5 Fragen zu Auditing

Ein Abschlussgespräch bei einem internen Audit dient dazu, die Ergebnisse des Audits zusammenzufassen und zu besprechen. Dabei werden die festgestellten Stärken und Schwächen des geprüften Bereichs sowie mögliche Verbesserungspotenziale erörtert. Wichtige Punkte, die in einem Abschlussgespräch behandelt werden sollten, sind: 1. **Ergebnisse des Audits**: Präsentation der wichtigsten Feststellungen und Beobachtungen. 2. **Diskussion von Abweichungen**: Analyse von festgestellten Abweichungen von den Standards oder Prozessen. 3. **Empfehlungen**: Vorschläge zur Verbesserung und zur Behebung von festgestellten Mängeln. 4. **Feedback**: Möglichkeit für die auditierten Personen, Rückmeldungen zu geben und Fragen zu stellen. 5. **Nächste Schritte**: Festlegung von Maßnahmen und Verantwortlichkeiten zur Umsetzung der Empfehlungen. Das Abschlussgespräch ist eine wichtige Gelegenheit, um Transparenz zu schaffen und die Zusammenarbeit zwischen Auditoren und den auditierten Bereichen zu fördern.

Hier sind fünf Fragen, die ein Auditor zum Normkapitel 4.1 der ISO 27001 stellen kann: 1. Wie hat die Organisation den Kontext, in dem sie tätig ist, identifiziert und dokumentiert? 2. Welche internen und externen Themen wurden als relevant für das Informationssicherheitsmanagementsystem (ISMS) der Organisation erkannt? 3. Wie werden die Bedürfnisse und Erwartungen der interessierten Parteien in Bezug auf die Informationssicherheit ermittelt und berücksichtigt? 4. Welche Verfahren sind implementiert, um sicherzustellen, dass der Kontext des ISMS regelmäßig überprüft und aktualisiert wird? 5. Wie wird sichergestellt, dass die Informationen über den Kontext der Organisation in die Planung und Umsetzung des ISMS integriert werden?

Hier sind fünf Fragen, die ein Auditor zu den Controls der ISO 27002 stellen kann: 1. **Dokumentation und Richtlinien**: Gibt es dokumentierte Richtlinien und Verfahren, die die Implementierung und den Betrieb des Controls unterstützen? Wie werden diese regelmäßig überprüft und aktualisiert? 2. **Risikobewertung**: Wie wird das Risiko, das durch die Kontrolle adressiert wird, bewertet? Welche Methoden werden verwendet, um die Wirksamkeit des Controls zu messen? 3. **Schulung und Sensibilisierung**: Welche Schulungsmaßnahmen wurden für Mitarbeiter implementiert, um sicherzustellen, dass sie die Anforderungen des Controls verstehen und einhalten? 4. **Überwachung und Berichterstattung**: Wie wird die Einhaltung des Controls überwacht? Gibt es regelmäßige Berichte oder Audits, die die Effektivität des Controls bewerten? 5. **Verbesserungsmaßnahmen**: Welche Prozesse sind vorhanden, um Schwächen oder Vorfälle im Zusammenhang mit dem Control zu identifizieren und zu beheben? Wie wird sichergestellt, dass aus diesen Vorfällen gelernt wird?

Als Auditor kannst du zu den Normkapiteln verschiedene Fragen stellen, um die Konformität und Wirksamkeit des Managementsystems zu überprüfen. Hier sind einige Beispiele für Fragen, die du stellen könntest: 1. **Kapitel 4: Kontext der Organisation** - Wie identifiziert die Organisation interne und externe Themen, die ihre strategischen Ziele beeinflussen? - Welche Stakeholder wurden berücksichtigt und wie werden deren Anforderungen ermittelt? 2. **Kapitel 5: Führung** - Wie zeigt das Top-Management sein Engagement für das Managementsystem? - Welche Maßnahmen werden ergriffen, um die Verantwortung und Befugnisse innerhalb der Organisation zu klären? 3. **Kapitel 6: Planung** - Wie werden Risiken und Chancen im Zusammenhang mit den Zielen der Organisation identifiziert und bewertet? - Welche Prozesse sind implementiert, um die Ziele der Organisation zu erreichen? 4. **Kapitel 7: Unterstützung** - Welche Ressourcen stehen zur Verfügung, um das Managementsystem zu unterstützen? - Wie wird sichergestellt, dass das Personal über die erforderlichen Kompetenzen verfügt? 5. **Kapitel 8: Betrieb** - Wie werden die Betriebsabläufe geplant und gesteuert? - Welche Maßnahmen werden ergriffen, um sicherzustellen, dass die Produkte oder Dienstleistungen den Anforderungen entsprechen? 6. **Kapitel 9: Bewertung der Leistung** - Welche Methoden werden verwendet, um die Leistung des Managementsystems zu überwachen und zu messen? - Wie wird das Feedback von Kunden in die Bewertung der Leistung einbezogen? 7. **Kapitel 10: Verbesserung** - Welche Prozesse sind implementiert, um kontinuierliche Verbesserungen zu fördern? - Wie werden Nichtkonformitäten behandelt und welche Maßnahmen werden ergriffen, um deren Wiederholung zu verhindern? Diese Fragen helfen dir, ein umfassendes Bild von der Umsetzung der Norm und der Effektivität des Managementsystems zu erhalten.

Ein Sozialaudit erfordert in der Regel eine Schulung in verschiedenen Bereichen, um sicherzustellen, dass die Auditoren die notwendigen Kenntnisse und Fähigkeiten besitzen. Dazu gehören: 1. **Kenntnisse über soziale Standards**: Vertrautheit mit internationalen Standards wie den UN-Leitprinzipien für Wirtschaft und Menschenrechte, den ILO-Konventionen und anderen relevanten Richtlinien. 2. **Auditmethoden und -techniken**: Schulungen in der Durchführung von Audits, einschließlich der Planung, Durchführung von Interviews, Dokumentenprüfung und Berichterstattung. 3. **Rechtliche Rahmenbedingungen**: Verständnis der relevanten Gesetze und Vorschriften, die soziale Verantwortung und Arbeitsbedingungen betreffen. 4. **Interkulturelle Kompetenz**: Fähigkeiten im Umgang mit verschiedenen Kulturen und sozialen Kontexten, um die Gegebenheiten vor Ort besser zu verstehen. 5. **Kommunikationsfähigkeiten**: Effektive Kommunikationstechniken, um mit verschiedenen Stakeholdern zu interagieren und Informationen klar zu vermitteln. 6. **Datenanalyse**: Kenntnisse in der Analyse von Daten und Informationen, um fundierte Schlussfolgerungen zu ziehen. Eine umfassende Schulung in diesen Bereichen kann dazu beitragen, die Qualität und Effektivität eines Sozialaudits zu gewährleisten.