Wie stellt man in einem Internen Audit gute Fragen?

Der Auditor ist beim Risikomanagement angekommen. Er schaut kurz auf seine Checkliste und beginnt:

„Sie haben Ihr Risikoregister doch bestimmt kürzlich aktualisiert, oder?“

„Ja.“

„Und die Geschäftsführung hat die Risiken danach sicherlich freigegeben, oder?“

„Natürlich.“

„Die Maßnahmen werden sicherlich regelmäßig nachverfolgt?“

„Aber klar!“

„Und wenn sich etwas ändert, bewerten Sie die Risiken natürlich neu?“

„Immer!“

Vier Minuten später ist das Risikomanagement vollständig auditiert. Es funktioniert offenbar tadellos. Der Auditor hat zwar weder ein Risikoregister gesehen noch eine Freigabe, einen überfälligen Behandlungsplan oder eine tatsächliche Neubewertung. Dafür hat er viermal genau die Antwort bekommen, die er bereits in seine Frage eingebaut hatte.

Das ist kein Audit. Das ist betreutes Abnicken.

Die kurze Antwort

Gute Auditfragen sollen keine erwünschte Antwort produzieren. Sie sollen eine Auditspur eröffnen, der der Auditor bis zu belastbaren Nachweisen folgen kann.

Für ein Internes Audit nach ISO 27001 funktioniert häufig dieser Dreischritt:

1. Wie ist es geregelt?
2. Wie machen Sie es tatsächlich?
3. Wo können wir uns ein konkretes Beispiel dafür ansehen?

Damit kommen Sie von der beschriebenen Regel über die gelebte Praxis zum überprüfbaren Auditnachweis. Genau dort soll ein Audit hin.

Was macht eine gute Auditfrage aus?

Eine gute Auditfrage hilft dem Auditor, Informationen zu gewinnen, ohne die Antwort vorzugeben. Sie ist verständlich, bezieht sich auf den geprüften Gegenstand und lässt Raum für eine ehrliche Beschreibung der tatsächlichen Arbeitsweise.

Sie dient nicht dazu, Fachbegriffe abzufragen. Ein Mitarbeiter kann einen funktionierenden Prozess bedienen, ohne die zugehörige Normnummer auswendig zu kennen. Umgekehrt kann jemand Anhang A herunterbeten und trotzdem einen untauglichen Prozess betreiben.

Die Aufgabe des Auditors besteht darin, über Interviews, Beobachtungen, Dokumente und Stichproben belastbare Informationen zu gewinnen. Wie diese anschließend nachvollziehbar bewertet und dokumentiert werden, erklären wir im Artikel Ein Internes Audit richtig durchführen und dokumentieren.

Eine Frage ist deshalb besonders brauchbar, wenn sie:

• eine Beschreibung statt eines bloßen Ja oder Nein ermöglicht;
• auf den tatsächlichen Prozess zielt;
• konkrete Beispiele hervorbringt;
• den Übergang zu überprüfbaren Nachweisen ermöglicht;
• verständlich und frei von unnötigem Normsprech ist;
• eine interessante Auditspur eröffnet, statt sie sofort wieder zu schließen.

Wie- und Wo-Fragen funktionieren besonders gut

Es wird gerne pauschal empfohlen, im Audit „offene Fragen“ zu stellen. Das ist nicht falsch, aber etwas dünn. Nicht jede offene Frage ist automatisch gut.

„Erzählen Sie doch mal etwas über Ihr Risikomanagement.“ ist offen. Die Frage ist allerdings so weit, dass der Befragte entweder einen zweistündigen Vortrag hält oder nicht weiß, wo er anfangen soll.

Wie- und Wo-Fragen sind meist zielgerichteter.

Wie-Fragen erschließen den Prozess

• „Wie erfahren Sie, dass ein neuer Mitarbeiter ein Benutzerkonto benötigt?“
• „Wie entscheiden Sie, welche Rechte diese Person bekommt?“
• „Wie stellen Sie fest, welche Lieferanten sicherheitsrelevant sind?“
• „Wie erkennen Sie, dass eine Richtlinie überprüft werden muss?“
• „Wie reagieren Sie, wenn eine Maßnahme ihren Termin überschreitet?“

Die Antworten zeigen Abläufe, Verantwortlichkeiten, Übergaben und mögliche Bruchstellen. Der Auditor erfährt, was tatsächlich geschieht – nicht nur, ob irgendein Prozess angeblich vorhanden ist.

Wo-Fragen führen zum Auditnachweis

• „Wo können wir uns einen kürzlich vollständig durchgeführten Vorgang ansehen?“
• „Wo ist die Entscheidung über dieses Risiko nachvollziehbar?“
• „Wo sehen wir, dass die Richtlinie geprüft und freigegeben wurde?“
• „Wo wurde die Wirksamkeit dieser Maßnahme bewertet?“
• „Wo können wir erkennen, dass die Berechtigung nach dem Austritt entfernt wurde?“

Dabei bedeutet „wo“ nicht automatisch: „Zeigen Sie mir ein Word-Dokument.“ Ein Nachweis kann in einem Ticketsystem, einer Systemkonfiguration, einem Protokoll, einer E-Mail, einem Log, einem freigegebenen Wiki-Eintrag oder einer beobachtbaren Tätigkeit liegen. Die Form richtet sich nach dem Prozess.

Die wichtigste Auditkette: Regel, Wirklichkeit, Nachweis

Ein guter Auditor bleibt nicht bei der allgemeinen Beschreibung stehen. Er folgt einer Spur.

1. Nach der Regel fragen

„Wie haben Sie die Aufnahme neuer Lieferanten geregelt?“

Damit versteht der Auditor das vorgesehene Vorgehen: Wer meldet den Lieferanten? Wann wird seine Sicherheitsrelevanz bewertet? Wer entscheidet? Was muss dokumentiert werden?

2. Nach der tatsächlichen Arbeitsweise fragen

„Wie lief das beim zuletzt aufgenommenen Cloudanbieter konkret ab?“

Nun verlassen wir die Prozesserzählung und gehen in die Praxis. Schon hier tauchen häufig Unterschiede auf: Der Einkauf sollte den Vorgang auslösen, tatsächlich kam der Anbieter aber über einen Fachbereich. Die Prüfung sollte vor der Beauftragung stattfinden, tatsächlich war der Vertrag da schon unterschrieben.

3. Einen Nachweis auswählen

„Wo können wir die Bewertung, die Entscheidung und die daraus entstandenen Anforderungen ansehen?“

Jetzt wird die Aussage überprüfbar. Der Auditor kann beurteilen, ob Regel, Wirklichkeit und Nachweis zusammenpassen.

Fragen Sie erst nach der Regel, dann nach der Wirklichkeit und schließlich nach einem konkreten Nachweis. Wenn alle drei zusammenpassen, haben Sie eine belastbare Auditspur.

Vom Allgemeinen zum Konkreten: Die Fragenfolge

Ein Auditgespräch funktioniert oft wie ein Trichter. Es startet mit Überblick und Verständnis und wird anschließend gezielt konkreter.

1. Überblick: „Wie läuft ein Austritt bei Ihnen grundsätzlich ab?“
2. Verantwortung: „Wer stößt die notwendigen Aufgaben an?“
3. Auslöser: „Wann erfährt die IT von einem Austritt?“
4. Beispiel: „Welcher Austritt wurde zuletzt bearbeitet?“
5. Nachweis: „Wo sehen wir diesen Vorgang und seinen Abschluss?“
6. Ausnahme: „Was geschieht, wenn die zuständige Person nicht verfügbar ist?“
7. Wirksamkeit: „Woran erkennen Sie, dass wirklich alle relevanten Zugänge entfernt wurden?“

Die vorbereitete Checkliste gibt dabei Orientierung. Sie ist kein Drehbuch, das unabhängig von den Antworten heruntergebetet werden muss. Wie Auditprogramm, Auditplan und einzelnes Audit zusammenhängen, zeigt unser Beitrag Auditprogramm, Auditplan und Audit – der Unterschied.

Weitere Fragewörter, die im Audit helfen

Wer – für Verantwortung und Übergaben

„Wer entscheidet, ob ein Risiko akzeptiert werden kann?“ oder „Wer übernimmt den Vorgang, wenn die regulär zuständige Person fehlt?“

Antworten wie „Das machen wir gemeinsam“ sind häufig der Beginn einer interessanten Auditspur. Gemeinsam kann gut funktionieren. Es sollte nur klar sein, wer was beiträgt und wie am Ende eine Entscheidung zustande kommt. Oder ob sich da der eine auf die andere verlässt.

Wann – für Auslöser und Fristen

„Wann wird eine Lieferantenbewertung erneuert?“ oder „Wann wird die Geschäftsführung über ein nicht akzeptiertes Risiko informiert?“

„Regelmäßig“ ist übrigens noch keine besonders informative Zeitangabe. Alle 20 Jahre ist auch regelmäßig. Fragen Sie weiter, wodurch der Vorgang ausgelöst wird und wie verhindert wird, dass er ausbleibt.

Was geschieht, wenn – für Ausnahmen

Der Normalfall ist oft gut beschrieben. Interessant wird es bei Urlaub, Zeitdruck, Systemausfall oder einem dringenden Kundenauftrag.

„Was geschieht, wenn ein Lieferant eingesetzt werden muss, bevor seine Bewertung abgeschlossen ist?“

Solche Fragen prüfen, ob ein Prozess auch außerhalb des sonnigen Musterfalls beherrscht wird.

Woran erkennen Sie – für Wirksamkeit

„Woran erkennen Sie, dass die Sensibilisierung verstanden wurde?“

„Woran erkennen Sie, dass Ihre Wiederherstellung tatsächlich funktioniert?“

Damit verschiebt sich das Gespräch von der Durchführung zur Wirkung. Eine verschickte Schulungseinladung belegt schließlich nicht, dass jemand etwas gelernt hat. Ein grünes Backup-Symbol belegt nicht zwingend, dass sich die Daten brauchbar wiederherstellen lassen.

Warum-Fragen: fachlich möglich, menschlich manchmal ungeschickt

„Warum haben Sie das so gemacht?“ kann als ehrliche Sachfrage gemeint sein. Beim Gegenüber klingt sie trotzdem schnell wie: „Rechtfertigen Sie sich bitte für diesen Unsinn.“

Oft funktionieren neutralere Formulierungen besser:

• „Wie kam es zu dieser Entscheidung?“
• „Welche Überlegungen haben zu dieser Vorgehensweise geführt?“
• „Welche Alternativen wurden betrachtet?“
• „Was sollte mit dieser Regel erreicht werden?“

Das ist keine sprachliche Kosmetik. Eine defensive Person liefert weniger Informationen. Ein Audit soll keinen Schuldigen produzieren, sondern nachvollziehbare Feststellungen über das Managementsystem.

Sind Ja-Nein-Fragen im Audit verboten?

Nein. Geschlossene Fragen sind brauchbar, wenn der Auditor etwas eingrenzen oder eine Aussage bestätigen möchte.

„Betrifft diese Regel auch freie Mitarbeiter?“

„Habe ich Sie richtig verstanden, dass jede neue Cloudanwendung vor der Beauftragung bewertet werden muss?“

Unbrauchbar werden Ja-Nein-Fragen, wenn damit ein ganzer Themenbereich geprüft werden soll. Wer ausschließlich fragt, ob etwas vorhanden ist, erfährt kaum, wie es funktioniert, ob es angewendet wird und ob es wirksam ist.

Die Frage „Haben Sie ein Internes Audit durchgeführt?“ kann mit „Ja“ beantwortet werden. Ob dieses Audit kompetent, objektiv und nachvollziehbar war, ist damit nicht geklärt. Gerade die notwendige Kompetenz nach Abschnitt 7.2 zeigt sich nicht durch ein selbstbewusstes Nicken.

Suggestivfragen: Der Auditor auditiert seine eigene Hoffnung

Suggestivfragen enthalten die erwartete Antwort gleich mit:

• „Die Richtlinie wurde aber schon freigegeben, richtig?“
• „Ihre Administratoren verwenden bestimmt alle Mehrfaktorauthentifizierung?“
• „Sie prüfen die Wiederherstellbarkeit der Backups doch regelmäßig?“
• „Bei kritischen Lieferanten achten Sie selbstverständlich auf die Sicherheit?“

Der Befragte erkennt, welche Antwort als fachlich erwünscht gilt. Vielleicht stimmt sie. Vielleicht möchte er nur nicht erklären müssen, weshalb es anders läuft. Der Auditor erhält jedenfalls eine Antwort mit ausgesprochen geringer Beweiskraft.

Besser wäre:

• „Wie wird eine Richtlinie bei Ihnen freigegeben?“
• „Wie melden sich Administratoren an besonders privilegierten Systemen an?“
• „Wie prüfen Sie, ob sich Ihre Sicherungen wiederherstellen lassen?“
• „Wie unterscheiden Sie bei Lieferanten unterschiedliche Sicherheitsrisiken?“

Der Auditor soll nicht nachweisen, dass seine Vermutung richtig war. Er soll herausfinden, wie das Unternehmen tatsächlich arbeitet.

Zuhören, nachfragen und Stille aushalten

Eine gute Frage hilft nur, wenn der Auditor die Antwort hört. Das klingt banal, scheitert aber erstaunlich häufig an der nächsten Frage auf der Checkliste.

Wenn jemand sagt: „Normalerweise macht das die Kollegin aus dem Einkauf“, stecken darin mehrere mögliche Anschlussfragen:

• Was bedeutet „normalerweise“?
• Was geschieht in den anderen Fällen?
• Ist die Kollegin allein zuständig?
• Wie funktioniert ihre Vertretung?
• Wie weiß sie, wann eine Bewertung erforderlich ist?

Diese Spur ist meist ergiebiger als die nächste vorbereitete Frage zu einem ganz anderen Thema.

Auch eine kurze Pause ist erlaubt. Manche Menschen denken nach, bevor sie antworten. Wer zwei Sekunden Stille nicht aushält, beantwortet seine Frage häufig gleich selbst – und nimmt dem Gegenüber damit die Gelegenheit, die wirkliche Arbeitsweise zu beschreiben.

Typische Fehler bei Auditfragen

• Mehrere Fragen auf einmal: Der Auditor erhält eine Antwort und weiß anschließend nicht, auf welche seiner fünf Fragen sie sich bezog.
• Normtext vorlesen: Der Befragte wird auf sein Vokabular geprüft, nicht auf seine Arbeit.
• Nur Führungskräfte befragen: Der beschriebene Prozess wird nie mit den Personen abgeglichen, die tatsächlich danach arbeiten.
• Interessante Antworten ignorieren: Die Checkliste wird wichtiger als die Auditspur.
• Nachweise ohne Kontext verlangen: Es werden Screenshots gesammelt, bevor klar ist, was sie überhaupt belegen sollen.
• Zu früh zufrieden sein: Die erste plausible Antwort wird als ausreichender Nachweis behandelt.
• Aus persönlicher Neugier abschweifen: Spannende Technik ersetzt nicht das vereinbarte Auditziel.
• Die Lösung gleich mitliefern: Aus der Frage wird Beratung, bevor der Istzustand verstanden wurde.

Falls aus einer Auditspur eine Nichtkonformität entsteht, muss außerdem klar sein, gegen welche konkrete Anforderung verstoßen wurde. Bauchgefühl ist kein Auditkriterium. Mehr dazu steht in Was ist eine Nichtkonformität im ISO 27001-Audit? und in unserem Praxisleitfaden zum richtigen Behandeln von Abweichungen.

Eine kleine Vorbereitungshilfe für gute Auditfragen

Für jedes wichtige Auditthema können Sie vorab fünf Fragearten notieren:

1. Prozess: Wie ist das grundsätzlich geregelt?
2. Verantwortung: Wer tut, entscheidet oder kontrolliert was?
3. Beispiel: Welcher konkrete Fall wurde zuletzt bearbeitet?
4. Nachweis: Wo können wir Durchführung und Ergebnis erkennen?
5. Wirksamkeit und Ausnahme: Woran erkennen Sie, dass es funktioniert – und was passiert, wenn der Normalfall nicht eintritt?

Das ist kein fertiger Fragenkatalog. Es ist besser: ein Gerüst, mit dem Sie auf die tatsächlichen Antworten reagieren können.

Wer ein Internes Audit organisiert, sollte übrigens nicht nur an Fragen denken. Auditziel, Umfang, Kriterien, Kompetenz und Unparteilichkeit gehören ebenfalls dazu. Unser Grundlagenartikel erklärt, was ein Internes Audit ist und was ISO 27001 verlangt.

Was will der Auditor mit seinen Fragen erreichen?

Ein Audit soll nicht zeigen, wie klug der Auditor ist. Es soll belastbar erkennen lassen, ob die festgelegten Auditkriterien erfüllt werden und ob das Managementsystem angemessen und wirksam arbeitet.

Dafür muss der Auditor:

• den vorgesehenen Prozess verstehen;
• die tatsächliche Arbeitsweise erfassen;
• geeignete Stichproben und Nachweise auswählen;
• Widersprüche und Ausnahmen sachlich untersuchen;
• die gewonnenen Informationen gegen konkrete Anforderungen bewerten.

Gute Fragen sind kein freundliches Extra. Sie sind eines der wichtigsten Werkzeuge dafür. Wer schlechte Fragen stellt, erhält schlechte Informationen. Wer schlechte Informationen hat, kommt entweder zu unbegründeten Abweichungen – oder übersieht die echten.

Interesse geweckt?

Sie möchten Ihre Internen Audits so aufbauen, dass sie mehr liefern als Ja-Nein-Listen und schwallige Gesprächsprotokolle? Wir unterstützen Sie bei Auditprogramm, Auditplanung, Durchführung und nachvollziehbarer Dokumentation.

Dabei geht es nicht darum, Mitarbeiter mit Normwissen zu prüfen. Es geht darum, mit den richtigen Fragen herauszufinden, ob das eigene ISMS in der Praxis tatsächlich funktioniert.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.