Die interne Audit, die nichts findet

Die Szene wiederholt sich in zertifizierten Organisationen mit kleinen Variationen. Die interne Audit findet im Frühjahr statt. Der Auditor, der in vielen kleinen ISMS auch die Richtlinien verfasst hat, arbeitet eine Checkliste ab, die von denselben Richtlinien abgeleitet ist. Der Bericht verzeichnet keine Nichtkonformitäten. Die Managementbewertung vermerkt „keine wesentlichen Befunde“, und das Jahr geht weiter. Wenn sich eine solche Phase wiederholt, wird dies oft als Reife interpretiert: Das ISMS funktioniert, die Audits sind unauffällig, und das Zertifikat bleibt durch eine weitere Überwachung gültig.

Am 2026-05-27 veröffentlichte die ISO die ISO 19011:2026, die vierte Ausgabe der Leitlinien für die Auditierung von Managementsystemen, und zog die Ausgabe von 2018 zurück (veröffentlicht am 2018-07-03, am selben Tag wie die neue Ausgabe). Für ein oder zwei Jahre werden viele Auditprogramme noch auf die Ausgabe von 2018 verweisen – und nichts an einem Zertifikat hängt davon ab, denn der zertifizierbare Text von ISO/IEC 27001:2022 verlangt ein Auditprogramm, nicht eine bestimmte Ausgabe der Auditleitlinien. Die Änderung der Ausgabe ist einfach ein günstiger Zeitpunkt, um die Frage zu stellen, um die es in den Leitlinien immer geht – und die eine Phase ohne Befunde selten stellt: War das eine Audit oder eine Überprüfung der eigenen Hausaufgaben?

Unsere Position ist eine These, keine Selbstverständlichkeit: Wenn ein internes Auditprogramm zwei oder drei Zyklen hintereinander keine Befunde liefert, ist die plausibelste erste Hypothese nicht, dass das ISMS hervorragend ist. Vielmehr hat sich das Programm in Richtung Zustimmung zur Organisation, die es auditiert, entwickelt. Die gegenteilige Auffassung, dass saubere Audits einfach das sind, was ein reifes ISMS hervorbringt, ist respektabel und manchmal zutreffend. Daher geben wir Ihnen lieber den Unterscheidungsfaktor zwischen den beiden Möglichkeiten, statt Sie zu bitten, unseren Worten zu glauben.

Was Klausel 9.2 tatsächlich verlangt

ISO/IEC 27001:2022 (dritte Ausgabe, veröffentlicht am 2022-10-25; die Klimaschutzänderung Amd 1:2024, veröffentlicht am 2024-02-23, lässt Klausel 9.2 unberührt) verlangt von der Organisation, interne Audits „in geplanten Abständen“ durchzuführen, um Informationen darüber zu liefern, ob das ISMS den eigenen Anforderungen der Organisation und den Anforderungen der Norm entspricht und ob es „wirksam umgesetzt und aufrechterhalten“ wird (9.2.1). Klausel 9.2.2 verlangt dann ein Auditprogramm, das geplant, eingeführt, umgesetzt und aufrechterhalten wird. Es muss Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung abdecken; die Auditkriterien und den -umfang müssen für jede Audit definiert sein; Auditoren müssen ausgewählt und Audits so durchgeführt werden, dass der Auditprozess objektiv und unparteiisch ist; die Ergebnisse müssen der relevanten Leitung berichtet werden; und dokumentierte Informationen müssen als Nachweis für das Programm und seine Ergebnisse aufbewahrt werden. Eine Anforderung in 9.2.2 erledigt den Großteil der stillen Arbeit: Das Programm muss die Bedeutung der betreffenden Prozesse und die Ergebnisse vorheriger Audits berücksichtigen.

Beachten Sie, was die Klausel nicht verlangt: eine bestimmte Anzahl von Befunden. Ein sauberer Bericht ist nicht verboten; die Audit soll Informationen liefern, und kein Befund ist eine mögliche Antwort. Was ein sauberer Bericht allein jedoch nicht leisten kann, ist zu belegen, dass der Auditprozess selbst seine Aufgabe erfüllt hat. Und die Klausel belastet den Audit mit zwei Dingen, die ein bequemes Programm gerne abwirft: Unabhängigkeit in Form von Objektivität und Unparteilichkeit sowie Wirksamkeit im Sinne dessen, dass der Audit Informationen darüber liefern soll, ob das System funktioniert – nicht nur, ob Dokumente existieren.

Das Programm ist ein Instrument, und Instrumente driften

Der Beitrag von ISO 19011 in beiden Ausgaben besteht darin, das Auditprogramm als eigenes Managementsystem zu behandeln: Ziele, Umfang, Methoden und Häufigkeit werden bewusst gewählt, Ergebnisse fließen zurück, und das Programm selbst wird überwacht und verbessert. Die eigene Beschreibung der Norm durch die ISO bezeichnet sie als Leitlinien für die Auditierung von Managementsystemen. Sie umfasst die Grundsätze der Auditierung, das Management von Auditprogrammen und die Durchführung von Managementsystem-Audits. Es handelt sich um eine Leitlinie, die nicht zur Zertifizierung führt. Die Grundsätze der Auditierung umfassen seit Langem Unabhängigkeit: Auditoren sollen unabhängig von der zu auditierenden Tätigkeit sein, soweit dies praktisch möglich ist. Ist dies nicht erreichbar, sollen alle Anstrengungen unternommen werden, um Verzerrungen zu entfernen und Objektivität zu fördern. Unparteilichkeit ist die Quelle von Auditfeststellungen. Diese Disziplin existiert aus dem gleichen Grund wie die Kalibrierung von Messinstrumenten: Ein Auditprogramm ist ein Messinstrument, und ein Messinstrument, das unabhängig vom Input immer dieselbe Anzeige liefert, hat aufgehört zu messen.

Aus unserer Erfahrung heraus nimmt die Abweichung hin zu einem angenehmen Audit vier erkennbare Formen an. Zwei davon vereiteln explizite Anforderungen in 9.2, eine vereitelt das eigentliche Ziel des Audits, und eine nutzt eine Lücke im Text:

Der Auditor auditiert seine eigene Arbeit. In kleinen ISMS ist es oft dieselbe Person, die die Richtlinien verfasst, die Kontrollen umgesetzt und die Checkliste abgearbeitet hat – weil die Überschneidung von „versteht die Kontrollen“ und „hat Zeit“ fast vollständig ist. Klausel 9.2.2 verlangt Objektivität und Unparteilichkeit des Auditprozesses, und der Unabhängigkeitsgrundsatz von ISO 19011 ist genau für diese Situation geschrieben: Seien Sie unabhängig von der Tätigkeit, die Sie auditieren, soweit dies praktisch möglich ist. Ist dies nicht möglich, behandeln Sie die Verzerrung als ein Risiko, das beseitigt werden muss, statt es zu ignorieren. Seine eigene Arbeit zu bewerten macht einen Audit nicht unmöglich; das Überspringen der Risikominderung jedoch schon. Aus unserer Erfahrung ist dies die Abweichung, die am frühesten beginnt – genau weil kein einzelnes Artefakt beweist, dass sie stattgefunden hat.

Die Kriterien sind die Dokumente des ISMS selbst. Die Richtlinien einer Organisation sind legitime Auditkriterien, und die Überprüfung operativer Nachweise anhand dieser Richtlinien ist genau das, was ein Audit tun sollte. Das Versagen beginnt, wenn die Richtlinien die einzigen Kriterien sind. Dann stellt der Audit nur eine Frage: Entspricht die Praxis der Richtlinie? Und fragt nie, ob die Richtlinie selbst den Anforderungen der Norm entspricht oder ob das System wirksam ist. Ein solcher Audit kann jahrelang ohne Befund ablaufen, während das ISMS nicht den Anforderungen der Norm entspricht und in der Praxis unwirksam ist – weil der einzige Angeklagte das Dokument war und das Dokument zugleich der Richter war. Klausel 9.2.1 verlangt Informationen über die Konformität mit den eigenen Anforderungen der Organisation und den Anforderungen der Norm sowie über die Wirksamkeit. Wenn nur gegen die eigenen Artefakte des ISMS auditiert wird, kommt der Audit jahrelang ohne Befund zurück, während er zwei der drei Anforderungen fallen lässt.

Der Umfang erstarrte im ersten Jahr. Das Programm besucht dieselben Bereiche, mit derselben Tiefe und derselben Checkliste in jedem Zyklus. Ein Umfang, der sich nie ändert, ist nicht automatisch nicht konform: Was 9.2.2 verlangt, ist, dass das Programm die Bedeutung der betreffenden Prozesse und die Ergebnisse vorheriger Audits berücksichtigt – und diese Berücksichtigung kann durchaus jedes Jahr dieselbe Antwort liefern. Unser Problem gilt einem Programm, das ohne diese erneute Überlegung fortgeführt wird, während sich die Organisation darunter verändert: neue Produkte, eine neue Region, ein Vorfall, Lieferantenwechsel. Eine saubere Phase, die durch einen unüberdachten Plan produziert wird, ist ein Fakt über den Plan – nicht über das System.

Befunde werden verhandelt. Nichtkonformitäten werden zu Beobachtungen, Beobachtungen zu „Möglichkeiten zur Überlegung“, und das Register bleibt grün. Die Norm überlässt der Organisation die Schweregrade: Im Text ist keine Vorgabe für die Bewertung von Befunden enthalten, und diese Entscheidungsfreiheit ist die Lücke, in der dieses Versagen lebt. Die Bezeichnungen sind frei; das zugrunde liegende Ergebnis nicht. Was auch immer das Register nennt – der Audit muss weiterhin genaue Informationen über die Konformität liefern und diese der relevanten Leitung berichten. Ein grünes Register, das stillschweigend ein rotes Problem enthält, vereitelt beides. Aus unserer Erfahrung heraus geschieht diese Verhandlung selten in einem einzigen Meeting. Sie wächst schrittweise, ein „nennen wir es eine Beobachtung“ nach dem anderen.

Die ehrliche Gegenposition und der Test, den wir vorschlagen würden

Zuerst das Zugeständnis: Ein gutes ISMS kann tatsächlich wenige Befunde produzieren. Teams, die gezielt implementiert, ihre Kontrollen überprüft und während der Implementierung gefundene Probleme behoben haben, können Audits durchführen, die ruhig sind, weil das System selbst ruhig ist. Keine Befunde sind kein Beweis für ein gebrochenes Programm, und jeden sauberen Bericht als Warnsignal zu behandeln, wäre selbst eine Form von Rauschen.

Nichts in der Norm entscheidet den Streit für Sie. Daher hier der Test, den wir vorschlagen würden – und der unser eigener ist, nicht der des Textes. Ein sauberer Audit ist ein Beleg, wenn er in einem Programm stattfindet, das seine Arbeit nachweisen kann, wenn es danach gefragt wird: Der Auditplan reagiert auf vorherige Ergebnisse, Vorfälle und Veränderungen in der Organisation (die Berücksichtigungspflicht aus 9.2.2 umfasst die Bedeutung der Prozesse und vorherige Auditergebnisse; Vorfälle und organisatorische Veränderungen sind Eingaben, die ein denkendes Programm bei der Entscheidung berücksichtigt, was wichtig ist); die Auditorenzuweisungen sind nachvollziehbar, sodass die Organisation tatsächlich Objektivität und Unparteilichkeit nachweisen kann, statt sie nur zu behaupten; und die Ergebnisse erreichen die Managementbewertung, die Auditbefunde unter ihren Eingaben auflistet (9.3.2), in einer Form, die der Bewertung ermöglicht, darauf zu schließen. Das Programm muss nicht in jedem Zyklus den Kurs ändern und es muss keinen Befund liefern: Eine Bewertung kann durchaus zu dem Schluss kommen, dass keine Änderungen nötig sind. Objektivität und Unparteilichkeit sind dagegen in keinem Zyklus optional. Der Punkt ist, dass das Programm seine Begründung liefern kann – nicht, dass es ein Problem produzieren muss.

Ein sauberer Audit, der in einem Programm ohne all dies stattfindet, ist kein Beleg. Es ist eine Warnleuchte, bei der die Glühbirne entfernt wurde: Die Stille ist real, aber sie trägt nicht die Information, die sie zu tragen scheint.

Warum dies die teure Audit ist, die man vortäuschen kann

Vergleichen Sie die anderen Audits im Zyklus. Der Audit der Zertifizierungsstelle ist begrenzt: Der erforderliche Auditaufwand gemäß ISO/IEC 27006-1:2024 (veröffentlicht am 2024-03-01, Anhang C) beginnt mit der Anzahl der Personen, die innerhalb des Geltungsbereichs der Organisation arbeiten, und wird um Komplexitätsfaktoren angepasst. Die Zertifizierungsstelle verlässt sich normalerweise auf Stichproben, weil ein begrenzter Besuch nicht alles testen kann; ihre Unabhängigkeit ist geregelt, und ihre Akkreditierung hängt davon ab. Der interne Audit hat das gegenteilige Profil: keine extern vorgeschriebene Zeitformel und keine Akkreditierungsstelle, die ihn überwacht – obwohl er dennoch nach einem geplanten Zeitplan abläuft. Es ist der einzige Audit im Zyklus, bei dem die auditierte Organisation den Auditor auswählt, die Kriterien festlegt, den Umfang definiert und die Nachweise kontrolliert – genau deshalb platziert Klausel 9.2 ihre Anforderungen an Objektivität und Unparteilichkeit dort.

Genau deshalb ist eine hohle interne Audit die teure Variante. Der Audit der Zertifizierungsstelle ist eine periodische, begrenzte Prüfung von außen, während Überwachung, Vorfallsmanagement und Risikobewertung kontinuierlich stattfinden. Der interne Audit ist der Mechanismus, dessen einzige Aufgabe es ist, gezielt nach Problemen gemäß definierten Anforderungen zu suchen. Ein interner Audit, der nie dem Management widerspricht, wurde zu einer Zeremonie umfunktioniert, die die Abwesenheit von Neuigkeiten zertifiziert.

Die Ausgabe 2026 von ISO 19011 wird in den nächsten ein oder zwei Jahren in Auditprogramme einziehen, und die Aktualisierung der Ausgabenummer in der Referenzzeile des Programms ist der günstigste Teil der Übung. Wenn dies der einzige Teil der Aktualisierung ist, hat die Organisation die hier beschriebene Abweichung pünktlich vollzogen. Wenn Ihre Phase ohne Befunde in einem Programm stattfindet, das seine Ziele überdenkt, das Verzerrungsrisiko managt, wenn Auditoren nahe an ihrer eigenen Arbeit sitzen, und gegen die Norm statt gegen sich selbst auditiert, behalten Sie die Phase bei. Aus unserer Erfahrung sind Phasen, die so viel nachweisen können, die Ausnahme – und genau deshalb ist die Ausnahme es wert, behalten zu werden.