Prüfungen. Eine andere Person zu benennen reicht allein nicht aus: Lassen sich Objektivität und Unparteilichkeit nicht sicherstellen, ist ein anderer Anbieter erforderlich.
Wir auditieren auch Systeme, die intern oder von anderen Anbietern aufgebaut wurden, unter denselben Prüfungen.
Ihr internes Audit steht vor dem Zertifizierungsaudit an?
Nennen Sie uns Norm, Umfang und Ihre Zertifizierungstermine.