Interne Audit: unabhängiger Einblick in Ihr Managementsystem
Ein Internes Audit ist keine bloße Pflichtübung. Es ist der Moment, in dem Sie feststellen, ob Ihr Managementsystem in der Praxis so funktioniert, wie es beabsichtigt ist.
iQomply führt Interne Audits für ISO 27001, NEN 7510, ISO 42001 und ISO 9001 durch. Unabhängig, normorientiert und darauf ausgerichtet, was in Ihrer Organisation wirklich vor sich geht.
Das Ergebnis ist ein Auditbericht mit konkreten Feststellungen, einem klaren Bild Ihrer Position und verwertbarem Input für die Managementbewertung und das nächste externe Audit.
Was ist ein Internes Audit und wann benötigen Sie es?
Ein Internes Audit prüft, ob Ihr Managementsystem die Normanforderungen erfüllt und ob die Maßnahmen in der Praxis wie vorgesehen funktionieren. Das ist etwas anderes, als nur die Dokumentation in Ordnung zu haben. Ein Internes Audit betrachtet Verhalten, Prozesse und die Nachweisbarkeit der Wirksamkeit.
Die Norm verlangt, dass Sie das Interne Audit unabhängig durchführen. Das bedeutet, dass der Auditor nicht an den zu prüfenden Prozessen beteiligt sein darf. Für viele Organisationen ist die externe Durchführung der einzige Weg, um diese Anforderung zu erfüllen.
Sie benötigen ein Internes Audit, wenn Ihr externes Audit bevorsteht und Sie wissen möchten, wo Sie stehen. Aber auch, wenn Sie zweifeln, ob Ihre Maßnahmen in der Praxis funktionieren, wenn es personelle Veränderungen in Schlüsselrollen gab oder wenn die Managementbewertung unzureichend konkreten Input für die Steuerung liefert.
Organisationen, die intern über eine unzureichende Funktionstrennung zwischen Ausführung und Prüfung verfügen, beauftragen iQomply als unabhängigen externen Auditor. Dies gilt sowohl für einmalige Audits als auch für die strukturelle Einbettung in das Auditprogramm.
Ein gut durchgeführtes Internes Audit liefert der Managementbewertung eine Grundlage zur Steuerung. Kein Statusbericht darüber, was dokumentiert ist, sondern ein Bild davon, was in der Praxis funktioniert und wo Risiken liegen. Das macht den Unterschied zwischen einer Managementbewertung als Formalität und einer Managementbewertung als Steuerungsinstrument.
Wie ein Internes Audit bei iQomply abläuft
SCHRITT 01
Vorbereitung
Wir beginnen mit einer Dokumentenprüfung Ihres ISMS oder Managementsystems: Richtlinien, Risikoregister, frühere Auditfeststellungen und der Geltungsbereich. Auf dieser Grundlage erstellen wir einen Auditplan mit einem Stichprobenrahmen, der den Normanforderungen entspricht.
ISO 27001, NEN 7510, ISO 42001, ISO 9001
SCHRITT 02
Durchführung vor Ort
Das Audit findet an Ihrem Standort statt. Wir führen Interviews mit Prozessverantwortlichen und Zuständigen, prüfen die Wirksamkeit von Maßnahmen und bewerten die Nachweisbarkeit. Wir schauen uns an, was tatsächlich passiert, nicht nur, was dokumentiert ist.
Interviews, Funktionsweise, Normprüfung
SCHRITT 03
Feststellungen und Klassifizierung
Jede Feststellung wird klassifiziert: Konformität, Optimierungspotenzial oder Nichtkonformität. Wir setzen die Feststellungen in den Kontext und zeigen auf, welche Auswirkungen sie auf Ihr nächstes externes Audit oder Ihre Zertifizierung haben.
Rapportage, Non-conformiteiten, Aandachtspunten
SCHRITT 04
Auditbericht und Nachverfolgung
Sie erhalten innerhalb von fünf Werktagen nach dem letzten Audittag einen schriftlichen Auditbericht. Der Bericht dient als Input für die Managementbewertung, zur Vorbereitung auf das externe Audit und als Steuerungsinformation für die kontinuierliche Verbesserung.
Managementbewertung, Externes Audit, Kontinuierliche Verbesserung
Was ein Internes Audit bringt
Nach einem Internen Audit wissen Sie, wo Ihr Managementsystem steht. Nicht auf dem Papier, sondern in der Praxis. Sie erhalten konkrete Feststellungen, die Sie in gezielte Verbesserungen umsetzen können. Sie haben Input für die Managementbewertung, der über ein bloßes Status-Update hinausgeht. Und Sie verringern das Risiko von Überraschungen beim nächsten externen Audit.
Für Organisationen, die an kontinuierlicher Verbesserung arbeiten, ist das Interne Audit kein Pflichtschritt, sondern ein Steuerungsmoment. Der Unterschied liegt darin, wie die Feststellungen genutzt werden: als Checkliste oder als Basis für bessere Entscheidungsfindungen.
Organisationen, die das Interne Audit ernsthaft einsetzen, gehen besser vorbereitet in das externe Audit. Feststellungen wurden bereits bearbeitet, Nichtkonformitäten sind dokumentiert und der Auditor sieht eine Organisation, die „in control“ ist. Das beschleunigt das externe Audit und verringert die Wahrscheinlichkeit von Überraschungen.
ISO 27001
Informationssicherheit
Interne Audit als verbindliche Anforderung innerhalb des ISMS. Wir prüfen die Wirksamkeit der Maßnahmen aus Anhang A und die Übereinstimmung mit Ihrer Risikobehandlung.
NEN 7510
Informationssicherheit im Gesundheitswesen
Die ergänzende Norm für Informationssicherheit im Gesundheitswesen. Wir prüfen die gesundheitsspezifischen Anforderungen zusätzlich zur Basis der ISO 27001.
Häufig gestellte Fragen zu Internen Audits
Muss ein Internes Audit von einer externen Partei durchgeführt werden?
Das ist nicht zwingend erforderlich, aber die Norm verlangt, dass der Auditor von den zu prüfenden Prozessen unabhängig ist. In vielen Organisationen gibt es intern keine ausreichende Funktionstrennung, um diese Anforderung zu erfüllen. In diesem Fall ist die externe Durchführung die praktische Lösung. iQomply agiert als unabhängiger externer Auditor ohne Beteiligung an Ihrer Implementierung.
Was ist der Unterschied zwischen einem Internen Audit und einer Pre-Audit-Gap-Analyse?
Eine Pre-Audit-Gap-Analyse ermittelt, was noch fehlt, bevor Sie einen Zertifizierungsprozess starten. Ein Internes Audit prüft die Wirksamkeit eines bereits eingerichteten Managementsystems. Das Interne Audit ist eine normative Verpflichtung; die Gap-Analyse ist ein strategisches Vorbereitungsinstrument.
Wie lange dauert ein Internes Audit?
Das hängt von der Größe Ihrer Organisation und dem Geltungsbereich des Managementsystems ab. Für ein kombiniertes Audit nach ISO 27001 und NEN 7510 kalkulieren wir in der Regel zwei Audittage vor Ort ein. Für eine einzelne Norm oder einen kleineren Geltungsbereich kann ein Tag ausreichen. Nach einem Erstgespräch geben wir Ihnen eine konkrete Einschätzung.
Für welche Organisationen
Ein Internes Audit durch iQomply eignet sich für Organisationen, die bereits zertifiziert sind und ihre Zertifizierung aufrechterhalten möchten. Für Organisationen, die sich auf ein erstes oder wiederholtes externes Audit vorbereiten. Und für Organisationen, die intern keine ausreichende Funktionstrennung haben, um das Audit objektiv selbst durchzuführen.
Wir arbeiten für Organisationen im Gesundheitswesen, in der IT, bei Unternehmensdienstleistungen und im Bildungswesen. Sektoren, in denen Informationssicherheit, Qualitätsmanagement oder AI-Governance eine operative Verantwortung sind und keine reine Papierübung.
Im Gesundheitssektor gelten zusätzliche Anforderungen an die Informationssicherheit. Wir führen kombinierte Audits durch, bei denen der gesundheitsspezifische normative Kontext vollständig berücksichtigt wird.
Bereit, von Compliance zu echter Reife zu gelangen?
Unverbindlich, praktisch und auf Ihre Situation zugeschnitten.