Wenn Sie ein fanatischer – oder weniger fanatischer – Leser unserer Artikel sind, wissen Sie wahrscheinlich inzwischen, wie wichtig die Gewährleistung der Informationssicherheit und der Einhaltung von Vorschriften ist. Daher sind die Bewertung der Leistungen und das Risikomanagement in diesem Bereich für Unternehmen von größter Bedeutung. Machen wir Fortschritte auf dem Weg zu unseren Compliance-Zielen? Schauen wir uns an, was mit der Innenrevision passiert.
Wird ein wirksames Risikomanagement betrieben? Werden die Richtlinien und Verfahren korrekt angewandt, oder könnten sie verbessert werden? Auf alle diese Fragen gibt es eine Antwort: Die Innenrevision.
Interne Audits sind ein hilfreiches Instrument für Unternehmen aller Art. Sie helfen einer Organisation dabei, Bereiche zu definieren, in denen sie sich verbessern kann, und liefern gleichzeitig Informationen, die sie zur Erreichung ihrer Ziele benötigt. Interne Audits sollten in der Regel von jemandem durchgeführt werden, der nicht als Compliance-Beauftragter in einem Unternehmen tätig ist. Mit anderen Worten: Die interne Prüfung wird unabhängig und objektiv durchgeführt, so dass jemand alle Unterlagen und Kontrollen mit einem frischen Blick betrachten kann. In diesem Fall heißt dieser frische Blick Compleye. In diesem Artikel erfahren Sie alles, was Sie über die Art und Weise wissen müssen, wie wir interne Audits durchführen.
Prüfen, prüfen, doppelt prüfen
Lassen Sie uns Ihnen zeigen, wie wir intern – sehen Sie, was wir da gemacht haben? – interne Audits durchführen, um Unternehmen auf die Zertifizierung nach ISO 27001 vorzubereiten. Wir haben Kriterien für jedes Kapitel und jede Kontrolle festgelegt, da alle ISO 27001-Standards und -Normen im Voraus festgelegte Kriterien haben. Wir prüfen nacheinander jedes einzelne Dokument, jede einzelne Kontrolle und alles, was das Unternehmen tut oder nicht tut.
Ausspucken, was los ist – Interne Revision
Wie ein Detektiv, der pikante Details aufdeckt, oder ein Trüffelhund, der im Wald Leckerbissen findet, gehen wir all diese Kriterien durch und stellen Feststellungen fest. Anschließend untersuchen wir diese Feststellungen, und je nach Schwere und Ernsthaftigkeit können sie als Nichtkonformitäten oder Problembereiche eingestuft werden. Nichtkonformität ist eine Auditbezeichnung, die anzeigt, dass das Informationssicherheitssystem (oder ein Teil davon) die Anforderungen der ISO 27001 nicht erfüllt. Vereinfacht ausgedrückt bedeuten Nichtkonformitäten, dass Ihr Unternehmen die Anforderungen nicht erfüllt. Besorgniserregende Bereiche hingegen bedeuten, dass Ihr Unternehmen die Anforderungen zwar erfüllt, aber bestimmte Dinge noch verbessern muss.
Unterstützung und Bericht
Später geben wir unseren Bericht mit allen unseren Feststellungen heraus. Diese sind definiert als und unterteilt in Nichtkonformitäten und Problembereiche. Wir senden diesen Bericht an das Management und das ISMS-Team zur Überprüfung und Genehmigung. Nach der Genehmigung halten wir alle unsere Feststellungen im Abschnitt für Verbesserungen auf unserer Plattform Compleye Online fest.
Ist das interne Audit obligatorisch?
Fassen wir uns kurz und bündig: Ja. Das interne Audit ist eine Pflichtleistung, um die ISO 27001-Zertifizierung zu erhalten. Wenn Sie das interne Audit nicht einmal pro Jahr durchführen lassen, können Sie sich von der Zertifizierung verabschieden.
Echtzeit-Audit von Compleye
Die interne Revision umfasst viele Schritte und Kontrollen – und mit viel, meinen wir viel – und nimmt daher auch einiges an Zeit in Anspruch. Wäre es nicht toll, wenn es etwas gäbe, das diesen Prozess ein wenig einfacher und schneller machen könnte? Welch ein Zufall! Wir sind gerade dabei, unseren nächsten Schritt auf Compleye Online zu entwickeln: das Real Time Audit. Damit werden bestimmte Schritte automatisiert und vereinfacht, was sowohl für den Kunden als auch für den internen Prüfer von Vorteil sein wird. Allerdings wird es immer Schritte geben, die wir weiterhin manuell durchführen werden.
Abschließend lässt sich sagen, dass der Hauptzweck einer internen Prüfung darin besteht, ein Unternehmen auf die vorgeschriebene externe Prüfung vorzubereiten. Wir prüfen jede einzelne Richtlinie und jedes Dokument, das es dem Unternehmen ermöglicht, seinen Status quo zu verbessern. Man könnte es als eine zusätzliche Kontrolle sehen. Der objektive Ansatz ermöglicht es, alles aus einem anderen Blickwinkel zu betrachten, so dass es hilfreich ist, wenn jemand die interne Prüfung durchführt, der nicht direkt mit dem Unternehmen zu tun hat. Sehen Sie es einfach als eine clevere Checkliste, um mit der Zertifizierung voranzukommen. Das Leben muss manchmal gar nicht so kompliziert sein.
