Von der Audit-Feststellung zur echten Verbesserung

Während eines Audits trifft der Auditor Feststellungen, die im Auditbericht dokumentiert werden. Nach ISO 19011 ist eine Auditfeststellung das Ergebnis der Beurteilung von Auditnachweisen im Vergleich zu festgelegten Auditkriterien. Es wird also geprüft, ob der durch Nachweise belegte IST-Zustand dem definierten MUSS-Zustand entspricht. Weicht der IST-Zustand vom MUSS-Zustand ab, liegt eine Nichtkonformität vor.

Nichtkonformitäten

Bei Nichtkonformitäten gibt es streng genommen nichts zu „verbessern“. Verbesserungen betreffen nur Zustände, die bereits mindestens ausreichend sind. Nichtkonformitäten müssen hingegen abgestellt, beseitigt oder behoben werden, da die Mindestanforderungen nicht erfüllt sind.

Nichtkonformitäten als Chance

Verstehen Sie Nichtkonformitäten als Chance. Auch wenn sie nicht wünschenswert sind, bieten sie die Möglichkeit, sich intensiv mit dem betroffenen Themenbereich auseinanderzusetzen. Die ISO 27001:2022 fordert dies ausdrücklich in Kapitel 10.2. Dabei ist nicht nur die Nichtkonformität selbst zu beseitigen (Symptom), sondern auch ihre Ursache zu analysieren. Ziel ist es, ähnliche Abweichungen künftig zu vermeiden – auch in anderen Bereichen, etwa in benachbarten Abteilungen.

Nichtkonformitäten weisen zudem immer auf bestehende Risiken hin, die bei einem konformen ISMS nicht vorhanden wären. Eine ehrliche Ursachenanalyse und die konsequente Beseitigung der Ursachen helfen Organisationen, Risiken zu reduzieren, zu verlagern oder zu vermeiden und insgesamt besser zu werden.

Verbesserungsmöglichkeiten

Lautet die Feststellung des Auditors „konform“, sind die Mindestanforderungen erfüllt. In Schulnoten entspricht dies mindestens „ausreichend“ (Note 4 oder besser). Erkennt der Auditor darüber hinaus Optimierungspotenzial – etwa zur Verbesserung von einer 4 auf eine 2 oder von einer 2 auf eine 1+ –, kann er eine Empfehlung aussprechen.

Auch diese Empfehlungen sollten als Chance gesehen werden, die Organisation weiterzuentwickeln. Sie sind ein zentraler Bestandteil des kontinuierlichen Verbesserungsprozesses (KVP), wie er in ISO-Managementsystemnormen verankert ist.

Umgang mit Verbesserungsempfehlungen

Empfehlungen müssen mindestens bewertet werden. Diese Bewertung kann unterschiedlich ausfallen:

• Umsetzung der Empfehlung inklusive Planung und Realisierung
• Ablehnung aufgrund fehlender Ressourcen oder eines ungünstigen Kosten-Nutzen-Verhältnisses
• Erreichen des angestrebten Ziels auf einem alternativen Weg
• Begründete Ablehnung, wenn die Empfehlung nicht zur Organisation passt (z. B. aufgrund begrenzter Einblicke des Auditors)

Unabhängig vom Ergebnis führt die Auseinandersetzung mit der Empfehlung zu einem tieferen Verständnis des jeweiligen Themenbereichs.

Was Sie auch interessieren könnte:

Seminar:

„Einführung in die Auditierung von Managementsystemen nach ISO 19011“

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!