STOP.LI · Berichte · Nachweis
Audit
bericht.
Der Bericht über ein Informationssicherheits-Audit: Prüfziel, Kriterien, Feststellungen mit Nachweisen, Schlussfolgerung zum Erfüllungsgrad und ein Massnahmenplan mit Follow-up.
Auf einen
Blick.
AdressatAuftraggeber und GeprüftePrüfungsausschuss, Verwaltungsrat oder Geschäftsleitung als Auftraggeber; die geprüfte Einheit erhält den Bericht mit ihrer Stellungnahme.
RhythmusJe AuditNach dem Abschlussgespräch, mit vereinbarten Massnahmen und Terminen; Follow-up bis zur bestätigten Umsetzung.
ZweckUnabhängige FeststellungDer Bericht sagt, in welchem Mass die Prüfkriterien erfüllt sind, und belegt jede Feststellung mit Nachweisen.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Auftrag und Ziel | Auftraggeber, Prüfziel, Prüfteam und Ansprechpersonen der geprüften Einheit. | Was sollte das Audit klären? |
| Umfang | Einheiten, Prozesse, Standorte und Zeitraum; Bereiche, die nicht abgedeckt wurden, mit Grund. | Was wurde geprüft und was nicht? |
| Kriterien | Massstab der Prüfung: Norm, Gesetz, Richtlinie, Vertrag. | Wogegen wurde geprüft? |
| Vorgehen | Prüfhandlungen, Stichproben, Daten und Orte; Hinweis, dass ein Audit auf Stichproben beruht. | Wie belastbar ist das Ergebnis? |
| Feststellungen | Abweichungen, Konformitäten und Verbesserungspotenziale mit Nachweis und Bewertung. | Was wurde gefunden? |
| Schlussfolgerung | Aussage zum Grad, in dem die Kriterien erfüllt sind; ungelöste abweichende Meinungen. | Wie ist das Gesamturteil? |
| Massnahmenplan | Stellungnahme der geprüften Einheit, Massnahme, Eigner, Termin. | Wer behebt was bis wann? |
| Follow-up | Wie und wann die Umsetzung bestätigt wird. | Wie stellen wir die Umsetzung sicher? |
Eine Feststellung,
fünf Teile.
In der Prüfpraxis verbreitete Gliederung einer Feststellung. Sie macht sichtbar, worauf die Bewertung beruht, und trennt Befund von Empfehlung.
| Teil | Inhalt | Beispiel |
|---|---|---|
| Kriterium | Was gefordert ist. | Privilegierte Berechtigungen werden quartalsweise rezertifiziert (Zugriffsrichtlinie, Abschnitt 4). |
| Sachverhalt | Was vorgefunden wurde, mit Nachweis. | Für zwei von vier Quartalen fehlt die Rezertifizierung der Datenbank-Administratoren (Stichprobe 4/4). |
| Ursache | Warum es zur Abweichung kam. | Die Rezertifizierung ist im IGA-Werkzeug für Datenbankrollen nicht eingerichtet. |
| Auswirkung | Welches Risiko daraus folgt. | Nicht mehr benötigte Administratorrechte bleiben unbemerkt bestehen. |
| Empfehlung | Was zu ändern ist, ohne die Lösung vorzuschreiben. | Datenbankrollen in die quartalsweise Rezertifizierung aufnehmen und ausstehende Quartale nachholen. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| Norm | Interne Audits finden in geplanten Abständen statt; die Ergebnisse werden dem zuständigen Management berichtet. Inhalte eines Auditberichts beschreibt ISO 19011. | Gliederung nach ISO 19011, Abschnitt 6.5.1. | ISO/IEC 27001:2022, Kap. 9.2; ISO 19011:2018, Abschnitt 6.5 ↗ |
| Revision | Die Global Internal Audit Standards gelten seit 9. Januar 2025. Sie regeln die Abschlusskommunikation und die Bestätigung der Umsetzung von Empfehlungen und Massnahmenplänen. | Für Berichte der internen Revision massgeblich; auch für andere Audits eine gute Referenz. | IIA GIAS, Standards 15.1 und 15.2 ↗ |
| FinanzD | Der IKT-Risikomanagementrahmen von Finanzunternehmen (ausser Kleinstunternehmen) wird regelmässig von unabhängigen, fachkundigen Revisoren geprüft; kritische Feststellungen durchlaufen ein förmliches Follow-up. Das Leitungsorgan genehmigt die IKT-Revisionspläne. | Follow-up-Verfahren mit Fristen im Bericht festhalten. | Art. 5 Abs. 2 Bst. f, Art. 6 Abs. 6 und 7 DORA ↗ |
| Deutschland | Betreiber kritischer Anlagen weisen die Umsetzung ihrer Massnahmen alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach und übermitteln dem BSI die Ergebnisse einschliesslich der aufgedeckten Sicherheitsmängel. | Feststellungen so formulieren, dass sie als Mängelliste übermittelt werden können. | § 39 Abs. 1 BSIG ↗ |
| Deutschland | Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen und Nachweise verlangen. | Auditberichte so ablegen, dass sie auf Anordnung vorgelegt werden können. | § 61 Abs. 1 und 3 BSIG ↗ |
| Schweiz | Es gibt keine allgemeine gesetzliche Auditpflicht für Informationssicherheit. Bei Banken richtet sich die interne Revision nach dem FINMA-Rundschreiben 2017/1 «Corporate Governance – Banken». | Bei Zertifizierung nach ISO/IEC 27001 gelten die Normanforderungen unverändert. | Keine allgemeine Vorgabe |
Häufige
Fehler.
FehlerFeststellung ohne KriteriumOhne benannten Massstab ist eine Feststellung eine Meinung.
FehlerLösung vorgeschriebenDie Empfehlung beschreibt das Ziel. Die Umsetzung verantwortet die geprüfte Einheit.
FehlerKein Follow-upEin Bericht ohne Termine und Bestätigung der Umsetzung verändert nichts.
FehlerStichprobe verschwiegenUmfang und Auswahl der Stichprobe gehören in den Bericht, sonst wird das Ergebnis überschätzt.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugAudit ManagementFührt Prüfplanung, Arbeitspapiere, Feststellungen und Nachverfolgung.WerkzeugControl & Evidence ManagementStellt die Evidenz bereit, auf die sich Feststellungen stützen.WerkzeugIntegrierte GRC-PlattformenVerbinden Feststellungen mit Risiken und Massnahmen.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Kontrolltestbericht →, Statement of Applicability →, Compliance Status Report →.