Service
Internes Audit & Evidenz
Prüfen Sie, dass Ihre Kontrollen wirklich funktionieren, und halten Sie die Belege, die es beweisen.
Internes Audit ist, wie Sie Ihre eigenen Kontrollen zwischen externen Assessments testen. Wir prüfen, ob das, was Ihre Policies behaupten, tatsächlich geschieht, sammeln die Belege, die es beweisen, und markieren, was abdriftet, bevor es zu einem Befund wird.
Ein verlässlicher Evidenzprozess ist oft der Unterschied zwischen einem reibungslosen externen Audit und einem Hin und Her. Wir helfen Ihnen, einen einzurichten, damit Belege laufend gesammelt statt unter Druck rekonstruiert werden.
Was wir testen
Kontrollbetrieb
Wir prüfen Live-Belege stichprobenhaft, um zu bestätigen, dass jede Kontrolle so läuft, wie Ihre Dokumentation es beschreibt, und nicht nur auf dem Papier existiert.
Evidenz-Pipeline
Wir prüfen, dass der Nachweis jeder Kontrolle erfasst wird, während die Arbeit geschieht, und dort abgelegt ist, wo er wiedergefunden werden kann.
Anforderungszuordnung
Wir führen jede Kontrolle und ihren Beleg auf die konkrete Klausel oder das Kriterium zurück, das sie erfüllen soll, damit nichts unzugeordnet bleibt.
Kontroll-Drift
Wir suchen nach Stellen, an denen sich die Praxis seit dem letzten Assessment still von der Policy entfernt hat, und markieren sie, bevor sie zu Befunden werden.
Verfolgung von Korrekturmassnahmen
Wir erfassen jede Lücke mit priorisiertem Eigentümer und Massnahme, dann bestätigen wir ihre Schliessung vor dem externen Audit.
Audit-Bereitschaft
Wir stellen die Belege zu einem organisierten Paket zusammen und führen Ihr Team durch, wie der externe Assessor sie wahrscheinlich lesen wird.
Standards, nach denen wir arbeiten
Was enthalten ist
- Interne Audits gegen SOC 2, ISO 27001 oder Ihr Zielframework
- Tests, dass Kontrollen so arbeiten, wie Ihre Policies es beschreiben
- Ein wiederholbarer Evidenzsammlungsprozess, zugeordnet zu den Anforderungen
- Ein organisiertes, audit-fertiges Evidenzpaket
- Befunde mit klaren, priorisierten Korrekturmassnahmen
- Vorbereitung auf das nächste externe Assessment
Was Sie mitnehmen
- Gewissheit, dass Ihre Kontrollen in der Praxis funktionieren, nicht nur auf dem Papier
- Ein organisiertes Evidenzpaket, bereit für das nächste externe Audit
- Probleme gefunden und behoben zu Ihren Bedingungen statt zu denen des Auditors
So läuft es
Planen
Wir vereinbaren, welche Kontrollen gegen welches Framework zu auditieren sind, und setzen einen Zeitplan, der zu Ihrem Assessment-Zyklus passt.
Testen
Wir prüfen, dass Kontrollen wie beschrieben arbeiten, indem wir Belege stichprobenhaft prüfen, statt Policies für bare Münze zu nehmen.
Belegen
Wir richten einen wiederholbaren Prozess ein, damit Belege gesammelt werden, während die Arbeit geschieht, und sauber jeder Anforderung zugeordnet sind.
Korrigieren
Wir geben Befunde mit priorisierten Korrekturmassnahmen zurück, damit Lücken geschlossen werden, bevor ein externer Auditor sie sieht.
Wie wir dabei vorgehen
Ein internes Audit ist am nützlichsten, wenn Belege gesammelt werden, während die Arbeit geschieht, statt sie in der Woche, in der der Auditor eintrifft, aus dem Gedächtnis neu aufzubauen.
| Belege laufend gesammelt | Vor dem Audit rekonstruiert | |
|---|---|---|
| Zeitpunkt | Fortlaufend erfasst, während Kontrollen laufen | In Eile vor dem Assessment zusammengestellt |
| Genauigkeit | Spiegelt wider, was am Tag tatsächlich geschah | Beruht auf Erinnerung und nachträglich befüllten Aufzeichnungen |
| Lücken | Früh aufgedeckt, solange Zeit zum Beheben bleibt | Vom externen Auditor als Befunde entdeckt |
| Teamlast | Über den Zyklus als Routinearbeit verteilt | In ein stressiges Hin und Her gebündelt |
Was das unterstützt
Internes Audit und ein verlässlicher Evidenzprozess fliessen direkt in die Frameworks ein, auf die Sie hinarbeiten oder die Sie bereits halten.
- SOC 2
- Testet, dass Kontrollen gegen die Trust Services Criteria arbeiten, und baut die Belege auf, aus denen ein Auditor über den Beobachtungszeitraum Stichproben zieht.
- ISO 27001
- Liefert das interne Audit, das Clause 9.2 des Managementsystems erwartet, mit Belegen, die den Annex-A-Kontrollen in Ihrer Anwendbarkeitserklärung zugeordnet sind.
- PCI DSS
- Prüft, dass die geforderten Kontrollen arbeiten, und hält die unterstützenden Belege vor Ihrem Assessment organisiert.
- HIPAA
- Prüft, ob die Schutzmassnahmen in der Praxis funktionieren, und hält Belege dafür bereit, sollten sie nachgewiesen werden müssen.
FAQ
- Ist ein internes Audit erforderlich?
- Frameworks wie ISO 27001 erwarten interne Audits als Teil des Managementsystems. Auch wo sie optional sind, sind sie der günstigste Weg, Probleme vor einem externen Assessment aufzufangen.
- Ersetzt das das externe Audit?
- Nein. Es bereitet darauf vor. Das externe Audit wird weiterhin von einer unabhängigen Stelle durchgeführt, aber internes Audit bedeutet, dass Sie hineingehen und bereits wissen, was sie finden werden.
- Können Sie bei der laufenden Evidenzsammlung helfen?
- Ja. Wir können den Prozess einrichten und, wenn Sie möchten, ihn als Teil einer verwalteten Compliance-Vereinbarung für Sie betreiben.
Verwandte Services
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit