Was passiert eigentlich, wenn man bei einem ISO 27001-Audit durchfällt?
Zunächst einmal sei klargestellt: Ein „Nichtbestehen“ eines ISO-27001-Audits bedeutet nicht, dass Ihrem Unternehmen die Zertifizierung dauerhaft verweigert wird. In den meisten Fällen identifizieren die Auditoren Verbesserungspotenziale, geben Ihnen Zeit, diese umzusetzen, und kommen anschließend zurück, um die Korrekturen zu überprüfen. Der Prozess ist konstruktiv und nicht bestrafend gestaltet.
Um zu verstehen, wie ein Fehler aussieht, muss man die beiden Arten von Abweichungen verstehen, die Prüfer feststellen können.
Geringfügige Abweichungen
Eine geringfügige Abweichung ist eine Lücke, die Ihr Informationssicherheitsmanagementsystem (ISMS) nicht grundlegend beeinträchtigt. Es kann sich beispielsweise um einen einzelnen Dokumentationsfehler, eine einzelne Kontrollmaßnahme, die nicht wie beschrieben funktioniert, oder ein kleines Verfahrensversehen handeln. Geringfügige Abweichungen sind sehr häufig. Die meisten Organisationen erhalten während ihres Zertifizierungsaudits mindestens ein oder zwei solcher Abweichungen, die Sie jedoch nicht daran hindern, die Zertifizierung zu erreichen. ISO Zertifizierung 27001.
Wenn eine geringfügige Abweichung gemeldet wird, haben Sie in der Regel Folgendes: 90 Tage Sie müssen Korrekturmaßnahmen umsetzen und Ihrer Zertifizierungsstelle entsprechende Nachweise vorlegen. Sobald diese zufrieden sind, wird die Zertifizierung wie gewohnt fortgesetzt.
Wesentliche Abweichungen
Eine schwerwiegende Abweichung ist weitaus gravierender. Sie deutet auf ein grundlegendes Versagen Ihres ISMS hin, wie beispielsweise das völlige Fehlen eines erforderlichen Prozesses, einen systematischen Fehler bei der Umsetzung von Kontrollen oder das vollständige Fehlen von … Risikobewertung Eine schwerwiegende Abweichung verhindert die Zertifizierung, bis das Problem vollständig behoben und durch ein Folgeaudit bestätigt wurde.
Schwerwiegende Abweichungen sind zwar seltener, aber wenn sie auftreten, erfordern sie erhebliche Nachbesserungsmaßnahmen und einen zusätzlichen Auditbesuch, was den Zertifizierungsprozess sowohl zeitlich als auch preislich verlängert.
Worin besteht der Unterschied zwischen Ausfallstadium 1 und Ausfallstadium 2?
Das ISO 27001-Zertifizierungsaudit wird in zwei Phasen durchgeführt, und die Auswirkungen von Abweichungen unterscheiden sich je nachdem, wann diese festgestellt werden.
| Aspekt | Phase 1 (Dokumentationsprüfung) | Phase 2 (Implementierungsprüfung) |
|---|---|---|
| Optik | ISMS-Dokumentation, Geltungsbereich, Risikobewertung, Anwendungsbereichserklärung, Richtlinien und Verfahren | Ob die Kontrollmechanismen tatsächlich implementiert sind, effektiv funktionieren und in den täglichen Betrieb integriert sind |
| Häufige Probleme | Fehlende Richtlinien, unvollständig Erklärung zur Anwendbarkeitschlecht definierter Geltungsbereich, Lücken in den Risikobehandlungsplänen | Unkenntnis der Mitarbeiter über die Richtlinien, Anzeichen für die Nichteinhaltung von Kontrollmechanismen, fehlende Managementbewertungsberichte, ineffektive interne Prüfungen |
| Auswirkungen des Scheiterns | Phase 2 verzögert sich, bis die Dokumentationslücken geschlossen sind. Dies ist eine gute Gelegenheit, Mängel vor dem Hauptaudit zu beheben. | Die Zertifizierung wird verweigert. Geringfügige Abweichungen erfordern Korrekturmaßnahmen innerhalb von 90 Tagen. Schwerwiegende Abweichungen erfordern ein erneutes Audit. |
| Typisches Ergebnis | Der Wirtschaftsprüfer übermittelt eine Liste von Punkten, die vor Beginn von Phase 2 geklärt werden müssen. | Der Auditor stellt formelle Abweichungsberichte aus, die dokumentierte Korrekturmaßnahmen erfordern. |
Ein Rückschlag in Phase 1 lässt sich in der Regel leichter beheben, da er sich auf die Dokumentation und nicht auf operative Nachweise konzentriert. Wenn Ihr Auditor in Phase 1 Probleme feststellt, sollten Sie dies als wertvolle Frühwarnung verstehen und alle Mängel beheben, bevor Phase 2 beginnt.
Worauf achten Wirtschaftsprüfer wirklich?
Die Auditoren wollen Sie nicht in eine Falle locken. Ihre Aufgabe ist es, zu beurteilen, ob Ihr ISMS die Anforderungen der ISO 27001 erfüllt und ob es tatsächlich in die Arbeitsabläufe Ihres Unternehmens integriert ist. Sie achten insbesondere auf Folgendes:
- Konsistenz — Stimmen Ihre dokumentierten Richtlinien mit der tatsächlichen Praxis überein?
- Beweisbar — Können Sie anhand von Protokollen, Aufzeichnungen, Besprechungsprotokollen und Berichten nachweisen, dass die Kontrollmechanismen funktionieren?
- Risikobasiertes Denken — Wird Ihre Risikobewertung zur Auswahl Ihrer Kontrollmaßnahmen herangezogen und wird sie regelmäßig aktualisiert?
- Zusage des Top-Managements Ist die Führungsebene sichtbar in die Steuerung der Informationssicherheit eingebunden?
- Ständige Verbesserung — Erkennen und nutzen Sie Möglichkeiten, Ihr ISMS im Laufe der Zeit zu stärken?
Die gute Nachricht ist: Nichts davon erfordert Perfektion. Prüfer erwarten, Verbesserungspotenzial zu finden. Entscheidend ist, dass Ihr Unternehmen einen echten, systematischen Ansatz zum Management von Informationssicherheitsrisiken demonstriert. Wenn Sie gut vorbereitet sind, können Sie mehr erfahren über Wie Sie Ihr Audit bestehen erstes Mal.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Warum scheitern Organisationen bei ISO 27001-Audits?
Das Verständnis der häufigsten Gründe für das Scheitern von Audits hilft Ihnen, dieselben Fehler zu vermeiden. Basierend auf typischen Auditergebnissen sind dies die Bereiche, in denen Organisationen am häufigsten Mängel aufweisen:
1. Dokumentationslücken
ISO 27001 verlangt eine umfangreiche Dokumentation, einschließlich Ihrer Informationssicherheitspolitik, Ihrer Risikobewertungsmethodik und Ihres Risikobehandlungsplans. Erklärung zur Anwendbarkeitsowie Aufzeichnungen von Managementbewertungen und internen Audits. Fehlende oder unvollständige Dokumentation ist eine der häufigsten Ursachen für Abweichungen.
2. Unzureichende Risikobewertung
Die Risikobewertung ist die Grundlage Ihres gesamten ISMS. Wenn es oberflächlich oder veraltet ist oder die identifizierten Risiken nicht klar mit den Kontrollen verknüpft, Anhang ADie Wirtschaftsprüfer werden Bedenken äußern. Eine Risikobewertung, die nur einmal durchgeführt und nie wieder überprüft wurde, ist ein Warnsignal.
3. Fehlendes Bewusstsein des Personals
Können Mitarbeiter im Gespräch mit dem Auditor die Grundlagen Ihrer Informationssicherheitsrichtlinien nicht erläutern, deutet dies darauf hin, dass Ihr Informationssicherheitsmanagementsystem (ISMS) nur auf dem Papier existiert. Schulungsnachweise, Sensibilisierungsprogramme und Belege für regelmäßige Kommunikation zum Thema Informationssicherheit sind unerlässlich.
4. Diskrepanz zwischen Dokumentation und Praxis
Dies ist womöglich der schwerwiegendste Befund. Wenn Ihre dokumentierten Verfahren etwas anderes aussagen, als die Mitarbeiter tatsächlich tun, wirft das ernsthafte Fragen hinsichtlich der Integrität Ihres Informationssicherheitsmanagementsystems (ISMS) auf. Auditoren prüfen dies gezielt, indem sie dokumentierte Prozesse mit der beobachteten Praxis und den aufgezeichneten Nachweisen vergleichen.
5. Unvollständiges internes Auditprogramm
Klausel 9.2 verpflichtet Organisationen zur Durchführung interne Audits In geplanten Abständen. Fehlt Ihr internes Auditprogramm, ist es unvollständig oder deckt es nicht alle relevanten Bereiche des ISMS ab, führt dies wahrscheinlich zu einer Abweichung. Interne Audits bieten Ihnen die Möglichkeit, Probleme zu erkennen und zu beheben, bevor der externe Auditor dies tut.
6. Keine Hinweise auf eine Managementprüfung
Klausel 9.3 verpflichtet die oberste Führungsebene, das ISMS in regelmäßigen Abständen zu überprüfen. Die Prüfer achten dabei auf Protokolle, Maßnahmenpunkte und Nachweise für die aktive Beteiligung der Führungsebene an der Informationssicherheits-Governance. Eine fehlende Überprüfung durch die Führungsebene ist ein häufiger und leicht vermeidbarer Verstoß.
Wie funktioniert der Korrekturmaßnahmenprozess?
Wird eine Abweichung festgestellt, legt ISO 27001 Abschnitt 10.1 die Anforderungen fest für Abweichung und KorrekturmaßnahmenDer Prozess folgt einem strukturierten Vorgehen:
| Schritt | Was ist damit verbunden? | Wichtige Überlegung |
|---|---|---|
| 1. Identifizieren und enthalten | Die Abweichung anerkennen und unverzüglich Maßnahmen ergreifen, um jegliches Risiko einzudämmen | Ignorieren oder verharmlosen Sie die Ergebnisse nicht. Reagieren Sie umgehend und dokumentieren Sie alles. |
| 2. Ursachenanalyse | Ermitteln Sie, warum die Abweichung aufgetreten ist, nicht nur, was passiert ist. | Gehen Sie über oberflächliche Symptome hinaus. Lag es an einem Prozessfehler, einer Schulungslücke, einem Ressourcenproblem oder einem Versäumnis des Managements? |
| 3. Korrekturmaßnahmen | Setzen Sie Änderungen um, um die Ursache zu beheben und ein erneutes Auftreten zu verhindern. | Die Lösung muss verhältnismäßig und nachhaltig sein. Schnelle Flicklösungen, die die eigentliche Ursache nicht beheben, werden die Prüfer nicht zufriedenstellen. |
| 4. Überprüfung | Legen Sie Nachweise dafür vor, dass die Korrekturmaßnahme umgesetzt wurde und wirksam ist. | Bei geringfügigen Abweichungen sind die Nachweise innerhalb von 90 Tagen einzureichen. Bei schwerwiegenden Abweichungen ist ein Nachfolgeaudit erforderlich. |
Welche Zeitpläne und Kostenfolgen gibt es?
Der Zeitrahmen für die Behebung von Abweichungen hängt von deren Schweregrad ab:
- Geringfügige Abweichungen: Sie haben in der Regel 90 Tage Zeit, um Nachweise über Korrekturmaßnahmen einzureichen. Wenn die Zertifizierungsstelle damit zufrieden ist, wird die Zertifizierung ohne weiteren Auditbesuch erteilt.
- Wesentliche Abweichungen: Ein Folgeaudit ist erforderlich, das vor der Zertifizierung terminiert und abgeschlossen sein muss. Je nach Verfügbarkeit Ihrer Zertifizierungsstelle und Komplexität der erforderlichen Maßnahmen kann sich dadurch der Zeitplan um 3 bis 6 Monate verlängern.
Die Kostenfolgen sind erheblich. Ein Nachfolgeaudit verursacht zusätzliche Auditorengebühren, die je nach Umfang und Größe Ihres Unternehmens zwischen 2,000 und 10,000 £ oder mehr liegen können. Hinzu kommen indirekte Kosten: Personalaufwand für die Behebung von Mängeln, mögliche Verzögerungen bei Kundenverträgen, die von der Zertifizierung abhängen, und der Reputationsverlust durch eine verzögerte Zertifizierung. Um das Gesamtbild zu verstehen, ist es wichtig, … Prüfungskosten Hilft Ihnen dabei, von Anfang an angemessen zu budgetieren.
Wenn man diese Kosten zusammen mit der bereits investierten Zeit berücksichtigt, wie lange die Zertifizierung dauertEs wird deutlich, dass Investitionen in eine angemessene Vorbereitung im Vorfeld weitaus kosteneffektiver sind als die Bewältigung der Folgen eines Scheiterns.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Wie lässt sich ein Scheitern bei einem ISO 27001-Audit verhindern?
Am besten lässt sich ein Auditfehler vermeiden, indem man ihn von vornherein verhindert. Hier sind die effektivsten Strategien:
Führen Sie gründliche interne Audits durch
Ihre internes Auditprogramm Interne Audits sind Ihre erste Verteidigungslinie. Sie sollten alle Aspekte Ihres Informationssicherheitsmanagementsystems (ISMS) in einem geplanten Zyklus abdecken, wobei die Ergebnisse dokumentiert und Korrekturmaßnahmen bis zum Abschluss verfolgt werden. Betrachten Sie interne Audits als Generalprobe für das externe Audit.
Planen Sie regelmäßige Managementbesprechungen ein.
Managementbewertungen sollten mindestens jährlich stattfinden und klare Agenden umfassen, die die ISMS-Leistung, Risikoveränderungen, Prüfungsergebnisse und Verbesserungsmöglichkeiten abdecken. Führen Sie detaillierte Protokolle und verfolgen Sie die Maßnahmen, um das kontinuierliche Engagement der Führungsebene zu dokumentieren.
Lebende Dokumentation pflegen
Ihre ISMS-Dokumentation sollte ein dynamisches System sein, keine statische Sammlung von Dokumenten, die für das Audit erstellt und anschließend vergessen werden. Überprüfen und aktualisieren Sie Richtlinien, Verfahren und das Risikoregister regelmäßig. Versionskontrolle und Änderungsprotokolle zeigen den Auditoren, dass Ihr ISMS aktiv gepflegt wird.
Investieren Sie in das Bewusstsein Ihrer Mitarbeiter
Führen Sie regelmäßig Sensibilisierungsschulungen durch, erfassen Sie die Teilnahme an den Schulungen und überprüfen Sie das Verständnis durch Quizze oder simulierte Phishing-Angriffe. Die Auditoren werden Mitarbeiter aller Ebenen befragen, um sicherzustellen, dass jeder, vom Vorstand bis zu neuen Mitarbeitern, seine Rolle in der Informationssicherheit versteht.
Bereiten Sie sich gründlich auf das Audit vor.
Führen Sie in den Wochen vor Ihrem Audit eine Vorbereitungsprüfung durch. Stellen Sie sicher, dass alle erforderlichen Unterlagen aktuell sind, Nachweise zugänglich sind und die wichtigsten Mitarbeiter verfügbar und informiert sind. Unser Leitfaden dazu Wie man sich auf ein ISO 27001-Audit vorbereitet behandelt dies ausführlich.
Wie hilft Ihnen ISMS.online dabei, Ihr Audit zu bestehen?
ISMS.online Die Plattform wurde speziell entwickelt, um Organisationen beim Aufbau, der Verwaltung und der Aufrechterhaltung eines ISO 27001-konformen ISMS zu unterstützen. Sie geht direkt auf die häufigsten Ursachen für das Scheitern von Audits ein:
- Arbeitsabläufe für Korrekturmaßnahmen: Werden Abweichungen festgestellt, sei es im Rahmen interner Audits oder externer Bewertungen, ISMS.online Es bietet strukturierte Arbeitsabläufe zur Dokumentation der Ergebnisse, zur Zuweisung von Verantwortlichkeiten, zur Durchführung von Ursachenanalysen und zur Nachverfolgung der Behebungsmaßnahmen bis zum Abschluss. Jeder Schritt ist mit einem Zeitstempel versehen und nachvollziehbar.
- Automatisierte Beweissammlung: Die Plattform sammelt und organisiert kontinuierlich alle für Audits benötigten Nachweise – von Richtlinienbestätigungen und Schulungsnachweisen bis hin zu Zugangsprüfungen und Fortschrittsberichten zur Risikobehandlung. Schluss mit dem hektischen Zusammenstellen von Nachweispaketen vor einem Audit.
- Integriertes Audit-Management: Planen, terminieren und führen Sie Ihr internes Auditprogramm direkt innerhalb der Plattform durch. Die Auditergebnisse werden automatisch mit Korrekturmaßnahmen verknüpft, wodurch eine klare Dokumentation von der Identifizierung bis zur Behebung entsteht.
- Live-Compliance-Dashboard: Behalten Sie Ihren ISMS-Compliance-Status im Blick. Das Dashboard hebt Bereiche hervor, die Aufmerksamkeit erfordern, überfällige Maßnahmen und anstehende Prüftermine, damit nichts übersehen wird.
- Vorgefertigte Richtlinien- und Verfahrensvorlagen: Verwenden Sie zunächst Vorlagen, die bereits den Anforderungen der ISO 27001:2022 entsprechen, und passen Sie diese dann an die Bedürfnisse Ihrer Organisation an. Dadurch wird das Risiko von Dokumentationslücken deutlich reduziert.
- Dynamisches Risikomanagement: Führen Sie ein dynamisches Risikoregister mit integrierter Risikobewertungsmethodik und verknüpften Risikobehandlungsplänen. Anhang A-Kontrollenund automatisierte Erinnerungen für regelmäßige Risikoüberprüfungen.
Ob Sie nun zum ersten Mal eine Zertifizierung anstreben oder sich auf ein Überwachungsaudit vorbereiten, ISMS.online Es bietet Ihnen die Struktur, Automatisierung und Transparenz, die Sie benötigen, um souverän in Ihr Audit zu gehen. Falls Sie die Investition noch abwägen, hilft Ihnen unser Leitfaden weiter. ISO 27001 lohnt sich kann Ihnen dabei helfen, Ihre Argumentation zu untermauern.
Warum ISMS.online wählen?
- Speziell für ISO 27001 entwickelt: Im Gegensatz zu generischen GRC-Tools, ISMS.online ist speziell auf die Anforderungen der ISO 27001:2022 zugeschnitten, sodass jede Funktion direkt dem entspricht, was die Auditoren erwarten.
- Schnellere Zertifizierung: Vorgefertigte Vorlagen, geführte Arbeitsabläufe und die automatisierte Erfassung von Nachweisen ermöglichen es Ihnen, die Zertifizierung in Wochen statt Monaten zu erreichen.
- Reduziertes Auditrisiko: Die kontinuierliche Überwachung der Einhaltung von Vorschriften und integrierte interne Prüfwerkzeuge gewährleisten, dass Sie jederzeit prüfungsbereit sind und nicht nur einmal im Jahr vorbereitet werden.
- Vollständiges Korrekturmaßnahmenmanagement: Von der Identifizierung über die Ursachenanalyse bis hin zum bestätigten Abschluss wird der gesamte Prozess gemäß Klausel 10.1 an einem Ort mit vollständiger Protokollierung verwaltet.
- Echtzeit-Transparenz für die Führungsebene: Compliance-Dashboards und -Berichte geben dem Management die notwendige Übersicht, um seinen Governance-Verantwortlichkeiten gemäß Klausel 5.1 nachzukommen.
- Integriertes Risikomanagement: Ihr Risikoregister, Ihre Risikobewertungen und Ihre Behandlungspläne sind alle in der Plattform integriert, mit Kontrollmechanismen verknüpft und werden kontinuierlich aktualisiert.
- Weltweit vertrauen Tausende von Organisationen auf uns: Von Startups bis hin zu Großunternehmen – Organisationen verlassen sich auf ISMS.online Die ISO 27001-Zertifizierung mit Zuversicht erreichen und aufrechterhalten.
Sind Sie bereit, Auditfehler der Vergangenheit angehören zu lassen? Kontakt um zu sehen wie ISMS.online kann Sie auf Ihrem Weg zur Zertifizierung unterstützen.
Häufig gestellte Fragen
Kann man nach einem nicht bestandenen Audit trotzdem noch die ISO 27001-Zertifizierung erhalten?
Ja. Ein nicht bestandenes Audit führt nicht zum dauerhaften Ausschluss von der Zertifizierung. Bei geringfügigen Abweichungen haben Sie in der Regel 90 Tage Zeit, Korrekturmaßnahmen umzusetzen und Nachweise einzureichen. Bei schwerwiegenden Abweichungen müssen Sie die Mängel beheben und ein Folgeaudit durchführen lassen. Sobald die Zertifizierungsstelle sich davon überzeugt hat, dass alle Abweichungen behoben wurden, kann die Zertifizierung erfolgen.
Worin besteht der Unterschied zwischen einer geringfügigen und einer schwerwiegenden Abweichung?
Eine geringfügige Abweichung ist eine einzelne Lücke, die Ihr ISMS nicht grundlegend beeinträchtigt, wie beispielsweise ein fehlender Datensatz oder ein einzelner Verfahrensfehler. Eine schwerwiegende Abweichung deutet auf einen systemischen Fehler hin, etwa das vollständige Fehlen eines erforderlichen Prozesses oder ein komplettes Versagen bei der Umsetzung von Kontrollen. Geringfügige Abweichungen können durch die Vorlage von Nachweisen behoben werden, während schwerwiegende Abweichungen einen Folgeauditbesuch erfordern.
Wie lange hat man nach einem ISO 27001-Audit Zeit, um festgestellte Abweichungen zu beheben?
Bei geringfügigen Abweichungen gewähren Zertifizierungsstellen in der Regel 90 Tage Zeit für die Umsetzung von Korrekturmaßnahmen und die Vorlage von Nachweisen über deren Behebung. Bei schwerwiegenden Abweichungen gibt es keine feste Frist, jedoch ist nach Abschluss der Behebung ein Folgeaudit erforderlich. Die Gesamtdauer hängt von der Komplexität der Probleme und der Verfügbarkeit Ihrer Zertifizierungsstelle ab, sollte aber bei schwerwiegenden Feststellungen mit 3 bis 6 Monaten gerechnet werden.
Wie hoch sind die Kosten, wenn man ein ISO 27001-Audit nicht besteht?
Die direkten Kosten hängen davon ab, ob ein Folgeaudit erforderlich ist. Zusätzliche Auditorengebühren für einen solchen Besuch können je nach Größe und Umfang Ihres Unternehmens zwischen 2,000 und 10,000 £ oder mehr liegen. Zu den indirekten Kosten zählen der Personalaufwand für die Behebung von Mängeln, mögliche Verzögerungen bei Kundenverträgen und die Opportunitätskosten verlängerter Zertifizierungszeiten. Eine gründliche Vorbereitung im Vorfeld ist deutlich kostengünstiger.
Was sind die häufigsten Gründe für das Scheitern bei ISO 27001-Audits?
Zu den häufigsten Ursachen zählen Dokumentationslücken (fehlende oder unvollständige Richtlinien und Verfahren), unzureichende Risikobewertungen, mangelndes Bewusstsein der Mitarbeiter für ihre Informationssicherheitsverantwortlichkeiten, Diskrepanzen zwischen dokumentierten Prozessen und der tatsächlichen Praxis, unvollständige interne Auditprogramme und fehlende Nachweise über Managementbewertungen. Die meisten dieser Probleme lassen sich durch eine konsequente Pflege des Informationssicherheitsmanagementsystems (ISMS) und eine sorgfältige Auditvorbereitung vermeiden.
Führt das Nichtbestehen eines Überwachungsaudits zum Verlust der ISO 27001-Zertifizierung?
Nicht sofort. Werden bei einem Überwachungsaudit Abweichungen festgestellt, erhalten Sie die Möglichkeit, Korrekturmaßnahmen umzusetzen. Werden jedoch schwerwiegende Abweichungen nicht innerhalb der vereinbarten Frist behoben oder stellt die Zertifizierungsstelle fest, dass Ihr Informationssicherheitsmanagementsystem (ISMS) die Anforderungen der Norm nicht mehr erfüllt, kann Ihre Zertifizierung ausgesetzt oder entzogen werden. Um dies zu vermeiden, ist die kontinuierliche Einhaltung der Vorschriften durch regelmäßige interne Audits und Managementbewertungen unerlässlich.
