¶ Auditvorbereitungs-Assistent – von der Auditfrage zum belastbaren Nachweis
Zweck: Der Assistent unterstützt Verantwortliche dabei, typische Auditfragen strukturiert vorzubereiten, den Bearbeitungsstand ehrlich einzuschätzen und fehlende Nachweise oder Maßnahmen sichtbar zu machen.
Aussagegrenze: Das Ergebnis ist eine nicht gespeicherte Selbsteinschätzung. Es ist weder ein Auditbericht noch eine Konformitätsbestätigung, Zertifizierungsprognose, TISAX-Reifegradbewertung oder rechtliche Prüfung.
Musterstatus: Fragen, Erwartungsnachweise und Bewertungen sind redaktionelle Beispiele. Reale Kriterien, Scope, Stichproben und Nachweise müssen für die jeweilige Organisation und Prüfung festgelegt werden.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-TOOL-08-01 |
| Dokumentenart | Interaktiver Auditvorbereitungs- und Navigationsbaustein |
| Wiki.js-Pfad | /ISMS/08-Audit-und-Verbesserung/Auditvorbereitungs-Assistent |
| Verantwortlich | Auditprogrammverantwortliche/r / ISMS-Beauftragte/r |
| Fachlich beteiligt | Audit/QM, Informationssicherheit, Datenschutz, NIS2- und TISAX-Koordination, KI-Governance, IT und geprüfte Fachbereiche |
| Freigabe durch | Geschäftsführung beziehungsweise zuständige Managementsystemleitung |
| Status | Entwurf – organisationsbezogene Kriterien, Fragen und Nachweiserwartungen noch festzulegen |
| Version | 0.2 |
| Stand | 15.08.2026 |
| Prüfung | Vor jedem Auditzyklus sowie bei Scope-, Norm-, Rechts-, Prozess- oder Risikoveränderungen |
| Schutzklasse | Öffentliches Muster; reale Antworten, Feststellungen und Nachweise vertraulich behandeln |
| Bezug | ISO/IEC 27001, TISAX/ISA, ISO/IEC 42001, DSGVO und NIS2/BSIG – jeweils nur bei bestätigter Anwendbarkeit und im festgelegten Auditumfang |
Der Assistent führt von der passenden Auditfrage über den Nachweisstatus zur priorisierten Vorbereitung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Interaktiver Auditvorbereitungs-Assistent
¶ Auditfragen zielgerichtet vorbereiten
Regelwerk, Themenfeld und Rolle auswählen. Anschließend den tatsächlichen Nachweisstand jeder sichtbaren Frage bewerten.
¶ Auditvorbereitung beginnen
Bewerten Sie die sichtbaren Fragen anhand überprüfbarer Nachweise.
¶ Priorisierte Vorbereitungspunkte
- Noch keine Auswertung durchgeführt.
Aussagegrenze: Die Ampel bewertet ausschließlich die hier vorgenommenen Selbstauskünfte. Auditorinnen und Auditoren bestimmen Kriterien, Stichproben und Feststellungen unabhängig. Eingaben werden nicht dauerhaft gespeichert.
¶ 2. So wird der Baustein sinnvoll verwendet
- Auditauftrag, Regelwerk, Geltungsbereich und Gesprächsrollen zuerst festlegen.
- Eine geeignete Vorbereitungssicht auswählen; nicht passende Fragen werden nur ausgeblendet.
- Aussagen nicht nach persönlichem Eindruck, sondern anhand auffindbarer Nachweise bewerten.
- Bei „umgesetzt“ zusätzlich Aktualität, Scope, Freigabe und Wirksamkeit prüfen.
- Gelbe, orange, rote und offene Fragen in Auditplan, Nachweisregister oder Maßnahmenregister übernehmen.
- Vor dem Audit die Auswahl mit Auditprogrammverantwortung und zuständiger Fachrolle plausibilisieren.
- Reale Antworten, Interviewnotizen und vertrauliche Nachweise ausschließlich in einer geschützten Auditakte führen.
¶ 3. Bedeutung der Statusampel
| Status | Aussage | Erforderliche Reaktion |
|---|---|---|
| 🟢 Umgesetzt und nachgewiesen | Regelung und tatsächliche Anwendung sind für den gewählten Scope nachvollziehbar belegt | Aktualität, Stichprobe und Wirksamkeit im Audit bestätigen |
| 🟡 Nachweis unvollständig | Umsetzung wird angegeben, aber Umfang, Aktualität, Freigabe oder Wirksamkeit ist nicht ausreichend belegt | fehlenden Nachweis definieren, Owner und Termin festlegen |
| 🟠 Geplant oder teilweise umgesetzt | einzelne Elemente bestehen, der Sollzustand ist noch nicht vollständig erreicht | Lücke, Zwischenkontrolle, Restrisiko und Abschlusskriterium dokumentieren |
| 🔴 Nicht umgesetzt oder kritische Lücke | wesentliche Voraussetzung fehlt oder ein nicht beherrschtes Risiko ist erkennbar | unverzüglich eskalieren, Übergangsmaßnahme und formale Behandlung einleiten |
| ⚪ Noch nicht bewertet | für die Frage liegt noch keine belastbare Selbsteinschätzung vor | zuständige Rolle und Nachweisquelle bestimmen |
Ein grüner Selbstauskunftsstatus ist noch keine positive Auditfeststellung. Erst die unabhängige Bewertung geeigneter Stichproben gegen festgelegte Kriterien ermöglicht ein Auditergebnis.
¶ 4. Von der Selbsteinschätzung zur Auditakte
| Assistent zeigt | Führende Weiterverarbeitung |
|---|---|
| offene Frage | Auditplan oder Interviewleitfaden ergänzen |
| fehlenden beziehungsweise unvollständigen Nachweis | Nachweisregister aktualisieren |
| teilweise Umsetzung | Maßnahmen- und Umsetzungsregister verwenden |
| kritische Lücke | Risiko-, Incident- oder Managementeskalation nach Sachverhalt auslösen |
| mögliche Nichtkonformität | erst nach Prüfung gegen ein eindeutiges Auditkriterium als Feststellung dokumentieren |
| abgeschlossene Maßnahme | Wirksamkeit unabhängig oder befugt nachprüfen und Ergebnis festhalten |
Der Ausdruck des Assistenten ist eine Arbeitsunterlage. Er ersetzt weder Auditauftrag, Prüfplan, Arbeitspapier, Auditbericht noch Korrekturmaßnahmenakte.
¶ 5. Gute Auditfragen folgen einer Nachweiskette
Eine überzeugende Vorbereitung betrachtet mindestens fünf Ebenen:
- Vorgabe: Welche verbindliche Anforderung oder interne Regel gilt?
- Verantwortung: Wer entscheidet, setzt um, prüft und eskaliert?
- Durchführung: Wie funktioniert der Prozess im Alltag und bei Abweichungen?
- Nachweis: Welche Aufzeichnung zeigt Scope, Zeitpunkt, Ergebnis und Verantwortung?
- Wirksamkeit: Woran erkennt die Organisation, dass das angestrebte Ergebnis erreicht wird?
Eine Richtlinie ohne Anwendung ist kein ausreichender Wirksamkeitsnachweis. Umgekehrt ist eine einzelne technische Konfiguration ohne freigegebenen Zweck, Scope und Verantwortung nur begrenzt aussagefähig.
¶ 6. Rollen in der Auditvorbereitung
| Rolle | Beitrag |
|---|---|
| Geschäftsleitung | Auditauftrag, Prioritäten, Ressourcen und Behandlung wesentlicher Ergebnisse |
| Auditprogrammverantwortung | Programm, Scope, Kompetenz, Unabhängigkeit und Follow-up koordinieren |
| leitende Auditperson | Kriterien, Stichprobe, Interviews, Arbeitspapiere und Bericht planen |
| Fach- oder Prozesseigner | Prozess erklären, Nachweise bereitstellen und erkannte Lücken bearbeiten |
| ISMS/Compliance/Datenschutz/KI-Governance | Methodik, Anforderungen, Register und Schnittstellen erläutern |
| IT und Informationssicherheit | technische Kontrollen, Konfigurationen, Protokolle, Tests und Ausnahmen belegen |
| unabhängige prüfende Rolle | Aussagen und Nachweise objektiv bewerten; keine eigene operative Tätigkeit allein auditieren |
¶ 7. Datenschutz und Vertraulichkeit
Der Baustein speichert keine Eingaben im Browser und sendet keine Ergebnisse an einen Server. Trotzdem sollen keine Namen, Passwörter, Schwachstellendetails, Incident-Daten oder vertraulichen Kundeninformationen in freie Notizfelder übernommen werden. Reale Auditinformationen gehören in eine freigegebene, zugriffsgeschützte Auditablage.
Beim Ausdruck oder PDF-Export gelten Klassifizierung, Empfängerkreis, Aufbewahrung und sichere Löschung der Organisation. Ein Ausdruck kann trotz des öffentlichen Musterbausteins vertrauliche Selbstauskünfte enthalten.
¶ 8. Interne Verknüpfungen
- Auditprogramm
- Interne Audits
- Assessment-Vorbereitung
- Nachweis-Explorer
- Kontrollketten-Explorer
- Nachweisregister
- Maßnahmen- und Umsetzungsregister
- Abweichungen und Korrekturmaßnahmen
- Managementbewertung
- ISO/IEC 42001 – KI-Managementsystem
- DSGVO-Startseite
- NIS2-Startseite
¶ 9. Technische und fachliche Qualitätsprüfung
Vor der Veröffentlichung und nach technischen Änderungen werden mindestens geprüft:
- Filterung nach allen fünf Regelwerken, Themenfeldern und Rollen,
- korrekte Zahl der sichtbaren und bewerteten Fragen,
- Statusklassen, Fortschrittsanzeige und Ergebniszusammenfassung,
- priorisierte Anzeige nicht grüner und kritischer Punkte,
- Rücksetzen ohne verbleibende Statuswerte,
- Druckfunktion und verständliche Darstellung ohne JavaScript,
- interne Linkziele und eindeutige HTML-IDs,
- Tastaturbedienung, Fokusdarstellung, Kontrast und mobile Darstellung,
- klare Trennung von Selbsteinschätzung, Nachweis und Auditfeststellung.
Der wiederholbare lokale Browsertest wurde am 15.08.2026 mit Google Chrome/Chromium 151.0.7922.138 durchgeführt. Geprüft wurden Initialisierung, Fortschritt, ISO-42001-Filter, KI-spezifische Frage, kombinierte Filterung, Statuswechsel, rote Auswertung, Prioritätenliste, vollständiges Rücksetzen und Druckfunktion. Ergebnis: 10 von 10 Prüfungen bestanden. Dies bestätigt die Bedienlogik des Musterbausteins, nicht seine fachliche Freigabe oder die Richtigkeit späterer organisationsbezogener Eingaben.
¶ 10. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Fachlich geprüft | Freigabe |
|---|---|---|---|---|---|
| 0.2 | 15.08.2026 | Kontrollketten-Explorer als Vertiefung für Auditspur, Nachweisqualität und Wirksamkeitsbezug verknüpft | Musterredaktion | Ausstehend | Ausstehend |
| 0.1 | 15.08.2026 | Erstfassung mit 18 regelwerksübergreifenden Auditfragen, Filterung, Statusampel, Fortschritt, priorisierter Lückenliste, Druckansicht und Aussagegrenzen | Musterredaktion | Ausstehend | Ausstehend |
Seite 1 von 1 · ISMS-TOOL-08-01 · Version 0.2
Ein grüner Selbstauskunftsstatus ist noch keine positive Auditfeststellung. Erst die unabhängige Bewertung geeigneter Stichproben gegen festgelegte Kriterien ermöglicht ein Auditergebnis.
¶ 4. Von der Selbsteinschätzung zur Auditakte
| Assistent zeigt | Führende Weiterverarbeitung |
|---|---|
| offene Frage | Auditplan oder Interviewleitfaden ergänzen |
| fehlenden beziehungsweise unvollständigen Nachweis | Nachweisregister aktualisieren |
| teilweise Umsetzung | Maßnahmen- und Umsetzungsregister verwenden |
| kritische Lücke | Risiko-, Incident- oder Managementeskalation nach Sachverhalt auslösen |
| mögliche Nichtkonformität | erst nach Prüfung gegen ein eindeutiges Auditkriterium als Feststellung dokumentieren |
| abgeschlossene Maßnahme | Wirksamkeit unabhängig oder befugt nachprüfen und Ergebnis festhalten |
Der Ausdruck des Assistenten ist eine Arbeitsunterlage. Er ersetzt weder Auditauftrag, Prüfplan, Arbeitspapier, Auditbericht noch Korrekturmaßnahmenakte.
¶ 5. Gute Auditfragen folgen einer Nachweiskette
Eine überzeugende Vorbereitung betrachtet mindestens fünf Ebenen:
- Vorgabe: Welche verbindliche Anforderung oder interne Regel gilt?
- Verantwortung: Wer entscheidet, setzt um, prüft und eskaliert?
- Durchführung: Wie funktioniert der Prozess im Alltag und bei Abweichungen?
- Nachweis: Welche Aufzeichnung zeigt Scope, Zeitpunkt, Ergebnis und Verantwortung?
- Wirksamkeit: Woran erkennt die Organisation, dass das angestrebte Ergebnis erreicht wird?
Eine Richtlinie ohne Anwendung ist kein ausreichender Wirksamkeitsnachweis. Umgekehrt ist eine einzelne technische Konfiguration ohne freigegebenen Zweck, Scope und Verantwortung nur begrenzt aussagefähig.
¶ 6. Rollen in der Auditvorbereitung
| Rolle | Beitrag |
|---|---|
| Geschäftsleitung | Auditauftrag, Prioritäten, Ressourcen und Behandlung wesentlicher Ergebnisse |
| Auditprogrammverantwortung | Programm, Scope, Kompetenz, Unabhängigkeit und Follow-up koordinieren |
| leitende Auditperson | Kriterien, Stichprobe, Interviews, Arbeitspapiere und Bericht planen |
| Fach- oder Prozesseigner | Prozess erklären, Nachweise bereitstellen und erkannte Lücken bearbeiten |
| ISMS/Compliance/Datenschutz/KI-Governance | Methodik, Anforderungen, Register und Schnittstellen erläutern |
| IT und Informationssicherheit | technische Kontrollen, Konfigurationen, Protokolle, Tests und Ausnahmen belegen |
| unabhängige prüfende Rolle | Aussagen und Nachweise objektiv bewerten; keine eigene operative Tätigkeit allein auditieren |
¶ 7. Datenschutz und Vertraulichkeit
Der Baustein speichert keine Eingaben im Browser und sendet keine Ergebnisse an einen Server. Trotzdem sollen keine Namen, Passwörter, Schwachstellendetails, Incident-Daten oder vertraulichen Kundeninformationen in freie Notizfelder übernommen werden. Reale Auditinformationen gehören in eine freigegebene, zugriffsgeschützte Auditablage.
Beim Ausdruck oder PDF-Export gelten Klassifizierung, Empfängerkreis, Aufbewahrung und sichere Löschung der Organisation. Ein Ausdruck kann trotz des öffentlichen Musterbausteins vertrauliche Selbstauskünfte enthalten.
¶ 8. Interne Verknüpfungen
- Auditprogramm
- Interne Audits
- Assessment-Vorbereitung
- Nachweis-Explorer
- Nachweisregister
- Maßnahmen- und Umsetzungsregister
- Abweichungen und Korrekturmaßnahmen
- Managementbewertung
- ISO/IEC 42001 – KI-Managementsystem
- DSGVO-Startseite
- NIS2-Startseite
¶ 9. Technische und fachliche Qualitätsprüfung
Vor der Veröffentlichung und nach technischen Änderungen werden mindestens geprüft:
- Filterung nach allen fünf Regelwerken, Themenfeldern und Rollen,
- korrekte Zahl der sichtbaren und bewerteten Fragen,
- Statusklassen, Fortschrittsanzeige und Ergebniszusammenfassung,
- priorisierte Anzeige nicht grüner und kritischer Punkte,
- Rücksetzen ohne verbleibende Statuswerte,
- Druckfunktion und verständliche Darstellung ohne JavaScript,
- interne Linkziele und eindeutige HTML-IDs,
- Tastaturbedienung, Fokusdarstellung, Kontrast und mobile Darstellung,
- klare Trennung von Selbsteinschätzung, Nachweis und Auditfeststellung.
Der wiederholbare lokale Browsertest wurde am 15.08.2026 mit Google Chrome/Chromium 151.0.7922.138 durchgeführt. Geprüft wurden Initialisierung, Fortschritt, ISO-42001-Filter, KI-spezifische Frage, kombinierte Filterung, Statuswechsel, rote Auswertung, Prioritätenliste, vollständiges Rücksetzen und Druckfunktion. Ergebnis: 10 von 10 Prüfungen bestanden. Dies bestätigt die Bedienlogik des Musterbausteins, nicht seine fachliche Freigabe oder die Richtigkeit späterer organisationsbezogener Eingaben.
¶ 10. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Fachlich geprüft | Freigabe |
|---|---|---|---|---|---|
| 0.1 | 15.08.2026 | Erstfassung mit 18 regelwerksübergreifenden Auditfragen, Filterung, Statusampel, Fortschritt, priorisierter Lückenliste, Druckansicht und Aussagegrenzen | Musterredaktion | Ausstehend | Ausstehend |
Seite 1 von 1 · ISMS-TOOL-08-01 · Version 0.1