Audit Management / ISO-Konformität

Grundlagen

Ausgangslage im Unternehmen

Ob Zertifizierungsaudit, interne Revision, Aufsichtsprüfung, Penetrationstest oder BCM-Audit: In den meisten Organisationen laufen unterschiedliche Audit-Arten heute in unterschiedlichen Werkzeugen – Excel-Listen, Ticketsystemen, E-Mail-Verläufen – nebeneinander her. Das erschwert eine einheitliche Nachverfolgung von Feststellungen (Findings) bis zu ihrer Erledigung und macht Wiederholungsfeststellungen bei der nächsten Prüfung wahrscheinlicher. Das ACONO TopEase Audit Management schafft ein einheitliches System für das Audit-Follow-up – unabhängig davon, welcher Audit-Typ zugrunde liegt.

Für wen ist dieser Use Case relevant?

Dieser Use Case ist insbesondere relevant für:

• Unternehmen mit ISO-Zertifizierungen oder angestrebten Zertifizierungen, etwa nach ISO 9001 (Qualitätsmanagement) oder ISO/IEC 27001 (Informationssicherheit), die interne Audits regelmäßig und nachvollziehbar durchführen müssen
• Unternehmen welche einen standardisierten Auditprozess (z.B. nach ISO 19011) durchführen möchten
• Interne Revisionsfunktionen, die ihre Prüfungstätigkeit an anerkannten Standards ausrichten
• Organisationen, die neben internen Audits z.B. auch Aufsichtsprüfungen, Zertifizierungsaudits, Penetrationstests oder BCM-Audits durchführen und deren Nachbearbeitung konsistent steuern möchten

Konsequenzen bei Nichthandeln

Werden Feststellungen aus Audits nicht systematisch nachverfolgt, tauchen dieselben Schwachstellen häufig bei der nächsten Prüfung erneut auf – mit entsprechenden Folgen für eine anstehende (Re-)Zertifizierung oder die Bewertung durch die interne Revision beziehungsweise die Aufsicht. Wir sind weder eine Zertifizierungsstelle noch eine Rechtsanwaltskanzlei und können daher keine verbindliche Aussage zu einer konkreten Zertifizierungs- oder Aufsichtsentscheidung treffen. Unsere Erfahrung zeigt aber, dass eine lückenhafte Nachverfolgung von Findings regelmäßig mehr Aufwand verursacht als deren strukturierte Bearbeitung von Beginn an.

Regulatorische und normative Grundlagen

Der Aufbau eines Audit Managements orientiert sich an mehreren, sich ergänzenden Rahmenwerken: 

ISO 19011 – Auditierung von Managementsystemen

ISO 19011 liefert als Leitfaden zur Auditierung von Managementsystemen den methodischen Rahmen für Auditprogramm, Auditplanung, Auditdurchführung und Feststellungen. ISO 9001 und ISO/IEC 27001 fordern jeweils in ihrem Kapitel zu internen Audits die regelmäßige, geplante Durchführung interner Audits als Voraussetzung für die Aufrechterhaltung der Zertifizierung.

Interne Revision / IAA

Für die interne Revision sind seit Januar 2025 die Global Internal Audit Standards des Institute of Internal Auditors (IIA) verbindlich, die die bisherige International Professional Practices Framework (IPPF) von 2017 abgelöst haben; im deutschsprachigen Raum spiegeln sich diese unter anderem in den Standards des Deutschen Instituts für Interne Revision (DIIR) wider. Im regulierten Finanzsektor stellen zusätzlich MaRisk und BAIT beziehungsweise VAIT eigene Anforderungen an die interne Revision.

Disclaimer: Regulatorische Vorgaben und deren Versionsstände entwickeln sich regelmäßig weiter, analog der TopEase Solution Landscape. Daher sollte dieser Überblick nicht als abschließende oder rechtsverbindliche Auslegung verstanden werden, sondern einen ersten rechtlich unverbindlichen Orientierungsrahmen für interessierte GRC End-Nutzer und Entscheider bieten – siehe hierzu auch unseren allgemeinen Hinweis zu Wiki-Inhalten.

Aufbau des ACONO TopEase Audit Management Konfiguration

Das Audit Management in TopEase bildet den gesamten Audit-Lebenszyklus über ein zusammenhängendes Objektmodell ab.

Kern-Funktionalitäten der ACONO Konfiguration:

Audit Programm und Audit Plan bilden die strategische Planungsebene: Auditprogramme lassen sich als Roadmap über einen längeren Zeitraum anlegen, Auditpläne konkretisieren diese und werden mit abgeleiteten Maßnahmen verknüpft.

Das Auditobjekt ist das zentrale Element und unterscheidet über einen Typ zwischen klassischem Audit, sowie weitere Audit-Typen (im IKT-Kontext z.B. Penetrationstests). Je nach Typ stehen unterschiedliche, fachlich passende Datenfelder zur Verfügung – ein klassisches Audit etwa mit Feldern zu Grundlagen, Vorgaben und Prüfhinweisen, ein Pentest-Audit mit Feldern zum durchführenden Unternehmen und den geprüften Softwareversionen. Die Konfiguration kann jeweils kundenindividuell angepasst werden.

Prüfpunkte lassen sich pro Audit definieren und einzeln als umgesetzt, teilweise umgesetzt oder nicht umgesetzt bewerten.

Findings werden, je nachdem ob sie unter einem klassischen Audit oder einem anderen Audit angelegt werden, automatisch als Audit-Finding oder z.B. Pentest-Finding geführt und erhalten passende Zusatzfelder.

Maßnahmen werden aus Findings abgeleitet und ein Maßnahmenobjekt nachverfolgt, die Maßnahmen werden via Gantt-Chart in einer Maßnahmenübersicht dargestellt, und unterstützen auch einen elektronischen Genehmigungsworkflow.

Ein zentrales Merkmal dabei: Das Objektmodell unterstützt zwei unterschiedliche Ausgangssituationen gleichermaßen. Bereits abgeschlossene Audits, zu denen ein Auditbericht vorliegt, lassen sich nachträglich dokumentieren, indem direkt Findings zum jeweiligen Audit erfasst werden. Für eigene, in TopEase durchgeführte Audits können Sie hingegen bei den Prüfpunkten beginnen, diese abarbeiten und daraus ein oder mehrere Findings je Prüfpunkt ableiten.

Vernetzung mit dem Informationsverbund

Audits, Prüfpunkte und Findings lassen sich mit den geprüften Objekten verknüpfen – etwa Prozessen, Risiken, Assets sowie Gesetzen und Richtlinien. Dadurch werden Auswirkungen von Audits über die reine Nachverfolgung hinaus sichtbar: Welche Assets wurden bereits geprüft, auf wie vielen Assets sind noch Findings offen, welche Prozesse sind von wiederkehrenden Feststellungen betroffen. Diese Vernetzung ist einer der zentralen Vorteile eines plattformbasierten Ansatzes gegenüber einer isolierten Audit-Tabelle.

Steuerung über elektronische Workflows

Audits, Findings und Maßnahmen unterliegen einer elektronischen Workflowsteuerung: Ein Ersteller legt das Objekt an und bearbeitet es, gibt es anschließend zur Prüfung an eine verantwortliche Rolle, die den Vorgang freigeben oder mit Kommentar zurückgeben kann. Bereits freigegebene Objekte lassen sich bei Bedarf z.B. mit einer verpflichtenden Begründung wieder in Bearbeitung zurückversetzen.

Bei jedem erfolgreichen Workflowdurchlauf wird das jeweilige Objekt versioniert und der Verlauf aller Änderungen nachvollziehbar gespeichert, bei Statusänderungen werden die Beteiligten automatisch per E-Mail informiert.

Datenqualität durch Qualitätsregeln und Fristenmanagement

Über Qualitätsregeln wird sichergestellt, dass zentrale Angaben – etwa beteiligte Rollen oder eine Kurzbeschreibung – tatsächlich erfasst werden, bevor ein Objekt als vollständig gilt; je nach Regel wird dies als Pflicht- oder als Kann-Hinweis dargestellt. Ergänzend erhalten die an einem Audit oder Finding beteiligten Rollen automatisch eine Erinnerung, bevor eine hinterlegte Frist abläuft, sodass Fristen nicht unbemerkt verstreichen.

Dashboards und Auswertungen

Zur Steuerung stehen Dashboards zur Verfügung, die offene Findings je Audit visualisieren sowie eine Gesamtübersicht aller Findings – Audit- und z.B. Pentest-Findings gemeinsam – nach Typ, Status und Schweregrad filterbar machen. So lässt sich auf einen Blick erkennen, wo sich Feststellungen häufen oder welche Fristen sich dem Ende nähern.

Integrierbarkeit und Erweiterbarkeit

Das Audit Management lässt sich sowohl eigenständig TopEase Solution einführen als auch in eine bereit bestehende TopEase-Plattform integrieren. Da neue Audit-Typen über bestehende TopEase Datenmodell abgebildet werden können, lässt sich die Lösung bei Bedarf um weitere Audit-Arten oder auch andere Daten und Datenfelder erweitern, ohne das Grundmodell neu aufbauen zu müssen.

Sie starten nicht bei null

ACONO verfügt über praxiserprobte Vorlagen zur Konfiguration verschiedener Audit-Typen, die sich an den methodischen Vorgaben aus ISO 19011 orientieren. Bereits bestehende Audit- und Findingbestände aus Excel oder anderen Werkzeugen lassen sich im Rahmen einer Migration übernehmen, sodass historische Prüfergebnisse nicht verloren gehen.

Benötigte Rollen und Aufwand in Ihrem Haus

Am Audit-Prozess sind typischerweise mehrere Rollen beteiligt: Auditorinnen und Auditoren, die Audits und Prüfpunkte anlegen, eine erfassende Rolle für Feststellungen sowie eine verantwortliche Rolle, die Findings prüft und freigibt. Die interne Revision kann zusätzlich als informative, lesende Rolle eingebunden werden, um jederzeit einen Gesamtüberblick zu behalten, ohne selbst in die operative Bearbeitung involviert zu sein.

Der Aufwand im Vergleich zu Excelbasierten Lösungen wird insbesondere durch die elektronische Workflowsteuerung, die Nutzung des Informationsverbundes und die zentrale Datenbank deutlich minimiert.

Abgrenzung zu Alternativen

Audit-Nachverfolgung über Excel-Listen oder allgemeine Ticketsysteme lässt sich zwar für einzelne Audits handhaben, verliert aber schnell an Übersicht, sobald mehrere Audit-Typen, wiederkehrende Zertifizierungsaudits und eine wachsende Zahl an Findings zusammenkommen. Vor allem die Verknüpfung zu den tatsächlich geprüften Prozessen, Risiken und Assets (d.h. dem Informationsverbund) lässt sich in einer Tabelle kaum konsistent abbilden – ein Vorteil, den ein plattformbasierter Ansatz mit TopEase von Beginn an mitbringt.

Nutzen für Ihr Unternehmen

Ein durchgängig in TopEase abgebildetes Audit Management schafft unabhängig vom jeweiligen Audit-Typ eine einheitliche, nachvollziehbare Vorgehensweise, macht Zusammenhänge zwischen Findings und den betroffenen Prozessen oder Assets sichtbar und reduziert das Risiko wiederkehrender Feststellungen durch konsequente Nachverfolgung bis zur Erledigung.

Der besondere Mehrwert von ACONO liegt dabei in der durchgängigen Betreuung aus einer Hand: Als Management- und Technologieberatungsunternehmen begleitet ACONO Sie nicht nur bei der fachlichen Konzeption und technischen Umsetzung Ihres Audit Managements in TopEase, sondern auch bei dessen Verzahnung mit angrenzenden Themen wie Risikomanagement oder internen Kontrollen.

Wir verfügen über extern zertifizierte Mitarbeiter, u.a. auch über einen ISO27001 Auditor.

Gerne teilen wir auf Anfrage weitere Erfahrungswerte und Referenzen aus vergleichbaren TopEase-Projekten mit Ihnen.

Weiterführend / Integration des Audit-Managements in Ihr Unternehmen

Mehr zu den angrenzenden Themen finden Sie auf den jeweiligen Lösungsseiten zu Risikomanagement, IKS und Prozessmanagement.

Wie sich Ihre bestehende Audit-Landschaft – ob ISO-Zertifizierungsaudits, interne Revision, Aufsichtsprüfungen oder Pentests – in einem einheitlichen Audit Management abbilden lässt, besprechen wir gerne in einem unverbindlichen Gespräch mit Ihnen.