Vorbereitung auf ein externes Audit: eine Schritt-für-Schritt-Checkliste

Die Vorbereitung auf ein externes Audit entscheidet darüber, ob die Zertifizierung ruhig und planbar verläuft oder zur Feuerwehrübung wird. Ob es um ISO 27001, SOC 2 oder ein anderes Rahmenwerk geht: Das Ergebnis steht weitgehend fest, bevor der Auditor eintrifft, und zwar durch die Sorgfalt, mit der Sie geplant, Nachweise gesammelt und geprobt haben. Diese Checkliste beschreibt ein phasenweises Vorgehen, von der ersten Planung über die Nachweiserfassung bis zum Audit selbst, damit der Betrieb weiterläuft, während das Audit läuft.

Eine Sache vorab: Die beste Vorbereitung auf ein externes Audit ist ein sauberes internes Audit. Falls Sie noch keines durchgeführt haben, beginnen Sie mit unserem Leitfaden zum internen ISO-27001-Audit und kommen dann für die Zertifizierungsphase zu dieser Checkliste zurück.

Wissen, für welches Audit Sie sich vorbereiten

Die Vorbereitung unterscheidet sich je nach Audit-Typ, benennen Sie Ihren also zuerst. Zertifizierungsaudits (ISO 27001, ISO 27701, TISAX) enden mit einem formalen Zertifikat einer akkreditierten Stelle. Attestierungsaudits (SOC 1, SOC 2, SOC 3) enden mit einem Bericht, der Stakeholdern Sicherheit gibt und häufig von nordamerikanischen Kunden verlangt wird. Regulatorische Prüfungen (DSGVO, NIS2 und branchenspezifische Reviews) prüfen die Einhaltung des Rechts und laufen zunehmend mit der Strenge eines formalen Audits. Die folgenden Schritte gelten für alle drei; es ändern sich die Nachweise und die prüfende Stelle.

Phase 1: Planen (8–12 Wochen vorher)

Gute Ergebnisse beginnen lange vor dem Audit. Starten Sie etwa 8 bis 12 Wochen vorher mit vier Schritten:

• Anwendungsbereich und Ziele festlegen. Bestimmen Sie, welche Standards gelten, welche Systeme, Prozesse und Standorte im Scope sind und wie ein erfolgreiches Ergebnis aussieht, und bestätigen Sie all das mit Ihrem Auditor. Ein unklarer Anwendungsbereich ist die häufigste Ursache für überraschende Feststellungen.
• Team zusammenstellen. Benennen Sie eine Audit-Koordination, einen Executive Sponsor, Fachexperten, Verantwortliche für die Nachweiserfassung und Verantwortliche für die Behebung, damit sowohl das Fachwissen als auch die Befugnis zur Umsetzung im Raum sind.
• Eine Gap-Analyse vor dem Audit durchführen. Hier leistet Ihr internes Audit die Arbeit: frühere Feststellungen prüfen, Kontrollen testen, Aktualität der Dokumentation kontrollieren und die zu schließenden Lücken priorisieren.
• Zeitplan und Kommunikationsplan aufstellen. Setzen Sie Meilensteine und Fristen, klären Sie, wer wann welche Information braucht, und planen Sie regelmäßige Checkpoints.

Phase 2: Nachweise sammeln (4–8 Wochen vorher)

Die Nachweiserfassung ist der aufwendigste Teil der Vorbereitung. Behandeln Sie sie als strukturierten Prozess, nicht als Suche. Beginnen Sie etwa 4 bis 8 Wochen vorher:

• Nachweise inventarisieren. Ordnen Sie jeder Anforderung die nötigen Nachweise zu, legen Sie Qualitätskriterien fest und erstellen Sie eine Rückverfolgbarkeitsmatrix, die Nachweise mit Kontrollen verknüpft.
• Systematisch sammeln. Weisen Sie Verantwortliche und Fristen zu, standardisieren Sie Formate für häufige Nachweise und verfolgen Sie den Fortschritt, damit am Tag nichts fehlt.
• Zentralisieren. Halten Sie alles in einem Repository mit sinnvollen Zugriffsrechten, einheitlicher Dateibenennung und Versionskontrolle, geordnet nach Kontrollbereich.
• Qualität und Vollständigkeit prüfen. Prüfen Sie die Nachweise mit derselben Strenge wie der Auditor und schließen Sie Lücken, bevor der Auditor sie sieht.

Genau hier zahlt sich eine kontinuierliche, automatisierte Nachweiserfassung am stärksten aus: Werden Nachweise das ganze Jahr über im Hintergrund gesammelt, wird diese Phase zu einer Überprüfung statt zu einem Neuaufbau.

Phase 3: Bereit werden und das Audit durchführen (1–4 Wochen vorher)

Sind die Nachweise vorhanden, drehen sich die letzten Wochen um Menschen und Logistik:

• Menschen vorbereiten. Briefen Sie alle, die mit dem Auditor sprechen, zu Anwendungsbereich und Ablauf und proben Sie Antworten auf wahrscheinliche Fragen.
• Logistik regeln. Buchen Sie Räume, organisieren Sie Systemzugänge, erstellen Sie den Audit-Zeitplan und teilen Sie Kontakte. Logistisches Chaos wirkt wie Kontrollchaos, selbst wenn die Kontrollen solide sind.
• Eine abschließende Bereitschaftsprüfung durchführen. Bestätigen Sie, dass die Nachweise vollständig sind, Lücken geschlossen wurden und Demo-Umgebungen funktionieren.
• Das Audit aktiv steuern. Lassen Sie es von einer Koordination führen, verfolgen Sie Nachweisanfragen und halten Sie tägliche Debriefs ab, um Probleme sofort zu erkennen und zu beheben.

Phase 4: Nach dem Audit

Die Arbeit endet nicht, wenn der Auditor geht. Beheben Sie Feststellungen an der Ursache, nicht nur am Symptom, mit benannten Verantwortlichen und Fristen, und bewahren Sie Nachweise der Behebung auf. Führen Sie danach eine kurze Lessons-Learned-Runde durch, damit das nächste Audit leichter wird, und aktualisieren Sie Ihr Audit-Playbook mit den Änderungen. Jedes Audit als Input für das nächste zu behandeln, macht den Zyklus mit der Zeit leichter.

Vom Kraftakt zum Hintergrundprozess

Jeder Schritt oben lässt sich manuell umsetzen, aber die Teams, für die Audits schmerzlos sind, machen es nicht mehr von Hand. Kontinuierliche Nachweiserfassung verbindet sich mit den Quellsystemen und sammelt das ganze Jahr über Belege; automatisierte Kontrollüberwachung prüft Kontrollen in Echtzeit und meldet Fehler, sobald sie auftreten; und eine integrierte Plattform bildet ein Kontroll-Set über mehrere Rahmenwerke ab, sodass ein Audit mehrere Zertifizierungen bedient. Das ist der Wechsel: weg vom Audit als periodischem Notfall, hin zum Audit als Routinebestätigung, dass das Programm bereits funktioniert.

Häufige Fragen

Wie lange im Voraus sollte man sich auf ein externes Audit vorbereiten?

Beginnen Sie etwa 8 bis 12 Wochen vorher mit Planung und Gap-Analyse, 4 bis 8 Wochen vorher mit der Nachweiserfassung und nutzen Sie die letzten 1 bis 4 Wochen für Bereitschaft und Logistik. Eine kontinuierliche Nachweiserfassung verkürzt all das.

Was ist die häufigste Ursache für Audit-Feststellungen?

Ein unklarer Anwendungsbereich sowie fehlende oder schwer nachvollziehbare Nachweise, seltener fehlende Kontrollen. Viele Organisationen haben die Kontrollen, können sie aber nicht ohne Weiteres belegen, was eine Gap-Analyse vor dem Audit aufdeckt.

Brauche ich vor dem externen Audit ein internes Audit?

Für ISO 27001 ja: Klausel 9.2 verlangt es, und es ist Ihre beste Probe. Wie Sie eines durchführen, zeigt der Leitfaden zum internen ISO-27001-Audit.

Sehen Sie, wie Kertos die Vorbereitung auf externe Audits mit kontinuierlichen Nachweisen und automatisierter Überwachung zum Hintergrundprozess macht: Demo buchen.

‍