Wie bereiten Sie ein ISO-27001-Audit so vor, dass Ihre Nachweise standhalten? Legen Sie den Geltungsbereich fest, bewerten Sie den Stand ehrlich und binden Sie jeden Nachweis an eine Anforderung, eine verantwortliche Person und ein Datum. Führen Sie offene Lücken als Massnahmen mit Frist, und schliessen Sie internes Audit und Managementbewertung vor dem Zertifizierungsaudit ab.

Woran Audits in der Praxis hängen bleiben

Ein Audit scheitert selten daran, dass ein Unternehmen keine Sicherheitsmassnahmen hat. Schwierig wird es, wenn die Umsetzung nur in Köpfen, in verstreuten Excel-Dateien oder in alten E-Mails existiert. Die Passwortrichtlinie ist bekannt, die Backups laufen, Berechtigungen werden angepasst, Vorfälle werden besprochen. Nur liegt der Beleg dafür im Postfach einer einzelnen Person, im Ticketsystem oder auf einem Netzlaufwerk unter «Backup_Test_final_neu.pdf».

Kurz vor dem Termin beginnt dann die Suche: nach dem neusten Stand einer Richtlinie, nach der unterschriebenen Freigabe, nach dem Beleg, dass eine Massnahme tatsächlich umgesetzt wurde. Unter Zeitdruck entstehen Dokumente, die beim nächsten Audit schon wieder veraltet sind. Die Vorbereitung lohnt sich deshalb vor allem als Arbeitsweise, die Nachweise dort entstehen lässt, wo bewertet, entschieden und umgesetzt wird.

Auditorinnen und Auditoren erwarten dabei keine Perfektion. Sie erwarten Ordnung, Ehrlichkeit und erkennbare Steuerung. Offene Punkte sind kein Ausschlussgrund. Problematisch wird es, wenn erhebliche Risiken unbehandelt bleiben, Aussagen sich widersprechen oder dieselbe Lücke seit Langem bekannt ist, ohne dass jemand etwas unternimmt.

Schritt 1: Geltungsbereich und Rollen festlegen

Bevor Sie einzelne Anforderungen prüfen, muss der Geltungsbereich des ISMS feststehen. Welche Standorte, Geschäftsprozesse, Anwendungen, Datenbestände und Dienstleister gehören dazu? Welche Bereiche sind bewusst ausgeschlossen, und mit welcher Begründung? Ein zu weiter Scope erhöht Aufwand und Nachweislast. Ein zu enger Scope wirkt unglaubwürdig, wenn kritische Systeme oder wesentliche Risiken draussen bleiben.

Der Scope muss zum Betrieb passen. Nutzen Sie zentrale Cloud-Dienste, einen externen IT-Betreiber oder eine gemeinsame Personaladministration, gehören diese Schnittstellen ins ISMS. Sie müssen Ihre Lieferanten nicht vollständig kontrollieren können, aber Zuständigkeiten, Sicherheitsanforderungen und Kontrollmechanismen müssen dokumentiert und überprüfbar sein.

Ebenso früh klären Sie die Rollen:

• Die Geschäftsleitung trägt die Verantwortung für Ziele, Ressourcen und Risikoentscheide, ohne Informationssicherheit selbst operativ umzusetzen.
• Fachbereiche liefern Prozesswissen und viele Nachweise, etwa HR zu Ein- und Austritten oder der Einkauf zu Lieferanten.
• Die IT setzt technische und organisatorische Massnahmen um.
• Die Informationssicherheit koordiniert, hält die Nachweisführung zusammen und bereitet die Berichte vor.

Belegt werden diese Punkte durch eine freigegebene Informationssicherheitsleitlinie, Rollenbeschreibungen, Freigaben der Geschäftsleitung und Sitzungsprotokolle. Eine kurze, aktuelle Leitlinie mit nachvollziehbarer Genehmigung überzeugt mehr als ein umfangreiches Handbuch, das niemand kennt.

Schritt 2: Den Stand ehrlich bewerten

ISO 27001 verlangt ein funktionierendes Managementsystem: Risiken werden bewertet, Massnahmen geplant, ihre Wirksamkeit überprüft und Verbesserungen nachverfolgt. Die Vorbereitung beginnt deshalb mit einer strukturierten Bewertung aller relevanten Anforderungen gegen den tatsächlichen Umsetzungsstand. Wie Sie eine solche Bewertung aufbauen, beschreibt der Leitfaden für ISO-27001-Assessments ausführlich.

Für die Auditvorbereitung zählt vor allem: Jede Bewertung braucht eine Begründung. «Prozess zur Zugriffskontrolle vorhanden» ist keine auditierbare Aussage. Auditierbar wird sie erst so: Der Prozess ist freigegeben, wird angewendet, wird regelmässig kontrolliert, und bei Abweichungen wird nachgebessert. Fehlt einer dieser Teile, ist die Anforderung teilweise erfüllt. Eine ehrliche Teilbewertung schützt Sie im Audit besser als ein grüner Status ohne Substanz.

Besondere Aufmerksamkeit verdienen Themen, die in vielen Organisationen nur teilweise umgesetzt sind: die Pflege des Risikoregisters, Lieferantenbewertungen, das Management von Sicherheitsvorfällen, Schulungsnachweise, Berechtigungsprüfungen und Wiederherstellungstests. Auch die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) muss konsistent sein. Sie zeigt, welche Controls aus Anhang A relevant sind, warum sie einbezogen oder ausgeschlossen wurden und wie ihre Umsetzung belegt wird. Welche Controls das sind und wie Sie sie auswählen, lesen Sie in Welche Controls fordert ISO 27001 konkret?.

Was als Nachweis zählt

Ein Dokument ist noch kein Nachweis. Eine Richtlinie kann sauber formuliert und trotzdem wirkungslos sein, wenn sie nie freigegeben, kommuniziert oder angewendet wurde. Auditoren unterscheiden deshalb zwischen Vorgaben und Aufzeichnungen: Die Vorgabe beschreibt, was gelten soll. Die Aufzeichnung zeigt, dass es geschieht.

Vier Ebenen eines belastbaren Nachweises

Für fast jedes Thema lassen sich Belege auf vier Ebenen sammeln:

Ebene	Frage	Beispiele
Vorgabe	Was hat die Organisation beschlossen?	Richtlinien, Weisungen, Prozessbeschreibungen, Rollenbeschreibungen, Freigaben
Umsetzung	Wird die Vorgabe im Alltag angewendet?	Tickets zu Ein- und Austritten, Benutzerlisten, Konfigurationsauszüge, Schulungsbestätigungen
Wirksamkeit	Funktioniert die Massnahme?	Wiederherstellungstests, Berechtigungsprüfungen, Auswertungen von Protokollen, Übungen
Steuerung	Wie werden Abweichungen erkannt und behandelt?	Massnahmenliste mit Status, Risikoeinträge, interne Auditberichte, Managementbewertung

Fehlt eine Ebene, entsteht schnell ein schiefes Bild. Eine Richtlinie ohne Umsetzungsbeleg wirkt theoretisch. Eine technische Massnahme ohne Regelung wirkt zufällig. Ein Prozess ohne benannte Verantwortung ist nicht nachvollziehbar.

Die Belege müssen zueinander passen. Schreibt Ihr Berechtigungskonzept eine halbjährliche Überprüfung vor, erwartet das Audit Prüfprotokolle aus diesem Rhythmus und gegebenenfalls die Korrekturen, die daraus folgten. Verlangt Ihre Backup-Richtlinie regelmässige Tests, müssen Testergebnisse vorliegen. Am stärksten sind Nachweise, die direkt aus dem operativen Prozess entstehen. Nachträglich für das Audit erstellte Dokumente fallen auf.

Die Nachweise, nach denen fast immer gefragt wird

Welche Belege im Detail verlangt werden, hängt von Geltungsbereich, Risiken, gewählten Controls und Auditprogramm ab. Diese Gruppen bilden aber in der Praxis das Fundament:

1. Geltungsbereich, Leitlinie und Rollen. Abgrenzung von Organisationseinheiten, Standorten, Prozessen, Systemen und Schnittstellen, dazu die freigegebene Leitlinie und die Zuständigkeiten: Wer verantwortet das ISMS, wer bewertet Risiken, wer entscheidet über Restrisiken?
2. Risikobewertung und Risikoregister. Ein brauchbarer Eintrag beschreibt Schutzobjekt, Szenario, Eintrittswahrscheinlichkeit, Auswirkung, Risikoeigentümer und Behandlung. «Ausfall des Cloud-Dienstes» allein reicht nicht. Erst mit den betroffenen Geschäftsprozessen, den vorhandenen Schutzmassnahmen, den Wiederanlaufoptionen und einer verantwortlichen Person wird daraus eine Steuerungsgrundlage. Eine Vorlage mit allen Feldern finden Sie im Leitfaden Risikoregister Informationssicherheit.
3. Anwendbarkeitserklärung und Kontrollnachweise. Zu ausgewählten Controls verlangt das Audit operative Belege. Bei der Zugriffskontrolle sind das Berechtigungsprozesse, Freigaben, Rezertifizierungen und Auszüge aus der Benutzerverwaltung. Beim Backup sind es Sicherungskonzept, Protokolle erfolgreicher Sicherungen und dokumentierte Wiederherstellungstests.
4. Massnahmenplan mit Umsetzungsstatus. Jede Aufgabe mit Priorität, Verantwortung, Frist, Status und erwarteter Wirkung, bei abgeschlossenen Massnahmen mit Ergebnisnachweis: neue Konfiguration, Testprotokoll, Schulungsbestätigung, genehmigte Prozessänderung.
5. Kompetenz und Sensibilisierung. Benötigte Kompetenzen für sicherheitsrelevante Rollen, Schulungspläne, Teilnahmebestätigungen, Inhalte der Awareness-Massnahmen, Onboarding-Schritte. Eine einmalige Einführung beim Stellenantritt genügt selten.
6. Interne Audits, Managementbewertung und Verbesserung. Auditberichte, Feststellungen, Verantwortliche und der Beleg, dass Abweichungen nachverfolgt und auf Wirksamkeit geprüft wurden.

Je nach Themenfeld verschieben sich die Belegarten. Im Schwachstellen- und Patch-Management zählen Scan-Ergebnisse, Ticketverläufe, Wartungsprotokolle und dokumentierte Ausnahmen. Beim Incident Management sind es Ticketdaten, Eskalationswege, Ursachenanalysen und umgesetzte Verbesserungen. Bei Lieferanten sind es Bewertungen, Vertraulichkeitsvereinbarungen und vertragliche Sicherheitsanforderungen.

Die Prüffrage für jeden Nachweis

Stellen Sie zu jedem Beleg eine Frage: Kann eine aussenstehende Person erkennen, welche Anforderung er erfüllt, wer gehandelt hat, wann das geschah und wie die Wirksamkeit beurteilt wurde? Lautet die Antwort ja, trägt der Nachweis. Lautet sie «nur, wenn ich es erkläre», fehlt Kontext.

Nachweise revisionssicher führen

Richtlinien werden angepasst, Risiken neu bewertet, Massnahmen abgeschlossen, Verantwortliche wechseln. Das darf auch so sein. Revisionssicher wird die Dokumentation, wenn solche Änderungen kontrolliert erfolgen und später nachvollziehbar bleiben. Ein PDF in einem gemeinsamen Ordner erfüllt das nicht automatisch, und eine Cloud-Ablage auch nicht, nur weil sie zentral betrieben wird. Werden Dateien ohne Spur ersetzt, sind Berechtigungen zu weit gefasst oder verschwinden alte Versionen, fehlt der belastbare Nachweis.

In der Praxis braucht es vier Dinge:

• Zuordnung: Welcher Nachweis belegt welche Anforderung?
• Historie: Wer hat wann was erfasst, geändert, geprüft oder freigegeben?
• Aktualität: Ein drei Jahre alter Bericht beweist nicht, dass eine Kontrolle heute funktioniert.
• Kontext: Ist die Massnahme geplant, teilweise umgesetzt oder wirksam kontrolliert?

Felder eines Nachweiseintrags

Ob Sie mit einer Tabelle, einem Dokumentenmanagement oder einer Plattform arbeiten: Diese Angaben sollten zu jedem Nachweis vorhanden sein.

Feld	Inhalt
Anforderung oder Control	Bezug auf den Normabschnitt oder die Prüffrage
Kontrollaussage	Was der Beleg zeigen soll, in einem Satz
Nachweis	Dokument, Protokoll, Ticket, Konfigurationsauszug, mit eindeutigem Ablageort
Verantwortliche Person	Wer den Nachweis aktuell hält
Datum und Gültigkeit	Wann erstellt oder geprüft, bis wann aussagekräftig
Freigabestatus	Entwurf, freigegeben, ersetzt
Bewertung	Erfüllt, teilweise, nicht erfüllt, nicht anwendbar, mit Begründung
Offene Massnahme	Falls der Nachweis noch nicht genügt: was, wer, bis wann

Unterscheiden Sie dabei zwischen statischen Nachweisen (Richtlinien, Rollenmodelle, Notfallkonzepte) und dynamischen (Freigaben, Tickets, Protokolle, Prüfberichte, Massnahmenstatus). Statische Nachweise brauchen eine Freigabe und ein Prüfdatum. Dynamische Nachweise brauchen einen Rhythmus, in dem sie entstehen, und eine Wiedervorlage, bevor sie ihre Aussagekraft verlieren.

Zugriff, Versionen, Aufbewahrung

Trennen Sie mindestens Lesen, Bearbeiten, Freigeben und Administrieren, und überprüfen Sie diese Rechte bei Ein- und Austritten sowie bei Funktionswechseln. Die Geschäftsleitung braucht meist Übersicht und Berichte, nicht jedes Detail. Auditoren erhalten je nach Auftrag einen kontrollierten Einblick.

Eine Versionshistorie zeigt, dass sich ein Dokument geändert hat. Sie erklärt nicht, warum. Halten Sie deshalb fest, welcher Befund oder welches Risiko eine Änderung ausgelöst hat, wer sie freigegeben hat und welche Aufgaben daraus entstanden sind. Wird eine Kontrolle von «nicht erfüllt» auf «erfüllt» gesetzt, muss die Begründung erhalten bleiben. Sonst lässt sich später nicht unterscheiden, ob sich die Sicherheitslage verbessert hat oder nur die Bewertung.

Revisionssicherheit bedeutet auch nicht, alles endlos aufzubewahren. Unnötig lange gespeicherte Informationen erhöhen Risiken und können datenschutzrechtlich problematisch sein. Legen Sie fest, welche Unterlagen wie lange gebraucht werden, wer sie archivieren oder löschen darf und wie eine Löschung dokumentiert wird. Weil Nachweise oft sensible Angaben enthalten, etwa Architekturübersichten, Prüfprotokolle oder bekannte Schwachstellen, gehört auch der Speicherort zur Entscheidung.

Risiken und Massnahmen auditfähig steuern

ISO 27001 verlangt einen risikobasierten Ansatz. Das Audit prüft deshalb, ob die gewählte Behandlung eines Risikos nachvollziehbar ist. Wird ein Risiko reduziert, müssen konkrete Controls, Termine und Verantwortliche dahinterstehen. Wird es akzeptiert, braucht es eine dokumentierte Entscheidung auf der zuständigen Ebene, mit Begründung und Prüfdatum. Wie Sie diese Ebene festlegen, steht im Leitfaden Risikoakzeptanz im Unternehmen festlegen.

Massnahmen brauchen einen realistischen Status. Eine offene Massnahme mit Verantwortlichem, Priorität und Termin ist im Audit besser als ein behaupteter Abschluss. Auch überfällige oder blockierte Massnahmen dürfen sichtbar sein, sofern Ursache, Entscheid und nächster Schritt dokumentiert sind. Das zeigt Steuerungsfähigkeit.

Formulieren Sie Massnahmen so, dass ihr Abschluss prüfbar ist. «Zugriffsmanagement verbessern» lässt sich nie abhaken. «Verfahren für die jährliche Überprüfung von Benutzerberechtigungen dokumentieren, Verantwortliche bestimmen, erste Überprüfung durchführen und protokollieren» schon. Nach der Umsetzung wird die Bewertung der ursprünglichen Anforderung aktualisiert, mit dem neuen Nachweis. So entsteht eine Kette: Anforderung, Bewertung, Befund, Massnahme, Nachweis, neuer Status. Wie ein solcher Plan aufgebaut ist, zeigt der Leitfaden Massnahmenplan Informationssicherheit erstellen.

Für die Reihenfolge hilft eine Frage: Welche Lücke kann Vertraulichkeit, Integrität oder Verfügbarkeit geschäftskritischer Informationen am stärksten beeinträchtigen? Daraus folgen oft Massnahmen wie Mehrfaktor-Authentisierung für privilegierte Zugänge, getestete Backups, klare Meldewege für Vorfälle oder eine verbindliche Prüfung kritischer Dienstleister.

Internes Audit und Managementbewertung abschliessen

Vor dem Zertifizierungsaudit muss das ISMS intern geprüft worden sein. Das interne Audit ist ein unabhängiger Blick auf die eigene Umsetzung: Sind Anforderungen erfüllt, Prozesse wirksam, Nachweise vollständig? Die prüfende Person muss ausreichend kompetent sein und darf den eigenen Verantwortungsbereich nicht selbst auditieren.

Aus den Feststellungen entstehen Korrekturen. Entscheidend ist der vollständige Zyklus: Abweichung beschreiben, Ursache bewerten, Massnahme festlegen, Umsetzung verfolgen, Wirksamkeit prüfen. Geben Sie jeder Feststellung einen eindeutigen Status, etwa offen, in Bearbeitung, umgesetzt, wirksamkeitsgeprüft. Erst die Wirksamkeitsprüfung zeigt, ob die Korrektur das Problem gelöst hat. Eine abgelegte Liste von Feststellungen ohne Bearbeitungsnachweis ist einer der häufigsten Schwachpunkte.

Die Managementbewertung muss ebenfalls vorliegen. Die Geschäftsleitung erhält Informationen zu Auditergebnissen, Sicherheitszielen, Veränderungen im Risikoumfeld, Vorfällen, Kennzahlen, Massnahmenstand und Ressourcen. Daraus folgen Entscheidungen, etwa zu Prioritäten, Budget, Verantwortlichkeiten oder akzeptierten Restrisiken. Diese Entscheidungen gehören ins Protokoll.

Berichte, die Geschäftsleitung und Audit gleichermassen dienen

Fachleute brauchen Details: welche Anforderung betroffen ist, welcher Nachweis fehlt, wer die nächste Aufgabe übernimmt. Die Geschäftsleitung braucht einen kompakten Überblick: Reifegrad, Entwicklung seit der letzten Bewertung, wesentliche Lücken, überfällige Massnahmen, Risiken, die einen Entscheid brauchen. Beide Sichten sollten aus derselben Datenbasis stammen. Werden Zahlen vor jeder Sitzung von Hand aus Excel, Word und Tickets zusammengetragen, entstehen Widersprüche zwischen IT, Compliance und Geschäftsleitung, und der Bericht ist oft veraltet, bevor er verschickt wird.

Automatisieren lässt sich das Wiederkehrende: Bewertungen zusammenführen, Erfüllungsgrade berechnen, Fristen sichtbar machen, Berichte erzeugen. Die Bewertung eines kritischen Risikos und die Freigabe einer Richtlinie bleiben menschliche Entscheidungen. Eine Ampel ohne Begründung schafft keine Transparenz.

Wie SCMC Bewertung, Verlauf und Berichte als Nachweis liefert

Das ISO-27001-Modul von SCMC bildet die Anforderungen von ISO/IEC 27001:2022 ab, einschliesslich der 93 Controls aus Anhang A in ihren vier Themengruppen. Für die Auditvorbereitung sind diese Funktionen konkret nützlich:

• Bewertung je Frage. Zu jeder Frage erfassen Sie IST und SOLL auf der Skala des Moduls, eine Begründung und einen Dokumentlink zum Beleg in Ihrer eigenen Ablage. «Nicht zutreffend» ist eine eigene Wahl, noch offene Fragen erscheinen als «Noch nicht beantwortet» und lassen sich so nicht mit nicht anwendbaren verwechseln.
• Verlauf. Der Verlauf einer Frage, einer Massnahme oder eines Risikos zeigt je Eintrag, was sich geändert hat, etwa «IST 1 → 2» oder eine neue Bemerkung, nach Tagen geordnet und nach Art filterbar. Auf jeder Karte steht, wer sie zuletzt geändert hat und wann. Damit lässt sich zeigen, wann eine Anforderung von «teilweise» auf «erfüllt» gewechselt hat und wer das war.
• Massnahmen mit Frist und Validierung. Jede Massnahme trägt eine Frist und eine verantwortliche Person, die Validierung ebenso, mit eigener Frist und eigenem Verantwortlichen. Erinnerungen gehen per E-Mail mit einem Link auf die Massnahme hinaus. Unter «Meine Aufgaben» sieht jede Person über alle Bewertungen hinweg, was auf sie läuft, sortiert nach Frist, Überfälliges markiert.
• Risikobewertung. Lücken lassen sich nach Wahrscheinlichkeit und Auswirkung bewerten, mit Restrisiko nach den Massnahmen. Die Auswertung zeigt Risiko- und Restrisikomatrix nebeneinander.
• Berichte in Word. «Word herunterladen» gibt die ganze Bewertung als bearbeitbares .docx aus: die Bereiche als Überschriften, je Frage IST und SOLL im Klartext Ihrer Skala, Begründung und Dokumentlink, nicht anwendbare und offene Punkte als solche benannt. «Massnahmen als Word» listet Massnahmen und Validierungen je Bereich mit Status, Verantwortlichen, Frist und Kommentaren. Die Risikoanalyse als Word beginnt mit Risiko- und Restrisikomatrix und führt danach alle bewerteten Positionen absteigend nach Risiko mit der zugehörigen Massnahme auf. Diese Dokumente sind ein Gerüst für Ihren Prüfbericht oder die Unterlagen zur Managementbewertung, die Sie selbst ergänzen.
• Jahresvergleich. «Duplizieren» legt eine neue Bewertung mit allen aktuellen Antworten, Massnahmen und Risiken an, die Historie bleibt bei der ursprünglichen Bewertung. In der Ergebnisansicht stehen der PDF-Bericht und der Vergleich mit anderen Bewertungen. So belegen Sie die Entwicklung zwischen zwei Audits.

Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich), die Zusammenarbeit läuft rollenbasiert. Zwei Grenzen sollten Sie kennen: SCMC stellt kein Zertifikat aus, das tun akkreditierte Zertifizierungsstellen. Und die Belege selbst, etwa Protokolle oder Konfigurationsauszüge, bleiben in Ihrer Ablage und werden über den Dokumentlink verbunden. Wie die Module zusammenspielen, erklärt das Hilfe-Center, die Preise stehen unter /pricing.

Den Audittag vorbereiten

Ein gut vorbereiteter Audittag beginnt nicht mit der Suche nach Dokumenten.

• Benennen Sie eine zentrale Ansprechperson und die Interviewpartner für die relevanten Prozesse, und sagen Sie ihnen, welche Fragen sie erwarten.
• Halten Sie Agenda, Scope, die wichtigsten Kennzahlen, die Erklärung zur Anwendbarkeit und den Zugriff auf die Nachweise bereit.
• Klären Sie bei virtuellen Audits sichere Zugänge, Bildschirmfreigaben und den Umgang mit vertraulichen Informationen.
• Antworten Sie präzise und ehrlich. Können Sie eine Frage nicht direkt beantworten, reichen Sie den Nachweis gezielt nach, statt zu spekulieren.
• Erklären Sie Prozesse an realen Fällen: Wie wurde der letzte Vorfall behandelt? Wann wurden Zugriffe zuletzt überprüft? Welche Massnahme wurde nach einer Risikobewertung beschlossen?

Nach dem Audit erfassen Sie Abweichungen, Hinweise und Verbesserungspotenziale wie interne Feststellungen: mit Verantwortlichen, Frist und Status, damit sie beim nächsten Audit als erledigt und geprüft vorliegen.

Typische Fehler

• Belege ohne Kontrollaussage sammeln. Volle Ordner vermitteln Aktivität, beantworten aber nicht, ob eine Kontrolle wirkt.
• Dokumentation und Praxis laufen auseinander. Eine Prozessbeschreibung, die mit dem tatsächlichen Ablauf nichts mehr zu tun hat, ist schlechter als keine.
• Nachweise einmal ablegen und vergessen. Systeme, Lieferanten und Zuständigkeiten ändern sich, Nachweise brauchen ein Prüfdatum.
• Medienbrüche. Richtlinien im Ordner, Massnahmen in Excel, Risiken in einer Präsentation, Freigaben im Postfach: Dann sieht niemand, welche Nachweise fehlen und welche Massnahmen offen sind.
• Wissen bei Einzelpersonen. Fällt die Person aus, die weiss, wo was liegt, werden Nachweise schwer interpretierbar. Testen Sie, ob eine Vertretung einen Nachweis findet und eine Entscheidung erklären kann, ohne die ursprüngliche E-Mail zu suchen.
• Alles auf einmal migrieren. Beginnen Sie mit den kritischsten Nachweisen: Leitlinie, Bewertungsergebnisse, Risikoentscheide, Massnahmenplan, Freigaben. Weitere Bereiche folgen, sobald der Ablauf trägt.

Wer Nachweise im Alltag so führt, muss vor dem Audit nicht mehr sammeln. Die Vorbereitung reduziert sich dann auf das Prüfen: Hat jede Anforderung einen Status, jeder Befund eine Massnahme und jedes Risiko eine nachvollziehbare Entscheidung?