ISMS Copilot für Compliance-Auditoren

Überblick

Als Compliance-Auditor führen Sie systematische Bewertungen von Informationssicherheits-Managementsystemen in Organisationen durch, werten Nachweise aus, identifizieren Kontrolldefizite und dokumentieren Feststellungen. Der ISMS Copilot beschleunigt die Auditplanung, verbessert die Analyse von Nachweisen, stellt eine umfassende Abdeckung der Auditkriterien sicher und erhöht die Qualität der Dokumentation von Feststellungen – so können Sie gründlichere Audits in kürzerer Zeit durchführen und gleichzeitig strenge professionelle Standards einhalten.

Für wen dies gedacht ist

Dieser Leitfaden richtet sich an interne Auditoren, externe Zertifizierungsauditoren, Drittgutachter und Audit-Consultants, die Audits nach ISO 27001, SOC 2, NIST, DSGVO oder anderen Frameworks durchführen. Ganz gleich, ob Sie interne Audits für Ihr Unternehmen, Zertifizierungsaudits für akkreditierte Stellen oder Lieferantenbewertungen für Unternehmenskunden durchführen, der ISMS Copilot unterstützt Ihren Audit-Workflow von der Planung bis zur Berichterstattung.

Wie Auditoren den ISMS Copilot nutzen

Auditplanung und Festlegung des Prüfungsumfangs

Entwickeln Sie umfassende Auditprogramme, die alle relevanten Framework-Anforderungen abdecken:

• Entwicklung von Auditprogrammen: Erstellen Sie detaillierte Auditprogramme für ISO 27001:2022 Stage-1- und Stage-2-Audits, SOC 2 Type I/II-Assessments oder interne Auditzyklen.

• Verfahren zur Kontrollprüfung: Erstellen Sie spezifische Prüfverfahren für jede Kontrolle, einschließlich der Festlegung des Stichprobenumfangs, der Nachweisanforderungen und der Abnahmekriterien.

• Interview-Fragenkataloge: Bereiten Sie gezielte Interviewfragen für verschiedene Rollen vor (CISO, IT-Manager, Entwickler, HR), die auf spezifische Kontrollen und Anforderungen abgestimmt sind.

• Risikobasierter Prüfungsumfang: Priorisieren Sie Audit-Schwerpunkte basierend auf dem Risikoprofil der Organisation, früheren Auditergebnissen und dem Reifegrad der Kontrollen.

• Planung für mehrere Standorte: Entwickeln Sie Auditprogramme für Organisationen mit mehreren Standorten, Remote-Teams oder verteilter Infrastruktur.

Framework-Wissen und Interpretation

Stellen Sie die korrekte Anwendung von Auditkriterien über alle Frameworks hinweg sicher:

• Aktuelle Anforderungen: Beziehen Sie sich auf die ISO 27001:2022 (nicht die veraltete Version von 2013), die neuesten Trust Services Criteria für SOC 2 und aktuelle regulatorische Interpretationen.

• Interpretation von Kontrollen: Verstehen Sie nuancierte Unterschiede in der Anwendung spezifischer Kontrollen auf verschiedene Organisationskontexte, Technologien und Branchen.

• Mapping und Crosswalks: Identifizieren Sie Überschneidungen zwischen Frameworks – z. B. wie ISO 27001-Kontrollen mit SOC 2 TSC, NIST CSF oder DSGVO-Anforderungen zusammenhängen.

• Branchenspezifische Anleitung: Greifen Sie auf Compliance-Interpretationen für das Gesundheitswesen, Finanzdienstleistungen, kritische Infrastrukturen oder SaaS zu.

• Erwartungen an Nachweise: Verstehen Sie, welche Arten von Nachweisen spezifische Kontrollanforderungen erfüllen und welche Dokumentationsstandards von Auditoren verlangt werden.

Analyse und Bewertung von Nachweisen

Systematische Bewertung der von den Auditierten bereitgestellten Nachweise:

• Richtlinienprüfung: Laden Sie ISMS-Richtlinien, Verfahren und Standards hoch und analysieren Sie diese auf Vollständigkeit gegenüber den Framework-Anforderungen.

• Identifizierung von Lücken: Identifizieren Sie schnell fehlende Richtlinienabschnitte, unzureichende Kontrollbeschreibungen oder unvollständige Verfahrensdokumentationen.

• Hinreichende Nachweise: Beurteilen Sie, ob die bereitgestellten Nachweise die Wirksamkeit der Kontrollen angemessen belegen oder ob zusätzliche Tests erforderlich sind.

• Dokumentationsqualität: Bewerten Sie, ob die Dokumentation des Auditierten professionellen Standards in Bezug auf Klarheit, Detailtiefe und Vollständigkeit des Audit-Trails entspricht.

• Bewertung des Kontrolldesigns: Bestimmen Sie, ob die beschriebenen Kontrollen bei wirksamer Durchführung die Framework-Anforderungen erfüllen würden.

Dokumentation von Feststellungen und Berichterstattung

Erstellen Sie klare, umsetzbare Audit-Feststellungen und Empfehlungen:

• Formulierung von Feststellungen: Entwerfen Sie Audit-Feststellungen mit sauberer Struktur: Zustand (was wurde beobachtet), Kriterium (was sollte vorhanden sein), Ursache (warum trat der Mangel auf), Auswirkung (Risiko oder Effekt) und Empfehlung.

• Schweregradbewertung: Beurteilen Sie, ob Feststellungen kritische Nichtkonformitäten, Hauptabweichungen, Nebenabweichungen oder bloße Beobachtungen darstellen.

• Anleitung zur Behebung: Geben Sie spezifische, umsetzbare Empfehlungen anstelle von allgemeinen Aussagen wie „Kontrollen implementieren“.

• Berichtserstellung: Erstellen Sie Abschnitte für den Auditbericht, Management-Summaries und detaillierte Dokumentationen der Feststellungen.

• Bewertung von Korrekturmaßnahmen: Überprüfen Sie vorgeschlagene Korrekturmaßnahmenpläne, um festzustellen, ob sie die Grundursachen angemessen adressieren und ein erneutes Auftreten verhindern.

Kontinuierliche Verbesserung und Lernen

Steigern Sie die Auditqualität durch Wissenserweiterung:

• Neue Anforderungen: Bleiben Sie auf dem Laufenden über NIS2, DORA, den Cyber Resilience Act, ISO 42001 und andere sich entwickelnde Vorschriften.

• Best Practices: Verstehen Sie branchenführende Kontrollimplementierungen, die über die Mindestanforderungen an die Compliance hinausgehen.

• Technologietrends: Lernen Sie die Auswirkungen von Cloud-Infrastruktur, Containern, Microservices, KI-Systemen und neuen Technologien auf das Audit kennen.

• Vergleichende Analyse: Verstehen Sie, wie verschiedene Frameworks ähnliche Anforderungen angehen – z. B. die Kontrollphilosophien von ISO 27001 vs. SOC 2 vs. NIST CSF.

Wichtige Funktionen für Auditoren

Organisation mehrerer Audits

Verwalten Sie mehrere gleichzeitige Audits durch isolierte Workspaces:

• Eigener Workspace pro Audit: „Acme Corp - ISO 27001 Überwachungsaudit Q3 2024“ hält Planung, Analyse und Feststellungen komplett getrennt.

• Trennung nach Audit-Typ: Verschiedene Workspaces für interne Audits, Zertifizierungsaudits, Lieferantenbewertungen und Überwachungsaudits.

• Vertraulichkeit der Kunden: Informationen aus dem Audit von Organisation A sind niemals im Workspace von Organisation B sichtbar.

• Erhalt des Audit-Trails: Der vollständige Konversationsverlauf dokumentiert die Argumentation und den Entscheidungsprozess des Auditors.

Funktionen zur Dokumentenanalyse

Analysieren Sie die Dokumentation der Auditierten effizient:

• Prüfung von Richtlinien und Verfahren: Laden Sie PDFs oder DOCX-Dateien für eine automatisierte Gap-Analyse gegen Framework-Anforderungen hoch.

• Bewertung von Nachweispaketen: Analysieren Sie Risikoregister, Asset-Inventare, Besprechungsprotokolle, Schulungsnachweise und andere Arten von Nachweisen.

• Dokumentenübergreifende Analyse: Laden Sie mehrere zusammengehörige Dokumente hoch und fragen Sie nach Konsistenz, Vollständigkeit oder Widersprüchen.

• Unterstützung mehrerer Dateien: Prüfen Sie ganze Nachweispakete (20+ Dokumente) systematisch statt nacheinander.

Kein Training mit Audit-Daten

Wahren Sie die Vertraulichkeit der Mandanten und die Integrität des Audits:

• Kein Datentraining: Informationen der Auditierten, Feststellungen und Nachweise werden niemals zum Trainieren von KI-Modellen verwendet.

• Vollständige Vertraulichkeit: Auditdaten des Mandanten bleiben vertraulich und werden nicht organisationsübergreifend geteilt oder für andere Zwecke als Ihre Audit-Arbeit verwendet.

• Einhaltung beruflicher Standards: Erfüllt die Anforderungen an die Verschwiegenheit und Unabhängigkeit von Auditoren.

• Kontrolle über die Datenaufbewahrung: Löschen Sie Audit-Workspaces nach Ablauf der Aufbewahrungsfristen, um Datensparsamkeit zu gewährleisten.

Häufige Audit-Workflows

Interne Auditplanung

1. Workspace erstellen: „Q3 2024 Internes Audit - Informationssicherheit“

2. Prüfungsumfang generieren: „Erstelle ein internes Auditprogramm für ISO 27001:2022, das alle Annex-A-Kontrollen abdeckt und sich auf Cloud-Infrastruktur, Risikomanagement durch Dritte sowie Incident-Response-Kontrollen konzentriert.“

3. Prüfverfahren entwickeln: „Welche spezifischen Prüfverfahren sollte ich für die Kontrolle A.8.1 (Endgeräte der Benutzer) durchführen und welche Nachweise sollte ich sammeln, um die Wirksamkeit zu verifizieren?“

4. Interviewfragen vorbereiten: „Erstelle 15 Interviewfragen für den CISO zu den Themen ISMS-Governance, Risikomanagement und Management-Engagement (Klauseln 5 und 6).“

5. Stichprobenplan erstellen: „Welchen Stichprobenumfang sollte ich für die Prüfung der Zugriffskontrollen in einer Organisation mit 200 Mitarbeitern verwenden, um eine angemessene Sicherheit zu erreichen?“

Durchführung eines Zertifizierungsaudits

1. Workspace erstellen: „ClientCo - ISO 27001 Stage 2 Audit - Oktober 2024“

2. Nachweisprüfung vor dem Audit: Laden Sie die Anwendbarkeitserklärung (SoA) des Kunden hoch und fragen Sie: „Prüfe diese SoA auf Vollständigkeit und identifiziere alle als 'Nicht anwendbar' markierten Kontrollen, die einer Begründung bedürfen.“

3. Prüfung vor Ort: Verifizieren Sie während der Interviews schnell die Kontrollinterpretation: „Was sind bei der ISO 27001:2022 Kontrolle A.5.23 (Informationssicherheit für Cloud-Dienste) spezifische Nachweise für ein effektives Cloud-Vendor-Management?“

4. Formulierung von Feststellungen: Dokumentieren Sie Beobachtungen im Workspace: „Ich habe beobachtet, dass die Risikobewertung der Organisation vor 18 Monaten durchgeführt wurde und trotz signifikanter Infrastrukturänderungen keine Zwischenaktualisierungen erfolgten. Entwirf eine Audit-Feststellung.“

5. Bestimmung des Schweregrads: „Ist eine Verzögerung von 12 Monaten bei der Überprüfung der Risikobewertung eine Hauptabweichung, eine Nebenabweichung oder eine Beobachtung gemäß ISO 27001:2022 Klausel 6.1.2?“

Gap-Analyse von Nachweisen

1. Audit-Workspace auswählen: „VendorX - Bewertung durch Dritte“

2. Nachweispaket hochladen: Reichen Sie die Sicherheitsrichtlinien, Verfahren und Kontrollbeschreibungen des Lieferanten ein.

3. Analyse anfordern: „Prüfe diese Dokumente im Hinblick auf die SOC 2 Trust Services Criteria für Sicherheit. Identifiziere fehlende Kontrollen, unzureichende Nachweise oder Richtlinienlücken.“

4. Lücken priorisieren: „Welche der identifizierten Lücken stellen kritische Feststellungen dar, die vor einer Genehmigung des Lieferanten behoben werden müssen?“

5. Folgefragen generieren: „Erstelle eine Liste spezifischer Nachweisanforderungen, um die identifizierten Lücken und die unzureichende Dokumentation zu adressieren.“

Überprüfung von Korrekturmaßnahmenplänen

1. Workspace für Feststellung öffnen: „ClientABC - CAP-Prüfung für Hauptabweichung #3“

2. Kontext der Feststellung dokumentieren: „Hauptabweichung: Unzureichender Prozess zur Überprüfung der Zugriffsrechte. Nur 40 % der Benutzerkonten in den letzten 12 Monaten überprüft, kein formaler Genehmigungsworkflow, keine Dokumentenaufbewahrung.“

3. Vorgeschlagenen CAP prüfen: Laden Sie den Korrekturmaßnahmenplan des Kunden hoch und fragen Sie: „Bewerte, ob dieser Korrekturmaßnahmenplan die Grundursache angemessen adressiert und ein erneutes Auftreten verhindert.“

4. Zeitplan bewerten: „Ist der vorgeschlagene Zeitrahmen von 90 Tagen für die Implementierung eines umfassenden vierteljährlichen Zugriffskontrollprozesses für 500 Benutzerkonten realistisch?“

5. Verbesserungen empfehlen: „Welche zusätzlichen Korrekturmaßnahmen würden diesen CAP stärken, um eine nachhaltige langfristige Compliance zu gewährleisten?“

Spezialisierte Audit-Szenarien

Audits von Cloud-Infrastrukturen

Auditierung von Organisationen mit cloudbasierter Infrastruktur und Diensten:

• Bewertung von Cloud-Kontrollen: „Welche spezifischen Nachweise belegen die wirksame Implementierung der ISO 27001-Kontrolle A.5.23 (Cloud-Dienste) für eine Organisation, die AWS mit einer Multi-Account-Architektur nutzt?“

• Geteilte Verantwortung (Shared Responsibility): „Welche Sicherheitskontrollen liegen in der Verantwortung des Kunden und welche in der Verantwortung von AWS innerhalb des ISO 27001-Zertifizierungsumfangs einer AWS-Umgebung?“

• Container und Serverless: „Wie sollte ich Sicherheitskontrollen für Serverless-Architekturen und containerisierte Anwendungen gemäß ISO 27001:2022 prüfen?“

• Multi-Cloud-Komplexität: „Die Organisation nutzt AWS, Azure und GCP. Was sind die Auswirkungen auf die Konsistenz der Kontrollen und die Sammlung von Nachweisen über mehrere Cloud-Anbieter hinweg?“

Prüfungen der Risiken durch Dritte

Bewerten Sie die Sicherheit und Compliance von Anbietern für die Beschaffung im Unternehmen:

• Frameworks zur Lieferantenbewertung: „Erstelle einen Fragebogen zur Sicherheitsbewertung durch Dritte, der an den SOC 2 Trust Services Criteria ausgerichtet ist, um SaaS-Anbieter zu bewerten.“

• Zertifizierungsanalyse: Laden Sie den SOC 2-Bericht des Anbieters hoch und fragen Sie: „Prüfe diesen SOC 2 Type II-Bericht und identifiziere qualifizierte Prüfungsurteile, Ausnahmen oder Lücken, die für unseren Anwendungsfall (Verarbeitung von Kundendaten) relevant sind.“

• Vertragsprüfung: „Analysiere diesen SaaS-Anbietervertrag auf Sicherheits- und Compliance-Lücken in Bezug auf Datenschutz, Vorfallsbenachrichtigung, Auditrechte und Haftung.“

• Risikobewertung: „Empfiehl basierend auf dieser Lieferantenbewertung eine Risikoeinstufung (Hoch/Mittel/Niedrig) und Anforderungen für die laufende Überwachung.“

Multi-Framework-Audits

Organisationen streben oft mehrere Zertifizierungen gleichzeitig an (z. B. ISO 27001 + SOC 2 oder ISO 27001 + DSGVO). Auditieren Sie überschneidende Anforderungen effizient:

• Kontroll-Mapping: „Erstelle ein Mapping, das zeigt, welche ISO 27001:2022 Annex-A-Kontrollen die SOC 2 Trust Services Criteria Anforderungen erfüllen, und identifiziere Lücken, die für jedes Framework spezifisch sind.“

• Integrierte Prüfung: „Mit welchen Auditverfahren können sowohl die ISO 27001-Kontrolle A.9.2 (Benutzerzugriffsmanagement) als auch SOC 2 CC6.1 (Logischer Zugriff) gleichzeitig geprüft werden?“

• Wiederverwendung von Nachweisen: „Die Organisation hat Nachweise zur Zugriffsprüfung für ISO 27001 vorgelegt. Reichen dieselben Nachweise für SOC 2 CC6.2 aus oder sind zusätzliche Arten von Nachweisen erforderlich?“

• Framework-spezifische Lücken: „Die Organisation verfügt über eine ausgereifte ISO 27001-Implementierung. Welche zusätzlichen Anforderungen gibt es für SOC 2 Type II, die ISO 27001 nicht abdeckt?“

Audits neuer Technologien

Prüfung von Kontrollen für KI-Systeme, maschinelles Lernen und neue Technologien:

• KI-Governance: „Welche Auditverfahren verifizieren eine effektive Governance über KI-Systeme gemäß ISO 42001 (KI-Managementsystem) oder ISO 27001 in Organisationen, die KI intensiv nutzen?“

• Sicherheit von ML-Modellen: „Wie sollte ich Sicherheitskontrollen für Trainingsdaten von Machine-Learning-Modellen, Modellversionierung und Deployment-Pipelines prüfen?“

• Automatisierte Entscheidungsfindung: „Die Organisation nutzt KI für die automatisierte Betrugserkennung. Welche Kontrollanforderungen der DSGVO und der ISO 27001 gelten für Systeme zur automatisierten Entscheidungsfindung?“

• Datenherkunft (Data Lineage): „Welche Nachweise belegen eine effektive Verfolgung der Datenherkunft und Qualitätskontrollen für KI/ML-Trainingsdatensätze gemäß Compliance-Frameworks?“

Qualität und Konsistenz

Standardisierung des Audit-Ansatzes

Stellen Sie eine konsistente Audit-Methodik über verschiedene Auditoren und Mandate hinweg sicher:

• Einheitliche Anwendung von Kriterien: Alle Auditoren beziehen sich auf dieselben aktuellen Framework-Anforderungen, was Inkonsistenzen bei der Interpretation reduziert.

• Vergleichbare Feststellungen: Ähnliche Kontrolldefizite erhalten über verschiedene Audits hinweg konsistente Einstufungen (Haupt- vs. Nebenabweichung).

• Standards für Nachweise: Konsistente Erwartungen an die Hinlänglichkeit und Qualität von Nachweisen, unabhängig davon, welcher Auditor die Bewertung durchführt.

• Berufliche Weiterentwicklung: Junior-Auditoren erhalten Zugang zu Framework-Wissen auf Expertenniveau, was die Kompetenzentwicklung beschleunigt.

Qualität der Audit-Dokumentation

Verbessern Sie die Qualität der Arbeitspapiere und die Vollständigkeit der Audit-Akte:

• Umfassende Abdeckung: Die systematische Abdeckung des Frameworks stellt sicher, dass keine Anforderungen übersehen werden.

• Klare Feststellungen: Gut strukturierte Feststellungen mit korrekten Elementen für Zustand, Kriterien, Ursache, Auswirkung und Empfehlung.

• Vertretbare Schlussfolgerungen: Durch dokumentierte Argumentation im Konversationsverlauf des Workspaces gestützte Audit-Schlussfolgerungen.

• Überprüfbarer Prozess: Senior-Auditoren können den Workspace einsehen, um die Analyse und Entscheidungsfindung von Junior-Auditoren nachzuvollziehen.

Effizienzgewinne beim Audit

Führen Sie gründlichere Audits in kürzerer Zeit durch:

• Schnellere Planung: Reduzieren Sie die Entwicklung von Auditprogrammen von Tagen auf Stunden.

• Beschleunigte Nachweisprüfung: Analysieren Sie Richtlinien und Dokumentationen in Minuten statt Stunden.

• Kurzreferenz: Verifizieren Sie Framework-Anforderungen sofort während der Interviews, ohne langwierige Recherchen in den Normen.

• Schnelles Erstellen von Feststellungen: Generieren Sie gut strukturierte Feststellungen in wenigen Minuten anstatt durch zeitaufwendiges manuelles Formulieren.

Anwendungen für interne Auditoren

Aufbau interner Auditprogramme

Entwickeln Sie umfassende interne Audit-Kapazitäten:

• Jährliche Auditplanung: Erstellen Sie risikobasierte interne Auditpläne, die ISO 27001-Anforderungen abdecken und Hochrisikobereiche priorisieren.

• Rollierende Auditpläne: Erstellen Sie vierteljährliche oder halbjährliche Audit-Zyklen, die eine vollständige ISMS-Abdeckung über den gesamten Prüfungszeitraum sicherstellen.

• Prozessbasierte Audits: Entwickeln Sie Auditprogramme, die sich auf spezifische Prozesse (Incident Management, Change Management, Lieferantenrisiko) konzentrieren, anstatt Kontrolle für Kontrolle vorzugehen.

• Follow-up-Audits: Konzipieren Sie gezielte Follow-up-Audits, um die Wirksamkeit von Korrekturmaßnahmen und den Abschluss von Feststellungen zu verifizieren.

Management-Berichterstattung

Kommunizieren Sie Auditergebnisse effektiv an das Management und den Vorstand:

• Management-Summaries: Erstellen Sie geschäftsorientierte Zusammenfassungen, die Auditergebnisse, Risiken und Prioritäten für die Behebung für nicht-technische Führungskräfte erklären.

• Trendanalyse: „Vergleiche die Feststellungen der internen Audits aus Q1, Q2 und Q3, um wiederkehrende Probleme oder Verbesserungstrends zu identifizieren.“

• Risikoformulierung: „Übersetze diese technische Feststellung über unzureichendes Log-Monitoring in eine Geschäftssprache, die für den CFO und CEO verständlich ist.“

• Berichterstattung an den Vorstand: Erstellen Sie prägnante Compliance-Statusberichte für den Vorstand, die kritische Probleme und die Zertifizierungsreife hervorheben.

Zertifizierungsreife

Bereiten Sie Organisationen auf externe Zertifizierungsaudits vor:

• Prüfung vor der Zertifizierung: Führen Sie umfassende interne Audits durch, die ein externes Zertifizierungsaudit simulieren, um Lücken vor der offiziellen Bewertung zu identifizieren.

• Identifizierung von Lücken in den Nachweisen: „Prüfe unser komplettes Nachweispaket für das ISO 27001 Stage 2 Audit und identifiziere fehlende oder unzureichende Nachweise, die externe Auditoren beanstanden würden.“

• Mock-Audit-Szenarien: Generieren Sie wahrscheinliche Fragen und Szenarien externer Auditoren, um das Management auf Zertifizierungsinterviews vorzubereiten.

• Priorisierung der Behebung: „Wir haben 12 interne Audit-Feststellungen und noch 60 Tage bis zum Zertifizierungsaudit. Priorisiere die Behebung nach der Auswirkung auf das externe Audit.“

Sicherheit und professionelle Standards

Unabhängigkeit und Objektivität der Auditoren

Wahren Sie professionelle Audit-Standards bei der Nutzung von KI-Unterstützung:

• Unabhängige Analyse: Der ISMS Copilot liefert Framework-Wissen und Analysewerkzeuge, ohne die Unabhängigkeit oder das professionelle Urteilsvermögen des Auditors zu beeinträchtigen.

• Keine Interessenkonflikte: Die Workspace-Isolierung verhindert, dass Informationen aus einem Audit Feststellungen oder Schlussfolgerungen in einem anderen Audit beeinflussen.

• Professionelle Skepsis: Die KI-gestützte Analyse ergänzt die professionelle Skepsis und kritische Bewertung des Auditors (sie ersetzt sie nicht).

• Audit-Trail: Der Konversationsverlauf im Workspace dokumentiert die Argumentation und unterstützt die Anforderungen an die Überprüfung der Audit-Akte.

Vertraulichkeit und Datenschutz

Schützen Sie Informationen der Auditierten und wahren Sie die berufliche Verschwiegenheit:

• Workspace-Isolierung: Vollständige Trennung zwischen Audit-Mandaten auf Infrastrukturebene.

• Kein Datentraining: Informationen der Auditierten werden niemals zum Trainieren von KI-Modellen verwendet oder mit anderen Organisationen geteilt.

• Verschlüsselung: End-to-End-Verschlüsselung für alle Auditdaten, hochgeladene Nachweise und Dokumentationen von Feststellungen.

• Kontrolle über die Datenaufbewahrung: Löschen Sie Audit-Workspaces, sobald die beruflichen Aufbewahrungspflichten erfüllt sind.

• Zugriffskontrollen: Obligatorische MFA und starke Authentifizierung schützen Auditdaten vor unbefugtem Zugriff.

Erste Schritte als Auditor

Woche 1: Kennenlernen

1. Erstellen Sie ein ISMS Copilot-Konto (Einzel- oder Team-Abo, abhängig von der Größe des Audit-Teams).

2. Erkunden Sie das Framework-Wissen: Stellen Sie Fragen zur ISO 27001:2022, zu SOC 2 oder zu Frameworks, die Sie regelmäßig auditieren.

3. Testen Sie die Dokumentenanalyse: Laden Sie eine Beispielrichtlinie oder ein Verfahren hoch und fordern Sie eine Gap-Analyse an, um die Genauigkeit und Gründlichkeit zu bewerten.

4. Aktualität prüfen: Bestätigen Sie, dass sich der ISMS Copilot auf aktuelle Framework-Versionen (ISO 27001:2022, nicht 2013) und die neuesten regulatorischen Anforderungen bezieht.

Woche 2: Pilot-Audit

1. Wählen Sie ein anstehendes Audit-Mandat als Pilotprojekt aus (vorzugsweise ein internes Audit oder eine risikoarme Bewertung).

2. Erstellen Sie einen dedizierten Workspace für das Audit mit einer klaren Namenskonvention.

3. Nutzen Sie den ISMS Copilot für die Auditplanung: Generieren Sie das Auditprogramm, Prüfverfahren und Interviewfragen.

4. Nutzen Sie das Tool während der Durchführung für die Analyse von Nachweisen und die Formulierung von Feststellungen.

5. Messen Sie die Zeitersparnis und bewerten Sie die Qualität der Ergebnisse im Vergleich zum manuellen Ansatz.

6. Dokumentieren Sie gewonnene Erkenntnisse und Best Practices für zukünftige Audits.

Monat 2: Vollständige Integration

1. Legen Sie Namenskonventionen für Workspaces fest, um Konsistenz im Audit-Team zu gewährleisten.

2. Erstellen Sie Workspaces für alle aktiven Audit-Mandate.

3. Entwickeln Sie standardisierte Prompts für häufige Audit-Aufgaben (Generierung von Auditprogrammen, Formulierung von Feststellungen, CAP-Prüfng).

4. Schulen Sie die Mitglieder des Audit-Teams in den Funktionen des ISMS Copilot und den Richtlinien für die professionelle Nutzung.

5. Integrieren Sie das Tool in die Standard-Audit-Methodik und die Qualitätssicherungsprozesse.

Laufende Optimierung

1. Verfolgen Sie die Effizienzgewinne beim Audit (Planungszeit, Zeit für die Nachweisprüfung, Zeit für die Berichterstellung).

2. Erweitern Sie die Framework-Abdeckung – nutzen Sie den ISMS Copilot, um Expertise in angrenzenden Frameworks aufzubauen.

3. Erstellen Sie eine Prompt-Bibliothek für das Audit-Team – dokumentieren Sie effektive Prompts für gängige Szenarien.

4. Kontinuierliches Lernen – bleiben Sie auf dem Laufenden über neue Vorschriften, Technologien und sich entwickelnde Audit-Praktiken.

Wie geht es weiter?

• Erfahren Sie mehr über das Organisieren der Arbeit mit Workspaces, um eine Isolation der Audits einzurichten.

• Entdecken Sie die Vorbereitung auf interne Audits mit KI für interne Audit-Workflows.

• Lesen Sie Vorbereitung auf Zertifizierungsaudits, um die Perspektive der Auditierten zu verstehen.

• Informieren Sie sich über Datenschutz und DSGVO-Compliance, um den Schutz der Daten der Auditierten sicherzustellen.

• Prüfen Sie die verantwortungsvolle Nutzung des ISMS Copilot für Richtlinien zur professionellen KI-Nutzung.

• Sehen Sie sich die Abonnements und Preise für Einzel- und Team-Pläne an.

Hilfe erhalten