Das formelle Zertifizierungsaudit umfasst im Wesentlichen die beiden folgenden Audit-Stufen:
Stufe 1 Audit - "Dokumentenprüfung": Dieses Audit stellt sicher, dass die Organisation über die erforderliche Dokumentation für ein funktionierendes ISMS verfügt.
Stufe 2 Audit - "Zertifizierungsaudit": Dieses Audit dient als Nachweis, dass die Organisation das ISMS gemäß dem Standard betreibt. Dabei wird überprüft, ob die dokumentierten Richtlinien, Verfahren und Standards implementiert, betriebsbereit und wirksam sind. Das Evidenz-Audit wird stichprobenartig durchgeführt.
Darüber hinaus sind sowohl das Überwachungs- als auch das Rezertifizierungsaudit Teil des Auditprozesses im Rahmen der langfristigen, formalen ISO 27001-Zertifizierung:
Überwachungsaudit - Auch als "Periodisches Audit" bekannt, werden diese Audits in regelmäßigen Abständen zwischen Zertifizierungs- und Rezertifizierungsaudits durchgeführt und konzentrieren sich auf einen oder mehrere Bereiche des ISMS.
Rezertifizierungsaudit - Dieses Audit wird durchgeführt, bevor der Zertifizierungszeitraum abläuft (3 Jahre für UKAS-akkreditierte Zertifikate) und ist eine gründlichere Überprüfung als bei den Überwachungsaudits. Es deckt alle Bereiche des Standards ab.
Zusätzlich zu dem oben genannten formellen Zertifizierungsaudit-Programm kann es erforderlich sein, dass Sie sich einem externen Audit durch eine interessierte dritte Partei wie einem Kunden, Partner oder Regulierungsbehörde unterziehen möchten. Die relevante Partei wird Ihnen in der Regel einen Auditplan zur Verfügung stellen und im Anschluss einen Auditbericht erstellen, der in Ihre ISMS-Managementbewertung einfließen sollte.