Auditnachweise richtig vorbereiten

Problem in der Praxis

Kurz vor Audits entstehen häufig Sammelaktionen. Screenshots werden gemacht, Tickets exportiert, Protokolle gesucht, Risikoentscheidungen nachdokumentiert und Fachbereiche um Bestätigungen gebeten. Das erzeugt Stress und wirkt selten souverän.

Das Problem ist nicht fehlender Fleiß, sondern ein falsches Nachweisverständnis. Viele Teams betrachten Nachweise als Dokumente für den Auditor. Besser ist: Nachweise sind Spuren realer Arbeit. Sie zeigen, dass Risiken bewertet, Maßnahmen betrieben, Abweichungen behandelt und Entscheidungen getroffen wurden.

Wenn diese Spuren fehlen, ist das nicht nur ein Auditproblem. Es zeigt, dass das Managementsystem im Alltag zu wenig sichtbar ist.

CISO-Einordnung

Ein guter Nachweis beantwortet drei Fragen:

• Was wurde entschieden oder getan?
• Wer war verantwortlich?
• Wann und mit welchem Ergebnis wurde es nachvollziehbar?

Nachweise müssen nicht immer lange Dokumente sein. Je nach Prozess können Tickets, Protokolle, Freigaben, Systemreports, Reviewnotizen, Schulungsnachweise, Risikoentscheidungen, Lieferantenbewertungen oder Incident-Learnings geeignet sein.

Ausschlaggebend ist die Nachvollziehbarkeit. Ein Screenshot ohne Kontext ist schwach. Ein Ticket mit Owner, Entscheidung, Umsetzung und Abschluss ist stärker. Ein Managementprotokoll ohne klare Entscheidung ist weniger wert als ein kurzer Beschluss mit Verantwortlichem und Frist.

Hilfreich ist das Bewusstsein, dass Auditoren mit objektiven Nachweisen und Stichproben arbeiten: Sie wählen einzelne Fälle aus und prüfen, ob die Steuerung dort tatsächlich gegriffen hat. Deshalb zählt weniger die einmalig vorgezeigte Datei als die durchgängige Verfügbarkeit und Auffindbarkeit gleichartiger Nachweise über die Zeit.

Umsetzungsperspektive

Der CISO sollte für zentrale ISMS-Prozesse definieren, welche Nachweise im Regelbetrieb entstehen sollen. Dabei hilft eine einfache Matrix:

• Prozess oder Thema.
• Erwarteter Nachweistyp.
• System oder Ablageort.
• Owner.
• Frequenz oder Auslöser.
• Qualitätskriterium.

Diese Matrix ist ein eigenes Arbeitsmittel und keine Normcheckliste. Sie dient dazu, den Alltag auditfähig zu machen, ohne künstliche Dokumentation zu erzeugen.

Besondere Aufmerksamkeit verdient die Ablage- und Suchlogik. Nachweise müssen nicht alle in einem Ordner liegen, aber sie müssen auffindbar und erklärbar sein. Wenn Nachweise in Tickettools, GRC-Systemen, Wikis, IAM-Systemen oder Protokollen liegen, sollte klar sein, wie sie im Audit gezeigt werden.

Nachweise sollten zudem den gesamten relevanten Zeitraum abdecken. Externe Audits betrachten nicht nur eine Momentaufnahme, sondern die Steuerung über einen Zeitraum hinweg - bei Überwachungs- und Rezertifizierungsaudits typischerweise seit dem letzten Audit. Wer Nachweise nur punktuell kurz vor dem Termin erzeugt, kann diese Kontinuität kaum belegen. Konkrete Vorgaben zu Audittiefe und Zeitraum legen die zuständige Zertifizierungsstelle und die anerkannte Zertifizierungspraxis fest.

Typische Fehler

1. Nachweise werden als Dateisammlung statt als Prozessspur verstanden.
2. Screenshots ersetzen Entscheidungen und Kontext.
3. Nachweise liegen verstreut und niemand kennt den roten Faden.
4. Fachbereiche werden erst kurz vor dem Audit eingebunden.
5. Abweichungen werden versteckt, statt gesteuert und verbessert zu werden.

Risiken und Trade-offs

Zu viele Nachweise können ein ISMS schwerfällig machen. Zu wenige Nachweise machen Steuerung unglaubwürdig. Die richtige Tiefe hängt vom Risiko, der Kritikalität und dem Reifegrad des Prozesses ab.

Ein weiteres Risiko ist Nachweis-Theater. Wenn Teams Dokumente nur für das Audit erzeugen, entsteht eine Kultur der Darstellung statt der Steuerung. Das kann kurzfristig helfen, untergräbt aber langfristig Vertrauen.

Auch Automatisierung hat Grenzen. Automatische Reports sind wertvoll, wenn sie verstanden und genutzt werden. Sie sind schwach, wenn niemand erklären kann, welche Entscheidung daraus folgt.

Entscheidungspunkte

• Welche ISMS-Prozesse brauchen regelmäßige Nachweise?
• Welche Nachweise entstehen bereits im Betrieb und müssen nur besser verknüpft werden?
• Welche Nachweise sind für Managemententscheidungen wirklich nützlich?
• Wo fehlen Owner oder klare Ablageorte?
• Wie werden Abweichungen transparent dokumentiert und nachverfolgt?

Praktische Empfehlungen

1. Definieren Sie pro Kernprozess den erwarteten Nachweistyp und den Ablageort.
2. Nutzen Sie bestehende Systeme wie Tickets, Protokolle und Reports, statt neue Auditordner zu erzwingen.
3. Dokumentieren Sie Entscheidungen knapp, aber mit Owner, Datum und Folgeaktion.
4. Führen Sie vor Audits einen Nachweis-Walkthrough durch, keine hektische Dokumentenjagd.
5. Behandeln Sie gefundene Lücken als Verbesserungsinput für den Regelbetrieb.

Relevante Normreferenzen

• ISO/IEC 27001: Referenz für ISMS-Anforderungen und Nachweisbarkeit im Managementsystem.
• ISO/IEC 27007: Referenz für ISMS-Audits und Auditpraxis.