ISO 27001: Auditprogramm, Auditplan und Audit – der Unterschied

Ein Unternehmen legt uns für Abschnitt 9.2 eine Tabelle vor. Darin steht eine Zeile:

„17. Oktober – Internes Audit.“

Dahinter ein Name. Daneben vorsichtshalber noch ein grüner Haken.

Auf die Frage nach dem Auditprogramm zeigt jemand erneut auf genau diese Zeile. Schließlich stehe dort doch das Audit. Mit Datum. Viel geplanter könne etwas ja wohl kaum sein.

Doch. Kann es. Muss es sogar.

Ein Termin ist noch kein Auditprogramm. Genauso wenig hat eine Rockband bereits eine Tournee geplant, nur weil sie weiß, dass sie am Freitagabend einen Auftritt hat.

Die kurze Antwort

Bei einem Internen Audit nach ISO 27001 sollten Sie drei Dinge auseinanderhalten:

• Das Auditprogramm steuert ein oder mehrere Audits über einen bestimmten Zeitraum und für einen bestimmten Zweck.
• Der Auditplan beschreibt die konkreten Aktivitäten und den Ablauf eines einzelnen Audits.
• Das Audit ist die tatsächlich durchgeführte Prüfung, bei der Nachweise gegen festgelegte Kriterien bewertet werden.

Oder in Rockmusik:

Das Auditprogramm ist der Tourneeplan. Das einzelne Audit ist das Konzert. Der Auditplan ist die Setlist samt Ablauf für einen Abend. Und die geprüften Anforderungen sind die Lieder, die an diesem Abend tatsächlich gespielt werden sollen.

Ein Tourneeplan ist noch kein Konzert. Und ein einzelnes Konzert ist noch keine Tourneeplanung.

Das Auditprogramm ist der Tourneeplan

Eine Band, die auf Tournee geht, muss mehr entscheiden als nur den nächsten Auftrittstermin:

• Welche Städte werden in welchem Zeitraum besucht?
• Wann finden die Konzerte statt?
• Welche Spielstätten sind besonders wichtig oder schwierig?
• Wo braucht es zusätzliche Technik oder besondere Vorbereitung?
• Wer ist jeweils verantwortlich?
• Was hat beim letzten Auftritt nicht funktioniert und muss diesmal anders laufen?

Genau diese übergeordnete Logik hat das Auditprogramm. Es sorgt dafür, dass nicht einfach irgendwann irgendetwas auditiert wird, sondern dass die Auditaktivitäten einen erkennbaren Zweck verfolgen und das ISMS sinnvoll abdecken.

Der praktische Leitsatz lautet:

Ein Audit untersucht konkret. Das Auditprogramm sorgt dafür, dass über die Zeit die richtigen Dinge untersucht werden – und nicht jedes Jahr dieselben drei bequemen Themen.

Was ISO 27001 vom Auditprogramm verlangt

Abschnitt 9.2.2 verlangt, dass die Organisation ein oder mehrere Auditprogramme plant, festlegt, umsetzt und aufrechterhält. Das ist mehr als eine Jahreszahl in einer Excel-Tabelle.

Das Auditprogramm muss insbesondere Aussagen enthalten zu:

• der Häufigkeit (oder sogar die Datumsangaben) der Audits;
• den verwendeten Auditmethoden;
• den Verantwortlichkeiten;
• den Planungsanforderungen;
• der Berichterstattung.

Außerdem müssen bei der Gestaltung des Programms die Bedeutung der betroffenen Prozesse und die Ergebnisse früherer Audits berücksichtigt werden.

Für jedes einzelne Audit sind dann Auditkriterien und Auditumfang festzulegen. Auditoren müssen so ausgewählt und Audits so durchgeführt werden, dass Objektivität und Unparteilichkeit gewährleistet sind. Die Ergebnisse gehen an das relevante Management. Und dokumentierte Informationen müssen sowohl die Umsetzung des Programms als auch die Auditergebnisse belegen.

Wer das Grundthema erst einmal einordnen möchte, findet in unserem Artikel zum Internen Audit nach ISO 27001 den vollständigen Überblick über Zweck, Ablauf und Kompetenzanforderungen.

Die wichtige Feinheit: Ein Auditprogramm kann auch mal nur ein Audit enthalten

Jetzt wird es ein wenig haarespalterisch, aber muss sein: Ein Auditprogramm muss nicht zwingend mehrere Audits enthalten.

Die ISO 19011 beschreibt ein Auditprogramm als Vorkehrungen für ein oder mehrere Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Seit Mai 2026 ist die ISO 19011:2026 die aktuelle Ausgabe dieses Audit-Leitfadens.

Auch eine Tournee kann theoretisch aus nur einem Konzert bestehen. Vielleicht ist es eine sehr übersichtliche Tournee. Vielleicht hat der Tourbus nicht einmal Gelegenheit, warm zu werden. Aber trotzdem müssen Zweck, Veranstaltungsort, Verantwortlichkeiten, Technik, Ablauf und Auswertung geplant werden.

Deshalb ist die Aussage „Unser Auditprogramm besteht aus einem einzigen Audit“ nicht automatisch falsch.

Falsch beziehungsweise unzureichend wird es, wenn dieses angebliche Programm nur aus einem Datum besteht und niemand erklären kann:

• warum genau dieses Audit so zugeschnitten ist;
• welche Themen damit abgedeckt werden;
• wie die Methoden gewählt wurden;
• wer verantwortlich ist;
• wie Ergebnisse berichtet werden;
• wie frühere Feststellungen die Planung beeinflusst haben.

Das einzelne Audit ist das Konzert

Irgendwann reicht Tourneeplanung nicht mehr. Dann geht das Licht aus, der Vorhang auf und die Band muss spielen.

Das einzelne Audit ist dieser konkrete Auftritt. Es hat:

• ein Auditziel;
• einen festgelegten Auditumfang;
• konkrete Auditkriterien;
• einen Auditor oder ein Auditteam;
• bestimmte Gesprächspartner und Organisationseinheiten;
• Methoden und Stichproben;
• objektive Auditnachweise;
• Feststellungen, Schlussfolgerungen und einen Auditbericht.

Während das Programm also die Gesamtheit steuert, wird im einzelnen Audit tatsächlich geprüft.

Die Anforderungen, gegen die geprüft wird, kommen nicht nur aus der Norm. Dazu gehören auch die eigenen Vorgaben des Unternehmens, beispielsweise Richtlinien, Prozesse, die Anwendbarkeitserklärung, vertragliche Anforderungen oder andere festgelegte Auditkriterien.

Das sind in unserer Analogie die Lieder. Wenn auf der Setlist Berechtigungsmanagement steht, kann die Band nicht stattdessen dreimal Risikomanagement spielen und anschließend erklären, das Publikum habe doch schließlich Musik bekommen.

Der Auditplan ist Setlist und Ablaufplan

Der Auditplan wird ebenfalls häufig mit dem Auditprogramm verwechselt.

Er beschreibt die konkreten Aktivitäten und organisatorischen Einzelheiten für ein bestimmtes Audit. Bei einem eintägigen Audit könnte dort beispielsweise stehen:

• 09:00 Uhr: Eröffnungsgespräch;
• 09:20 Uhr: Kontext, Scope und Führung;
• 10:15 Uhr: Risikomanagement und Anwendbarkeitserklärung;
• 11:30 Uhr: Personalprozesse und Kompetenz;
• 13:30 Uhr: IT-Betrieb und Berechtigungsmanagement;
• 15:30 Uhr: Feststellungen zusammenführen;
• 16:15 Uhr: Abschlussgespräch.

Der Auditplan hilft dabei, die richtigen Personen zur richtigen Zeit verfügbar zu haben. Genau deshalb ist er auch im Zertifizierungsaudit wichtig.

ISO 27001 verlangt nicht zwingend ein separates Dokument mit der Überschrift „Auditplan“. Die benötigten Informationen können auch sinnvoll anders dokumentiert sein. Entscheidend ist, dass das Audit vorbereitet, sein Umfang und seine Kriterien festgelegt und die Durchführung nachvollziehbar organisiert sind. Wie so oft geht es um dokumentierte Information und nicht um eine bestimmte Word-Vorlage.

Wie ein praktisches Auditprogramm aussehen kann

Nehmen wir ein mittelständisches Softwareunternehmen. Statt einmal jährlich in zwei Tagen alles ungefähr anzuschauen, könnte das Unternehmen sein Programm beispielsweise so strukturieren:

Erstes Quartal: Führung und Risikosteuerung

Audit von Kontext, Verantwortlichkeiten, Informationssicherheitszielen, Risikomanagement und Risikobehandlung. Das Unternehmen hat hier wesentliche Änderungen vorgenommen, deshalb erhält das Thema früh im Jahr Aufmerksamkeit.

Zweites Quartal: Personal und Lieferanten

Stichproben zu Eintritt, Rollenwechsel und Austritt sowie zur Steuerung wichtiger externer Dienstleister. Im Vorjahr gab es beim Offboarding eine Nichtkonformität. Deshalb wird dieses Thema bewusst erneut und vertieft auditiert.

Drittes Quartal: IT-Betrieb

Berechtigungen, Logging, Schwachstellen, Backup, Wiederherstellung und Veränderungen an produktiven Systemen. Hier liegen zentrale Sicherheitsrisiken und besonders viele operative Nachweise.

Viertes Quartal: Gesamtwürdigung

Querschnittsprüfung der noch nicht abgedeckten Normanforderungen, Nachverfolgung früherer Feststellungen und Bewertung, ob das ISMS insgesamt wirksam umgesetzt und aufrechterhalten wird.

Das ist nur ein Beispiel. Ein kleineres Unternehmen kann alles in einem Audit bündeln. Ein großes Unternehmen kann dutzende Audits nach Standorten, Prozessen oder Themen durchführen. Gut ist nicht automatisch das längste Programm. Gut ist das Programm, das zur Organisation, ihren Risiken, Veränderungen und bisherigen Ergebnissen passt.

Wie dokumentiert man ein Auditprogramm praktisch?

Für ein brauchbares Auditprogramm benötigen Sie kein Tourmanagement-System, das sonst nur internationale Stadionbands bezahlen können. In vielen Unternehmen reicht eine gut gepflegte Tabelle oder eine strukturierte Ansicht im vorhandenen Aufgaben- beziehungsweise Managementsystem.

Pro vorgesehenem Audit können beispielsweise folgende Angaben geführt werden:

• Bezeichnung und Ziel des Audits;
• vorgesehener Zeitraum oder Termin;
• betroffene Prozesse, Standorte oder Organisationseinheiten;
• grundsätzlich vorgesehene Auditkriterien;
• geplante Methoden;
• verantwortliche Person für das Programm;
• vorgesehener Auditor beziehungsweise Auditteam;
• Empfänger des Berichts;
• Status der Planung, Durchführung und Berichterstattung;
• Begründung für besondere Prioritäten oder Wiederholungen.

Über der Liste sollte außerdem erkennbar sein, welchen Zeitraum und welches Ziel das gesamte Auditprogramm hat. Soll vor der Erstzertifizierung die Konformität und Wirksamkeit des gesamten ISMS beurteilt werden? Geht es um ein Programm für das kommende Geschäftsjahr? Oder um eine mehrjährige Auditlogik mit jährlicher Überprüfung und Anpassung?

Wichtig ist die Pflege. Ein Auditprogramm ist keine Steintafel. Wenn sich das Unternehmen wesentlich verändert, ein Sicherheitsvorfall neue Schwächen sichtbar macht oder ein Audit eine systematische Nichtkonformität findet, darf und soll die weitere Planung angepasst werden. Eine Tournee wird schließlich auch geändert, wenn die Halle abbrennt oder der Schlagzeuger in Oslo verloren geht.

Was sind Auditmethoden?

Der Begriff klingt größer, als er sein muss. Auditmethoden beschreiben, wie der Auditor an geeignete Nachweise gelangt. Dazu gehören beispielsweise:

• Interviews mit verantwortlichen und ausführenden Personen;
• Prüfung von Richtlinien, Prozessbeschreibungen und Aufzeichnungen;
• Beobachtung tatsächlicher Arbeitsabläufe;
• Einsicht in Systeme, Konfigurationen, Tickets oder Protokolle;
• Auswahl und Prüfung geeigneter Stichproben;
• Audits vor Ort, remote oder in sinnvoller Kombination.

Auch diese Auswahl gehört zur Programmlogik. Ein Standort mit sensiblen Entwicklungsräumen lässt sich möglicherweise nicht sinnvoll ausschließlich per Videokonferenz auditieren. Bei einem stark digitalisierten Prozess kann dagegen eine strukturierte Remote-Prüfung mit Systemeinsicht sehr wirksam sein. Das Programm sollte deshalb nicht nur sagen, wann gespielt wird, sondern auch, ob dafür eine akustische Gitarre reicht oder die gesamte Verstärkerwand mitmuss.

Warum nicht jedes Thema gleich oft auditiert werden muss

Eine Tourband spielt nicht an jedem Ort gleich häufig und behandelt nicht jede Spielstätte als gleich anspruchsvoll. Ein kleines Clubkonzert, ein Open Air bei schlechtem Wetter und eine Fernsehübertragung benötigen unterschiedliche Vorbereitung.

Genauso darf und soll ein Auditprogramm Schwerpunkte setzen. Prozesse mit hoher Bedeutung, großen Veränderungen, schwachen Ergebnissen oder früheren Nichtkonformitäten verdienen mehr Aufmerksamkeit als stabile, einfache Prozesse ohne Auffälligkeiten.

Das bedeutet aber nicht, dass unbequeme Themen dauerhaft von der Setlist verschwinden dürfen. Das Programm muss insgesamt eine belastbare Aussage über die Konformität und Wirksamkeit des ISMS ermöglichen. Besonders vor der Erstzertifizierung reicht es nicht, nur drei hübsche Lieblingsthemen zu auditieren und den Rest unter „später auf Tour“ abzulegen.

Typische Fehler beim ISO 27001-Auditprogramm

Ein Kalendereintrag wird zum Programm erklärt

„Internes Audit – 17. Oktober“ beantwortet weder die Frage nach den Methoden noch nach Verantwortlichkeiten, Schwerpunkten oder Berichtswegen.

Jedes Jahr wird exakt dieselbe Setlist gespielt

Die Organisation verändert sich, Risiken verändern sich und frühere Audits liefern Ergebnisse. Wenn das Programm trotzdem jedes Jahr identisch kopiert wird, ist fraglich, ob diese Informationen tatsächlich berücksichtigt wurden.

Frühere Feststellungen spielen keine Rolle

Wenn das letzte Audit Probleme im Offboarding zeigte, sollte das Programm erkennen lassen, wie und wann dieses Thema erneut betrachtet wird. Was eine echte Nichtkonformität beziehungsweise Abweichung ist, haben wir gesondert erklärt.

Auditprogramm und Auditplan sind dasselbe Dokument

Eine Tabelle darf natürlich beide Ebenen enthalten. Aber die Inhalte müssen unterscheidbar bleiben: übergeordnete Steuerung auf der einen Seite, konkrete Ablaufplanung des einzelnen Audits auf der anderen.

Das Programm deckt nur die Normüberschriften ab

Ein Internes Audit bewertet auch die eigenen ISMS-Anforderungen. Wer nur die Abschnittsnummern 4 bis 10 verteilt und interne Regeln, anwendbare Controls und relevante Verpflichtungen vergisst, hat eine ziemlich dünne Setlist.

Was der Zertifizierungsauditor sehen möchte

Als Zertifizierungsauditor schaue ich nicht nur danach, ob eine Datei mit dem Namen „Auditprogramm.xlsx“ existiert. Ich möchte die Steuerungslogik verstehen.

Typische Fragen sind:

• Welche Auditziele verfolgt das Programm?
• Welche Teile des ISMS werden wann abgedeckt?
• Warum werden bestimmte Themen häufiger oder intensiver auditiert?
• Wie wurden Bedeutung, Risiken, Veränderungen und frühere Ergebnisse berücksichtigt?
• Welche Methoden werden eingesetzt?
• Wer plant, wer auditiert und wer erhält die Ergebnisse?
• Wie wird überwacht, ob das Programm tatsächlich umgesetzt wurde?

Wenn darauf nachvollziehbare Antworten kommen, darf das Auditprogramm sehr kompakt sein. Wenn die Antwort immer nur aus einem beherzten Fingerzeig auf den 17. Oktober besteht, fehlt etwas.

Der eigentliche Unterschied

Das Auditprogramm beantwortet die strategisch-organisatorische Frage:

„Welche Audits brauchen wir über die Zeit, damit wir unser ISMS sinnvoll beurteilen können?“

Der Auditplan beantwortet die operative Frage:

„Wie läuft dieses konkrete Audit ab?“

Und das Audit beantwortet die inhaltliche Frage:

„Was zeigen die objektiven Nachweise im Vergleich zu den festgelegten Anforderungen?“

Oder noch einmal mit Verstärker:

Der Tourneeplan bringt die Band in die richtigen Städte. Die Setlist organisiert den Abend. Aber erst auf der Bühne zeigt sich, ob sie ihre Lieder tatsächlich beherrscht.

Interesse geweckt?

Wenn Sie Ihr Auditprogramm so aufbauen möchten, dass es nicht nur einen Termin verwaltet, sondern Ihr ISMS wirklich sinnvoll prüft, Sprechen Sie mit uns. Wir unterstützen Sie bei Planung, Durchführung und Auswertung Ihrer Internen Audits – auch ohne Nebelmaschine und Tourbus.