Einen Prüfer mit passendem Umfang und echter Unabhängigkeit wählen

Die Zusammenarbeit mit einem Prüfer funktioniert am besten, wenn beide Seiten System, Geltungsbereich und Nachweiserwartungen verstehen, bevor die Prüfung beginnt. Für die Geschäftsführung ist die Wahl dieser Zusammenarbeit eine Beschaffungs- und Verantwortungsentscheidung: Beantwortet der resultierende Nachweis die Frage des Kunden, und kann die Organisation eine glaubwürdige Prüfung unterstützen?

Der Preis ist wichtig, doch Qualifikation, Unabhängigkeit und ein brauchbarer Geltungsbereich kommen zuerst. Wer den falschen Auftrag einkauft, erhält womöglich ein Dokument, das den Dienst, den Sie verkaufen müssen, nicht abdeckt.

Das Prüfungsziel festlegen, bevor Angebote angefragt werden

Verfassen Sie ein kurzes Auftragsbriefing mit dem geschäftlichen Ziel, den vorgesehenen Empfängern, der Dienstgrenze, den Standorten, wesentlichen Lieferanten, dem gewünschten Arbeitsergebnis und der Frist. Unterscheiden Sie eine vertragliche Anforderung eines Kunden von einer internen Präferenz; beide können unterschiedliche Nachweise erfordern.

ISO 27001 betrifft ein Informationssicherheitsmanagementsystem mit festgelegtem Geltungsbereich. Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle, nicht durch ISO. SOC 2 ist ein Prüfbericht (Attestation Report), keine Zertifizierung. Branchenspezifische Verfahren haben eigene Regelungen für Anbieter und Bewertungen: TISAX etwa ist ein Bewertungs- und Austauschmechanismus und kein Zertifikat nach dem Vorbild von ISO.

Behandeln Sie diese Ergebnisse nicht als austauschbar und gehen Sie nicht davon aus, dass sie die Einhaltung gesetzlicher Vorgaben belegen. Fragen Sie den vorgesehenen Empfänger, ob der geplante Geltungsbereich und das Arbeitsergebnis seine Anforderung erfüllen, bevor Sie Mittel binden.

Geben Sie allen Firmen auf der Shortlist dasselbe Briefing. Vergleichbare Eingaben machen Unterschiede bei Umfang, Aufwand, Ausschlüssen und Preis sichtbar.

Fünf Fragen stellen, die den tatsächlichen Auftrag offenlegen

1. Was genau prüfen Sie, und wer ist qualifiziert, das Ergebnis auszustellen?

Fordern Sie den vorgeschlagenen Geltungsbereich schriftlich an, einschließlich juristischer Personen, Dienste, Standorte, Remote-Betrieb und ausgelagerter Abhängigkeiten. Fragen Sie, wie Lieferanten behandelt werden und welche Verantwortlichkeiten bei Ihnen bleiben.

Prüfen Sie bei einer akkreditierten ISO-Zertifizierung die Akkreditierung der Zertifizierungsstelle und deren Geltung für die betreffende Norm anhand der Aufzeichnungen der Akkreditierungsstelle; ein Logo allein reicht nicht aus. Klären Sie bei SOC 2 die verantwortliche CPA-Firma, die einschlägige Zulassung, die Verantwortung für die Unterzeichnung und die anwendbaren Regelungen zur Qualitätsprüfung. Fordern Sie aktuelle stützende Unterlagen an, statt sich auf Vertriebsnachweise zu verlassen.

Lernen Sie die vorgesehene Auftragsleitung kennen. Fragen Sie nach vergleichbaren Technologie-Stacks, Unternehmensgrößen, Branchen und Outsourcing-Modellen. Einschlägige Erfahrung sollte Missverständnisse verringern, nicht den Prüfungsmaßstab senken. Referenzen können helfen, Kommunikation und Disziplin in der Umsetzung zu beurteilen, ohne vertrauliche Befunde anderer Kunden anzufordern.

2. Wie schützen Sie die Unabhängigkeit, wenn Vorbereitungsunterstützung im Spiel ist?

Lassen Sie sich die Prüfung von Interessenkonflikten, Beziehungen zu Beratern oder Vermittlungspartnern und Beschränkungen bei Beratungsleistungen erläutern. Klären Sie, welche Vorbereitungsleistungen nach den Unabhängigkeitsregeln des Auftrags zulässig sind.

Es gibt einen wesentlichen Unterschied zwischen der Erläuterung einer Nachweisanfrage und dem Entwerfen oder Betreiben der Kontrollen, die später geprüft werden. Fragen Sie, wer etwaige Readiness-Arbeiten durchgeführt hat und ob dies Einschränkungen für den vorgesehenen Prüfer begründet. Trennen Sie, wo nötig, Anbieter für Vorbereitung und unabhängige Prüfung.

Lehnen Sie Versprechen eines garantierten uneingeschränkten Berichts oder Zertifikats ab. Vereinbaren Sie, wie Meinungsverschiedenheiten eskaliert werden und wie Befunde durch Nachweise gestützt werden. Die Leitung bleibt für Kontrollen und Erklärungen verantwortlich; der Prüfer bleibt für sein unabhängiges Urteil verantwortlich.

3. Welche Nachweise und welchen Zeitraum prüfen Sie?

Fragen Sie, ob der Auftrag einen Stichtag oder den Betrieb über einen Zeitraum prüft. Klären Sie bei SOC 2 Typ I gegenüber Typ II und die vorgesehenen Berichtsdaten. Unterscheiden Sie bei einer ISO-Zertifizierung die Stufen der Erstbewertung von späteren Überwachungs- und Rezertifizierungsaudits.

Fordern Sie eine erste Übersicht der Nachweise an, nicht das Versprechen, dass eine feste Checkliste den Erfolg garantiert. Besprechen Sie Interviews, Stichproben, Vor-Ort-Besuche und Nachweise externer Anbieter. Fragen Sie, wie automatisierte Exporte auf Vollständigkeit und Relevanz geprüft werden; ein Dashboard zu besitzen ist nicht dasselbe wie einen wirksamen Betrieb nachzuweisen.

Klären Sie, was geschieht, wenn die Bereitschaft geringer ist als erwartet: Verschiebung, geänderter Geltungsbereich, zusätzliche Arbeit oder Befunde. Klären Sie die Prüfung von Korrekturmaßnahmen, Folgenachweise und wer über den abschließenden Bericht oder die Zertifizierung entscheidet.

4. Welcher Zeitplan und welche Kosten hängen von unserem Handeln ab?

Trennen Sie Verfügbarkeit des Prüfers, Vorbereitung der Nachweise, Feldarbeit, Stellungnahmen der Leitung, unabhängige Überprüfung und Ausstellung. Fragen Sie, welche Termine zugesagt werden können und welche von ausreichenden Nachweisen oder der Klärung von Befunden abhängen. Ein bevorzugtes Ausstellungsdatum ist keine bedingungslose Garantie.

Fordern Sie eine schriftliche Aufschlüsselung an mit:

• Festpreisen, Tagessätzen und Annahmen zum Prüfungsaufwand.
• Reisekosten, zusätzlichen Standorten und Änderungen des Geltungsbereichs.
• Prüfung von Korrekturmaßnahmen, Nacharbeiten und Terminverschiebungen.
• Wiederkehrenden Prüfungskosten und Stornierungsbedingungen.

Planen Sie auch die interne Arbeitszeit ein. Ein günstigeres Angebot, das notwendige Arbeit ausschließt, ist kein sinnvoller Vergleich. Lassen Sie die verantwortliche Führungskraft sowohl die Ausgaben als auch die betriebliche Kapazität freigeben, die zur Unterstützung des Auftrags benötigt wird.

5. Wie funktionieren Austausch von Nachweisen und Kommunikation?

Vereinbaren Sie den Kanal für Anfragen, akzeptierte Formate, Verantwortliche für Antworten und den Eskalationsweg. Fragen Sie, ob der Prüfer Ihren Vorbereitungsarbeitsbereich nutzen kann oder Exporte in sein eigenes System benötigt. Klären Sie Zugriffsberechtigungen, Aufbewahrung, Löschung und den Umgang mit sensiblem Material.

Bevorzugen Sie ein kontrolliertes Anfragenprotokoll gegenüber verstreuten E-Mail-Anhängen. Jede Anfrage sollte eine Kennung, eine verantwortliche Person, ein Fälligkeitsdatum, eine Antwort und offene Fragen haben. Vereinbaren Sie, wie überarbeitete Nachweise von früheren Versionen unterschieden werden und wie Schwärzungen den nötigen Kontext erhalten können. Kompatible Werkzeuge erleichtern die Koordination; sie ersetzen weder die Qualität der Nachweise noch die unabhängige Prüfung.

Praxisbeispiel: die Wahl zwischen zwei Angeboten

Angenommen, zur Veranschaulichung, ein Cloud-Softwareunternehmen benötigt für eine Kundenverlängerung einen SOC 2-Typ-II-Bericht, der seinen Produktivdienst abdeckt. Die Entwicklung arbeitet remote, und das Hosting ist ausgelagert.

Ein Angebot sieht einen früheren Start vor, lässt aber Berichtszeitraum, Behandlung der Lieferanten und Zeitplan der abschließenden Überprüfung offen. Ein anderes legt diese Grenzen fest und benennt die verantwortliche Auftragsleitung, beginnt aber später.

Die Leitung sollte zunächst den vom Kunden geforderten Berichtszeitraum bestätigen und klären, ob die spätere Lieferung akzeptabel ist. Dann sollte sie bei der ersten Firma um Klarstellung bitten und gleichwertige Geltungsbereiche vergleichen. Passt keiner der Zeitpläne, besprechen Sie mit dem Kunden eine Zwischenlösung für den Nachweis, statt stillschweigend einen anderen Bericht einzukaufen. Dokumentieren Sie die Begründung der Auswahl, die Abhängigkeiten und das akzeptierte Lieferrisiko.

Die Übergabe prüfbar machen

Stellen Sie vor der Unterzeichnung eine Entscheidungsvorlage zusammen: Auftragsbriefing, verifizierte Nachweise der Qualifikation des Anbieters, Erläuterung zur Unabhängigkeit, Geltungsbereich, Annahmen zu den Gebühren, Abhängigkeiten im Zeitplan, Regelungen zum Austausch von Nachweisen und Freigabe durch die Leitung. Halten Sie offene Fragen sichtbar, statt sie in der Korrespondenz des Einkaufs zu verstecken.

Secani verknüpft Anforderungen, Verantwortliche, Nachweise, Aufgaben und Prüfentscheidungen. Das Team kann stützendes Material den relevanten Maßnahmen und Systemen zuordnen, Lücken dokumentieren und menschliche Freigaben sowie den Quellkontext bewahren. So entsteht ein schlüssiger Vorbereitungskontext, den Sie mit einem unabhängigen Prüfer besprechen können; das Urteil des Prüfers bestimmt er nicht.

Nutzen Sie unseren Leitfaden zur Audit-Readiness, um zu testen, ob die Organisation eine Anforderung über Umsetzung und Nachweise hinweg verfolgen kann. Senden Sie dann dasselbe abgegrenzte Briefing an die Anbieter auf der Shortlist und klären Sie wesentliche Unterschiede, bevor Sie sich für einen entscheiden.