Der ISO 27001-Auditor liegt falsch – was nun?

Mitten im Zertifizierungsaudit sagt der Auditor: „Das müssen Sie jährlich machen.“

Das Unternehmen schaut kurz erschrocken. Jährlich? Bislang hatte man dafür ein anderes, durchaus plausibles Intervall festgelegt. Also kommt die naheliegende Rückfrage: „Woher stammt diese Anforderung?“

Die Antwort: „Das wird allgemein so gesehen.“

Ah. Allgemein. Ein unbekannter Dritter, der leider nicht mit am Tisch sitzt, nicht angerufen werden kann und offenbar auch keine ladungsfähige Anschrift hat.

Auch Auditoren können sich irren. Sie können eine Normstelle falsch lesen, eine Empfehlung mit einer Pflicht verwechseln oder ihre bevorzugte Vorgehensweise für die einzig zulässige halten. Entscheidend ist dann, wie Sie reagieren: weder ehrfürchtig einknicken noch den Rest des Audits in einen Stellungskrieg verwandeln.

Die kurze Antwort

Wenn Sie glauben, dass ein Auditor falsch liegt, bitten Sie ruhig um drei Dinge:

1. die konkrete Anforderung, gegen die Sie angeblich verstoßen haben;
2. den objektiven Nachweis, auf den sich die Feststellung stützt;
3. die Erklärung, warum zwischen beidem eine Nichtkonformität besteht.

Eine persönliche Präferenz ist keine Anforderung. „Das machen alle so“ ist keine Normstelle. Und „Das wird allgemein so gesehen“ ist kein Auditkriterium.

Bleibt die Meinungsverschiedenheit bestehen, lassen Sie sie dokumentieren und an die Zertifizierungsstelle geben. Im formellen Zertifizierungsaudit gibt es danach – je nach Gegenstand – einen Einspruchs- oder Beschwerdeweg. Genau dafür existieren diese Verfahren.

Vorab: Dieser Artikel handelt vom Zertifizierungsaudit

Hier geht es in erster Linie um ein externes Audit durch eine Zertifizierungsstelle: also um Stage 1, Stage 2, Überwachungs- oder Rezertifizierungsaudits. Wie diese Audits grundsätzlich ablaufen, erklären wir im Artikel ISO 27001 Zertifizierungsaudit: So laufen Stage 1 und Stage 2 ab.

Im Internen Audit gelten dieselben Grundideen guter Auditierung: Feststellungen brauchen Kriterien und Nachweise. Die formalen Verfahren aus ISO/IEC 17021-1 für Einsprüche und Beschwerden gelten aber für Zertifizierungsstellen. Bei einem Internen Audit richten Sie sich nach Ihrem eigenen Auditprozess, Ihrem Auditprogramm und den Zuständigkeiten in Ihrem ISMS.

Auch ein ISO 27001-Auditor ist kein Orakel

Ein Zertifizierungsauditor soll fachkundig, objektiv und unparteiisch arbeiten. Trotzdem bleibt er ein Mensch. Er arbeitet unter Zeitdruck, sieht nur Stichproben und muss in kurzer Zeit viele Informationen einordnen. Dabei kann er zu einer falschen Schlussfolgerung kommen.

Das ist weder ein Skandal noch ein Freibrief. Ein Auditor darf kritisch sein, unangenehme Fragen stellen und zu einem anderen Ergebnis kommen als das Unternehmen. Ein unbequemer Befund wird nicht dadurch falsch, dass er einem nicht gefällt. Umgekehrt wird eine Meinung nicht dadurch zur Anforderung, dass sie mit ernster Miene und Auditorenausweis vorgetragen wird.

Wer den gesamten Ablauf einer ISO 27001-Zertifizierung kennt, versteht auch die Rollen besser: Das Auditteam erhebt Feststellungen und gibt eine Empfehlung ab. Die eigentliche Zertifizierungsentscheidung liegt bei der Zertifizierungsstelle und muss von Personen getroffen werden, die das Audit nicht selbst durchgeführt haben.

Wogegen wird eigentlich auditiert?

Bei einem Zertifizierungsaudit nach ISO 27001 wird nicht gegen den persönlichen Geschmack des Auditors geprüft. Maßgeblich sind die festgelegten Auditkriterien. Dazu können gehören:

• die Anforderungen der ISO 27001;
• die für Ihr ISMS einschlägigen Maßnahmen aus Anhang A und gegebenenfalls zusätzliche eigene Maßnahmen;
• Ihre eigenen Richtlinien, Prozesse und sonstigen Festlegungen;
• gesetzliche und regulatorische Anforderungen;
• vertragliche Verpflichtungen und belastbare Kundenanforderungen;
• weitere Regelwerke, die ausdrücklich als Auditkriterien vereinbart wurden.

Das ist wichtig, weil eine Nichtkonformität nicht zwingend direkt aus einem Satz der ISO 27001 entstehen muss. Wenn Sie sich selbst eine verbindliche Regel gegeben haben und sie nicht einhalten, kann auch das eine Nichtkonformität sein. Ausführlicher erklären wir das im Beitrag Was ist eine Abweichung im ISO 27001-Audit?.

Der Umkehrschluss gilt aber genauso: Hat Ihr Unternehmen weder aus der Norm noch aus Gesetz, Vertrag oder eigenen Festlegungen eine bestimmte Pflicht, kann der Auditor sie nicht spontan aus seiner persönlichen Best Practice erzeugen.

Eine Nichtkonformität braucht drei belastbare Bestandteile

ISO/IEC 17021-1 ist an dieser Stelle erfreulich handfest. Abschnitt 9.4.5.3 verlangt sinngemäß, dass eine Nichtkonformität gegen eine konkrete Anforderung dokumentiert wird. Sie muss klar beschrieben sein und die objektiven Nachweise nennen, auf denen sie beruht.

Praktisch bedeutet das:

1. Anforderung: Was genau hätte erfüllt werden müssen?
2. Nachweis: Was wurde tatsächlich gesehen, gehört oder geprüft?
3. Abweichung: Warum erfüllt der festgestellte Zustand diese Anforderung nicht?

Ein Beispiel: Ihre Richtlinie verlangt, dass privilegierte Berechtigungen quartalsweise geprüft werden. Im Audit kann für die vergangenen drei Quartale keine Prüfung nachgewiesen werden. Das ist nachvollziehbar: klare eigene Anforderung, konkreter Nachweis, erkennbare Lücke.

Anders klingt dies: „Ich finde, Berechtigungen sollten monatlich geprüft werden. Das ist heutzutage Best Practice.“ Das kann ein Gespräch über Verbesserung eröffnen. Für eine Nichtkonformität fehlt aber weiterhin die konkrete verletzte Anforderung.

„Das müssen Sie jährlich machen“ – wirklich?

Jährliche Intervalle gehören zu den Klassikern des Auditfolklore-Kabinetts. Viele Dinge werden in Unternehmen jährlich erledigt, weil ein Jahr ein bequemes und leicht planbares Intervall ist. Daraus folgt nicht, dass die Norm überall ein jährliches Intervall verlangt.

Die ISO 27001 spricht an vielen Stellen bewusst von geplanten Intervallen. Das Unternehmen muss ein sinnvolles Intervall bestimmen, begründen und einhalten. Je nach Risiko, Änderungsdynamik, Größe und Gegenstand können drei Monate, ein Jahr oder auch ein anderer Zeitraum angemessen sein.

Wenn ein Auditor ein bestimmtes Intervall fordert, fragen Sie:

• „In welcher konkreten Anforderung steht dieses Intervall?“
• „Ist das eine Zertifizierungsanforderung oder eine Empfehlung Ihrerseits?“
• „Falls Sie unsere Festlegung für unwirksam halten: An welchem objektiven Nachweis machen Sie das fest?“

Vielleicht gibt es tatsächlich eine einschlägige gesetzliche, vertragliche oder selbst gesetzte Pflicht. Dann ist die Antwort schnell gefunden. Wenn nur „allgemein“ übrig bleibt, ist das etwas dünn.

Was Sie noch im Audit tun sollten

Warten Sie mit Ihrer Rückfrage nicht drei Wochen auf den finalen Bericht, wenn sich der Punkt im Gespräch klären lässt. Bitten Sie den Auditor, die Anforderung zu zeigen. Holen Sie die relevante Richtlinie oder den Nachweis dazu. Manchmal löst sich die Sache in zwei Minuten auf: Das Unternehmen hat eine Information missverständlich dargestellt oder der Auditor hatte ein Dokument noch nicht gesehen.

ISO/IEC 17021-1, Abschnitt 9.4.5.4, verlangt vom Auditteamleiter, abweichende Auffassungen über Nachweise oder Feststellungen möglichst zu klären. Nicht gelöste Punkte müssen dokumentiert werden. Im Abschlussgespräch muss das Unternehmen Gelegenheit zu Fragen bekommen; ungelöste Meinungsverschiedenheiten sind nach Abschnitt 9.4.7.3 aufzuzeichnen und an die Zertifizierungsstelle weiterzugeben.

Sie müssen eine Nichtkonformität also verstehen. Das bedeutet ausdrücklich nicht, dass Sie sie anerkennen müssen.

Konformität wird nicht per Handzeichen festgestellt

Eine weitere hübsche Auditidee besteht darin, einen Menschen aus dem Unternehmen oder dessen Berater als Verstärkung heranzuziehen.

Mir ist selbst schon Folgendes passiert. Ein Auditor stellte eine Vorgehensweise des Unternehmens infrage und wandte sich dann an einen Teilnehmer: „Sie, Herr Meier, Sie sind doch interner Auditor. Was sagen Sie denn dazu? Das können Sie doch bestimmt nicht gut finden, oder? Wie bewerten Sie das?“

Seine Antwort war sehr korrekt: „Das ist nicht meine Aufgabe, hier eine Bewertung abzugeben.“

Genau so ist es. Konformität wird nicht per Handzeichen festgestellt. Der Zertifizierungsauditor darf nicht versuchen, einen Berater, Internen Auditor oder Fachkollegen des Unternehmens als zusätzliche Stimme für seine Auffassung zu gewinnen. Dass zwei Menschen dieselbe Meinung haben, ersetzt noch immer keine Anforderung.

Benötigt die Zertifizierungsstelle besondere Fachkunde, kann sie Fachpersonal beziehungsweise technische Experten für das Auditteam vorsehen. Diese Kompetenz muss sie selbst organisieren. Sie darf nicht im laufenden Audit einen Menschen auf Kundenseite zum unfreiwilligen Hilfsschiedsrichter ernennen.

Auch die Rollen von Beratung und Zertifizierung sollten sauber getrennt bleiben. Woran Sie gute Unterstützung erkennen, beschreiben wir im Artikel ISO 27001: Wer kann mir wirklich helfen?.

Fünf Sätze, mit denen Sie sachlich widersprechen können

Sie brauchen keinen Vortrag und schon gar keinen Gegenangriff. Meist reichen ruhige, präzise Fragen:

• „Welche konkrete Anforderung sehen Sie hier als nicht erfüllt an?“
• „Können Sie uns bitte die entsprechende Normstelle oder andere Prüfgrundlage nennen?“
• „Welcher objektive Nachweis führt Sie zu dieser Feststellung?“
• „Verstehe ich richtig, dass dies eine Nichtkonformität sein soll – und nicht eine Empfehlung?“
• „Wir teilen diese Bewertung nicht. Bitte dokumentieren Sie unsere abweichende Auffassung und geben Sie sie an die Zertifizierungsstelle weiter.“

Diese Fragen sind nicht frech. Sie sind Audit. Eine gute Feststellung wird dadurch klarer. Eine schwache Feststellung wird dadurch sichtbar.

Widersprechen heißt nicht: den Auditor mürbe diskutieren

Man muss nicht auf jedem Hügel sterben. Vielleicht ist eine Empfehlung sinnvoll, obwohl sie keine Pflicht ist. Vielleicht kostet die gewünschte Änderung zehn Minuten und verbessert das System tatsächlich. Dann kann man sie freiwillig umsetzen, ohne rückwirkend eine erfundene Normforderung anzuerkennen.

Problematisch wird es, wenn eine fragwürdige Aussage dauerhafte Folgekosten erzeugt, Prozesse unnötig verkompliziert oder als Nichtkonformität die Zertifizierungsentscheidung beeinflusst. Dann sollte man widersprechen. Sonst wird aus der spontanen Auditorenmeinung eine betriebliche Erbpflicht: In fünf Jahren weiß niemand mehr, weshalb man das so macht. Nur der Satz „Das wollte damals der Auditor“ lebt ewig weiter.

Eine gute Auditvorbereitung hilft übrigens enorm. Wer seine Anforderungen, Nachweise und Zuständigkeiten kennt, kann fachlich ruhig reagieren. Unser Überblick 7 Schritte zum ISO 27001-Zertifikat zeigt, was vor dem Zertifizierungsaudit stehen sollte. Und wer die Einführung als ordentliches ISO 27001-Projekt behandelt, muss im Audit wesentlich seltener hektisch Dokumente zusammensuchen.

Die sinnvolle Eskalationsleiter

Wenn sich ein Punkt nicht sofort klären lässt, gehen Sie stufenweise vor:

1. Verstehen: Lassen Sie Anforderung, Nachweis und Schlussfolgerung erklären.
2. Belegen: Legen Sie Dokumente, Aufzeichnungen oder andere Nachweise vor, die möglicherweise fehlen.
3. Abgrenzen: Klären Sie, ob von einer Pflicht, Nichtkonformität oder bloßen Empfehlung gesprochen wird.
4. Dokumentieren: Lassen Sie eine ungelöste abweichende Auffassung im Auditbericht beziehungsweise in den Auditunterlagen festhalten.
5. Zertifizierungsstelle einbeziehen: Bitten Sie um fachliche Prüfung durch die zuständige Stelle, nicht um ein zweites Rededuell mit demselben Auditor.
6. Formales Verfahren nutzen: Legen Sie bei einer nachteiligen Zertifizierungsentscheidung Einspruch ein oder reichen Sie bei Unzufriedenheit mit dem Verhalten beziehungsweise Prozess eine Beschwerde ein.

Dokumentieren Sie dabei knapp, sachlich und prüfbar: Was wurde behauptet? Welche Anforderung wurde genannt? Welche Nachweise liegen vor? Wo genau liegt Ihre abweichende Bewertung? Ein wütender Achtseiter über den Charakter des Auditors hilft weniger als eine präzise halbe Seite mit belastbaren Fundstellen.

Einspruch oder Beschwerde: Was ist der Unterschied?

Vereinfacht gesagt richtet sich ein Einspruch gegen eine nachteilige Entscheidung der Zertifizierungsstelle, die Ihren Zertifizierungsstatus betrifft. Eine Beschwerde betrifft sonstige Unzufriedenheit mit der Zertifizierungstätigkeit – beispielsweise mit dem Verhalten, der Kommunikation oder der Durchführung.

ISO/IEC 17021-1 behandelt Einsprüche in Abschnitt 9.7 und Beschwerden in Abschnitt 9.8. Die Zertifizierungsstelle muss dokumentierte Verfahren dafür haben. Bei Einsprüchen müssen Personen entscheiden oder die Entscheidung prüfen, die weder das Audit durchgeführt noch die angegriffene Zertifizierungsentscheidung getroffen haben. Ein Einspruch darf außerdem nicht zu Benachteiligungen führen.

Schauen Sie in den Vertrag und auf die Website Ihrer Zertifizierungsstelle. Dort sollten die konkreten Wege, Ansprechpartner und Fristen beschrieben sein. Und nutzen Sie das formale Verfahren nicht als erste Gesprächseröffnung. Erst klären, dann dokumentieren, dann eskalieren.

Was ein guter Auditor mit Widerspruch macht

Ein guter Auditor wird durch eine sachliche Rückfrage nicht beleidigt. Er zeigt die Prüfgrundlage, hört sich den Nachweis an und korrigiert sich gegebenenfalls. Oder er erklärt so nachvollziehbar, warum die Feststellung trägt, dass das Unternehmen sie verstehen kann.

Das ist kein Gesichtsverlust. Genau dafür gibt es Eröffnungs- und Abschlussgespräche, Auditberichte und eine unabhängige Zertifizierungsentscheidung. Ein Audit ist kein Professorentheater für höhere theoretische Regulatorik. Es ist eine nachvollziehbare Prüfung gegen festgelegte Kriterien.

Interesse geweckt?

Wenn Sie vor einem Zertifizierungsaudit stehen und Ihre Argumentation, Nachweise oder offenen Punkte noch einmal mit jemandem durchgehen möchten, sprechen Sie mit uns. Wir bereiten Unternehmen auf Audits vor, begleiten sie auf Wunsch im Termin und sagen auch dann offen Bescheid, wenn nicht der Auditor, sondern das Unternehmen falsch liegt.

Denn fachliche Rückendeckung bedeutet nicht, immer Ihrer Meinung zu sein. Sie bedeutet, sauber unterscheiden zu können: Was ist Anforderung, was ist Nachweis, was ist Nichtkonformität – und was ist schlicht eine persönliche Vorliebe?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.