Internes Audit ISO/IEC 27001
Ein vollständiges internes Audit Ihres ISMS gegen ISO/IEC 27001:2022, Abschnitte 4 bis 10 und die in Ihrer Erklärung zur Anwendbarkeit erklärten Maßnahmen aus Anhang A.
Unabhängige Prüfung und Bewertung
Ein Audit lohnt sich nur, wenn die Person, die es führt, bereit ist, Ihnen etwas zu sagen, das Sie lieber nicht hören würden. Wir bewerten, was Sie aufgebaut haben, belegen unsere Befunde mit Nachweisen und übergeben Ihnen einen Bericht, mit dem Sie arbeiten können.
We get you ready to certify & show where you stand.
ZULTIV runs your internal audit, your readiness assessment and your third-party/supplier/ Independent assessment against the same standards we teach. You finish with the evidence pack, the corrective plan and the confidence to book the certification audit.
Unsere Unabhängigkeit ist es, die dieses Urteil wertvoll macht. Wir haben kein Zertifikat zu verkaufen und keine eigene Umsetzung zu verteidigen, deshalb wird nichts abgeschwächt. Sie bekommen eine ehrliche Einschätzung Ihrer Lage, bevor eine Zertifizierungsstelle, eine Aufsichtsbehörde oder ein Kunde sich eine eigene bildet.
Scope note: ZULTIV is not an accredited certification body. Your accredited certificate is issued by the registrar you appoint. Our job is to help you enter that audit prepared, with evidence and findings addressed.
Kategorie 01
Interne Audits
Clause 9.2 requires an internal audit programme. While audits may be conducted by internal personnel, maintaining independence and objectivity is essential for an effective assessment.
Internes Audit ISO 22301
Business Continuity Management auditiert gegen ISO 22301: Business Impact Analyse, Wiederanlaufziele, Kontinuitätsstrategie und die Frage, ob die Übungen überhaupt etwas prüfen.
Internes Audit ISO 9001
Audit des Qualitätsmanagementsystems gegen ISO 9001: Prozesswechselwirkungen, risikobasiertes Denken und Nachweise für Verbesserung statt für Absicht.
Kategorie 02
Readiness und Bewertung
Vor dem Zertifizierungsaudit, der Sicherheitsprüfung eines Kunden oder der Frage der Aufsichtsbehörde: Finden Sie heraus, wie die Antwort ausfallen wird.
HIPAA-Readiness
Administrative, physische und technische Schutzvorkehrungen geprüft gegen die HIPAA Security und Privacy Rules, mit einem Lückenregister, das Sie abarbeiten können.
SOC 2 Readiness
Die Trust Services Criteria Maßnahme für Maßnahme durchgegangen, damit die Prüfung durch Ihre CPA-Gesellschaft nicht der Moment ist, in dem Sie feststellen, dass der Nachweis nicht existiert.
Risiko- und Compliance-Bewertung
Ein strukturierter Blick auf Ihr Risikouniversum und Ihre Kontrollumgebung gegen die Pflichten, die tatsächlich für Sie gelten, einschließlich des indischen DPDP Act.
Drittparteien- und Lieferantenbewertung
Ihre Lieferanten halten Ihre Daten und Ihre Verfügbarkeit. Wir bewerten sie sauber, auf Nachweisbasis, und nicht anhand eines zurückgeschickten Fragebogens, den niemand gelesen hat.
Kategorie 03
Attestierung der Konformität
Wenn ein Kunde, ein Investor oder eine Aufsichtsbehörde einen Nachweis verlangt, beantwortet eine unterzeichnete unabhängige Attestierung die Frage in einem einzigen Dokument.
Eine Attestation of Compliance (AOC) ist eine förmliche Erklärung, ausgestellt und unterzeichnet von ZULTIV, die bestätigt, dass wir Ihre Maßnahmen zu einem genannten Stichtag gegen ein genanntes Rahmenwerk geprüft und als umgesetzt und wirksam vorgefunden haben.
Es ist das Dokument, das Sie einem Kunden-Sicherheitsteam geben, das keinen Selbstauskunftsbogen akzeptiert, und dasjenige, das ein Geschäft in Bewegung hält, während ein vollständiges Zertifizierungsaudit noch Monate entfernt ist.
Was Sie erhalten
Ein unterzeichnetes Attestierungsschreiben, die zugrunde liegende Geltungsbereichserklärung, die dahinterstehende Zusammenfassung der Maßnahmenprüfung und ein Feststellungsprotokoll zu allem, was vorher behoben werden musste.
Wie lange es dauert
In der Regel drei bis sechs Wochen von der Abgrenzung bis zur Unterschrift, je nach Größe der Landschaft und danach, wie viele Nachweise bereits vorliegen.
Abgedeckte Rahmenwerke
ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 42001, ISO 22301, ISO 9001, HIPAA, SOC 2 criteria and India's DPDP Act, individually or combined.
Eine Attestation of Compliance ist ZULTIVs eigene unabhängige Attestierung. Sie steht neben einem akkreditierten ISO-Managementsystemzertifikat einer Zertifizierungsstelle und ersetzt dieses nicht.
Wie wir arbeiten
Dieselbe Methode, in jedem Auftrag
Keine zwei Organisationen gleichen einander, die Disziplin dagegen ändert sich nicht. Jede Bewertung, die wir durchführen, folgt den Auditprinzipien der ISO 19011: nachweisbasiert, unparteiisch und in einer Sprache berichtet, die Sie einem Aufsichtsgremium vorlegen können.
01: Abgrenzen
Wir vereinbaren, was im Geltungsbereich liegt, was bewusst außerhalb bleibt und wie „gut“ aussieht, bevor irgendetwas geprüft wird.
02: Prüfen
Dokumente, Interviews, Systemnachweise und Stichproben, genug für eine Schlussfolgerung, die einer Anfechtung standhält.
03: Berichten
Feststellungen, in denen Anforderung, Nachweis und Lücke getrennt bleiben, jede eingestuft und jede nachvollziehbar.
04: Abschließen
Ein priorisierter Weg zur Behebung und eine Nachprüfung, sobald Sie zeigen können, dass die Lücken geschlossen sind.
Was Sie erhalten
Ergebnisse, keine Meinungen
Bewertungsbericht
Geltungsbereich, Methode, Stichprobe und jede Feststellung mit ihrer Nachweisspur, so geschrieben, dass eine dritte Partei Ihrer Argumentation folgen kann, ohne dass Sie im Raum sind.
Lücken- und Risikoregister
Jede Lücke dem Abschnitt oder Kriterium zugeordnet, gegen das sie verstößt, eingestuft und nach dem tatsächlich getragenen Risiko gereiht statt danach, wie leicht sie zu beheben ist.
Fahrplan zur Behebung
Ein Plan in sinnvoller Reihenfolge mit Verantwortlichen und realistischem Aufwand, dazu eine Managementzusammenfassung, die Ihre Führung bis zum Ende liest.
Fragen
Bevor Sie uns beauftragen
Nein. Die Zertifizierung stellt eine akkreditierte Zertifizierungsstelle aus, und ZULTIV ist keine. Wir machen Sie für diese Stelle bereit und auditieren Sie so, wie sie es tun wird, und führen davon getrennt das interne Auditprogramm durch, das die Norm von Ihnen verlangt.
Nicht im selben Geltungsbereich, und das sagen wir Ihnen von vornherein. Die eigene Umsetzung zu auditieren, zerstört die Unabhängigkeit, die das Audit überhaupt erst wertvoll macht. Wo wir zur Umsetzung beraten haben, empfehlen wir Ihnen, das interne Audit von jemand anderem durchführen zu lassen, und umgekehrt.
Das hängt ganz vom Geltungsbereich, von der Mitarbeiterzahl und davon ab, wie viele Standorte oder Systeme im Spiel sind. Eine fokussierte Reifegradprüfung kann wenige Tage dauern; ein vollständiges internes Audit eines Mehrstandort-ISMS dauert länger. Wir grenzen ab, bevor wir anbieten, und der Geltungsbereich wird schriftlich festgehalten.
Ja, die meisten Dokumentenprüfungen und viele Interviews funktionieren remote gut. Physische Maßnahmen, Standortsicherheit und alles, was Beobachtung verlangt, gelingt vor Ort besser, und wir sagen Ihnen, welche Teile Ihres Geltungsbereichs darunter fallen.
Vollständig. Aufträge laufen unter einer unterzeichneten Vertraulichkeitsvereinbarung, Feststellungen werden nur mit den von Ihnen benannten Personen geteilt, und wir verwenden Kundennamen ohne schriftliche Erlaubnis nicht als Referenz.
Bewertung anfragen
Sagen Sie uns, was bewertet werden soll
Beschreiben Sie den Geltungsbereich mit Ihren eigenen Worten: ein System, eine Norm, der Sicherheitsfragebogen eines Kunden oder einfach eine Frist, die man Ihnen gesetzt hat. Wir sagen Ihnen, was dafür nötig ist.