So läuft ein Assessment in der Praxis
Ein Assessment beginnt mit der Aktivierung eines Frameworks. Sightadel legt dann alle Kontrollen als Fragen an, gegliedert nach den Themen der Norm. Bevor jemand die erste Frage beantwortet, lohnt eine kurze Planung: Wer ist für das Assessment verantwortlich, bis wann soll es abgeschlossen sein, und wer liefert zu welchen Kapiteln Antworten zu? Verantwortliche Person und Fälligkeitsdatum tragen Sie direkt im Assessment ein, sodass sie für alle Beteiligten sichtbar sind.
Bewährt hat sich, Kapitel für Kapitel vorzugehen statt quer durch die Norm. Beginnen Sie mit den Themen, die das Fundament bilden, etwa Richtlinien, Rollen und Verantwortlichkeiten. Viele spätere Kontrollen bauen darauf auf. Fachliche Kapitel wie Zugriffssteuerung, Betrieb oder Lieferanten bearbeiten die Personen, die sich dort auskennen. Über die Rollen arbeiten Kolleginnen, Kollegen und Berater im selben Assessment mit.
Sie müssen nichts in einem Zug erledigen. Der Zwischenstand wird gespeichert, und ein Knopf führt jederzeit zur ersten unbeantworteten Kontrolle. Rechnen Sie für ein umfangreiches Framework wie ISO 27001 eher mit Wochen als mit Tagen, denn zu vielen Fragen gehört eine Entscheidung oder ein Gespräch im Haus. Erst wenn alle Kontrollfragen beantwortet sind, lässt sich das Assessment absenden.
Gute Antworten: konkret, belegt, ehrlich
Eine Antwort im Assessment ist eine Aussage über Ihre Organisation, die später jemand überprüft. Deshalb sollte sie beschreiben, was tatsächlich gelebt wird, nicht was geplant oder gewünscht ist. Wählen Sie die Antwortoptionen, die zutreffen, und nutzen Sie das Kommentarfeld für den Kontext: welcher Prozess gemeint ist, wer ihn verantwortet, seit wann er gilt.
Zu jeder Antwort gehört ein Nachweis. Das kann eine Richtlinie sein, ein Protokoll, ein Screenshot einer Einstellung oder ein Auszug aus einem Ticketsystem. Verknüpfen Sie den Nachweis direkt an der Kontrolle aus dem Nachweis-Archiv. Liegt er schon für ein anderes Framework vor, verknüpfen Sie ihn erneut, statt eine Kopie hochzuladen.
„Keine“ ist eine zulässige Antwort. Sie zeigt eine Lücke, und aus einer Lücke wird ein Maßnahmenplan mit Verantwortlichem und Frist. Das ist im Audit deutlich besser als eine geschönte Antwort ohne Beleg. Für „n. a.“ gilt: nur verwenden, wenn die Kontrolle wirklich nicht auf Sie zutrifft, und immer im Kommentar begründen. Ein Unternehmen ohne eigene Softwareentwicklung kann etwa Kontrollen zur sicheren Entwicklung ausschließen, muss aber erklären, wie es mit zugekaufter Software umgeht.
Worauf Auditoren achten
Ein Zertifizierungsaudit läuft in zwei Stufen. In der ersten prüft der Auditor die Dokumentation: Ist das Managementsystem beschrieben, sind Geltungsbereich, Rollen und die Erklärung zur Anwendbarkeit vorhanden? In der zweiten prüft er, ob das Beschriebene gelebt wird. Er spricht mit Mitarbeitenden, sieht sich Aufzeichnungen an und zieht Stichproben.
Für das Assessment heißt das: Der Auditor liest Ihre Antworten nicht als Selbstauskunft, sondern als Ausgangspunkt für Fragen. Er wählt eine Kontrolle und will den Beleg sehen, dann eine zweite. Je klarer Antwort, Kommentar und Nachweis zusammenpassen, desto kürzer werden diese Gespräche.
Achten Sie besonders auf drei Punkte. Erstens auf Aktualität: Ein Nachweis von vor drei Jahren belegt keinen heutigen Zustand. Zweitens auf Begründungen bei Ausschlüssen. Drittens auf Widersprüche, etwa wenn eine Antwort einen monatlichen Prozess beschreibt, der Nachweis aber nur einen einzigen Termin zeigt. In Sightadel bekommt der Auditor eine eigene Rolle. Er sieht Antworten und Nachweise im Zusammenhang, kommentiert und legt nach Ihrer Freigabe Einträge an oder bearbeitet sie. Löschen kann er nichts.
Typische Stolperfallen
Die häufigste Falle ist, das Assessment als Formular zu behandeln, das man möglichst schnell ausfüllt. Wer überall die beste Option wählt, hat am Ende ein gutes Ergebnis auf dem Bildschirm und im Audit ein Problem. Der Wert des Assessments liegt darin, Lücken früh zu sehen, solange noch Zeit zum Handeln ist.
Eine zweite Falle ist fehlende Zuständigkeit. Ein Assessment, das allen gehört, bearbeitet niemand. Legen Sie eine verantwortliche Person fest, setzen Sie ein realistisches Fälligkeitsdatum und verteilen Sie fachliche Kapitel an die Personen, die sich auskennen.
Drittens wird der Geltungsbereich oft zu spät geklärt. Ob ein Standort, eine Tochtergesellschaft oder ein bestimmter Dienst dazugehört, verändert die Antworten auf viele Kontrollen. Klären Sie das vor dem Start, im Zweifel mit Beratung.
Schließlich ist ein abgesendetes Assessment eine Momentaufnahme. Maßnahmen ändern sich, Nachweise laufen ab, Personen wechseln. Planen Sie das Assessment deshalb als wiederkehrende Aufgabe, etwa jährlich vor dem internen Audit, und halten Sie die Nachweise über ihre Gültigkeitsdaten aktuell.
