Internrevision av ISO 27001
Standarden kräver internrevision vid planerade intervall, och revisorn ska vara objektiv och opartisk. Den som byggt ledningssystemet kan inte granska det. Vi gör revisionen mot hela standarden och lämnar en rapport som håller för certifieringsorganet.
Vad revisionen omfattar
Hela standarden, i den version som gäller: ISO/IEC 27001:2022 inklusive Amendment 1:2024, som lade klimatfrågan i klausul 4.1 och 4.2.
25 krav, från organisationens förutsättningar till förbättring.
37 organisatoriska, 8 personella, 14 fysiska och 34 tekniska.
Intervjuer, dokumentgranskning, stickprov och rundvandring.
Kontrollerna granskas mot er Statement of Applicability. Har ni uteslutit kontroller prövar vi att uteslutningen är motiverad — en omotiverad uteslutning är en avvikelse i sig.
Kontrollera vilken version er nuvarande dokumentation följer. ISO 27001:2013 hade 114 kontroller i bilaga A5 till A18. Den strukturen ersattes 2022 av 93 kontroller i fyra teman. Revisionsunderlag och mallar byggda på 2013 års annex förekommer fortfarande, och de håller inte i dag.
Det som oftast blir en avvikelse
- 6.3 Planering av ändringar — nytt i 2022-versionen och saknas ofta helt.
- 8.13 Säkerhetskopiering — kopior tas, men återläsningen har aldrig testats. Att backup körs är inte bevis.
- 5.21 Leverantörskedjan — krav ställs i avtal men följs inte upp.
- 9.1 Övervakning och mätning — siffror samlas in men analyseras inte.
- 10.1 och 10.2 — bytte plats i 2022-versionen. I ISO 22301 är ordningen den omvända, vilket ställer till det för den som hanterar båda.
Så går revisionen till
Två veckor innan
Revisionsplan, underlag begärs in, deltagare bokas. Vi läser innan vi kommer.
Två dagar på plats
Intervjuer med dem som utför arbetet, inte bara med dem som beskriver det.
Innan vi lämnar
Preliminära iakttagelser gås igenom. Sakfel rättas där, inte efteråt.
Inom tio arbetsdagar
Med avvikelselista, mognadsprofil och en genomgång för ledningen.
De som intervjuas får instruktionen i förväg: berätta vad du gör, och visa att du gör det. Revisionen går dubbelt så fort när de vet att den andra frågan kommer.
Vad ni får
- Revisionsrapport med avvikelser klassade som större eller mindre, och observationer hållna åtskilda från avvikelser.
- Mognadsprofil per klausul och per kontrollområde i bilaga A.
- Åtgärdsförslag med föreslagen ansvarig och en rimlig ordning att ta dem i.
- Genomgång för ledningen, i ett format som går att lägga direkt i ledningens genomgång.
- Underlag som håller för certifieringsorganet — revisionsplan, spårbarhet till bevis och revisorns oberoende dokumenterat.
Två dagar på plats är utgångspunkten för ett ledningssystem med ett fåtal verksamhetsställen. Fler enheter, fler standarder eller ett brett tillämpningsområde tar längre tid. Vi hjälper er att få rätt scope.
Internrevision eller gapanalys?
| Internrevision | Gapanalys | |
|---|---|---|
| Syfte | Uppfylla kravet i klausul 9.2 | Avgöra om och när ni ska certifiera er |
| Resultat | Formella avvikelser, klassade | Luckor med uppskattad insats |
| Passar | Certifierad eller på väg dit | Den som ännu inte bestämt sig |
Är ni inte på väg mot certifiering kostar en revision mer än den ger. Då är en gapanalys rätt insats, och den räknas av om ni senare går vidare.
Är ni på väg mot certifiering?
Är ni det är internrevisionen obligatorisk. Är ni det inte är en gapanalys nästan alltid rätt insats i stället. Ett första samtal tar trettio minuter och kostar ingenting.
Boka ett kostnadsfritt samtal