Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 188

Führen mehrere Personen einen DSMS-Audit durch, ist auf eine funktionierende Zusam-
menarbeit besonderen Wert zulegen. Die Effektivität der Audits selbst wird dadurch stark
verbessert.
5.2.8.2 Audit-Cycle als systematische Abfolge der Prüfaktivitäten
Neben den individuellen Möglichkeiten und Präferenzen zur Koordinierung der „Check“-
und „Act“-Aktivitäten im DSMS bietet sich eine dreistufige Vorgehensweise an:
1. Zunächst werden interne Audits abgehalten, in denen das Unternehmen selbst (1st-
Party-Audit) die Ergebnisse der Do-Phase mit den Soll-Vorgaben aus der Plan-Phase
vergleicht und daraus Verbesserungspotential ableitet.
2. Im nächsten Schritt werden die Management Reviews durchgeführt, um das im Rah-
men der internen Audits ermittelte Verbesserungspotential mit den Verantwortlichen
zu besprechen und auch auf dieser Ebene Verbesserungsmaßnahmen zu beschließen.
Daraus folgt auch, dass die Planung der Management Reviews nicht losgelöst von
den Audits durchgeführt werden kann und somit auch unter den Oberbegriff der
Audit-Planung fällt.
3. Schließlich werden im dritten Schritt nach (dem Beginn) der Umsetzung der Ver-
besserungspotentiale die externen Audits durch einen Dritten (3rd-Party-Audit;
evtl. 2nd-Party-Audit) ausgeführt, für welche auf diese Weise das im Rahmen der
Erstimplementierung bestmögliche DSMS herangezogen werden kann.
Diese Vorgehensweise hat sich nicht nur für das DSMS bewährt, sondern wird aufgrund
derbeschriebenenZusammenhängeregelmäßigauchfürandereManagementsystemevor-
genommen. Generell baut das DSMS auf der gleichen Vorgehensweise wie die bekannten
ISO-Managementsysteme auf, entsprechend lassen sich bestehende Strukturen und Best
Practices dieser Managementsysteme für Audits und Review auch auf das DSMS übertra-
gen. Nicht zuletzt verlangen die meisten Anforderungskataloge an ein Managementsystem
die Durchführung von internen Audits und Management Reviews, sodass diese zwingend
vor einer Zertifizierung des Managementsystems durchgeführt werden müssen. Folgt man
dieser Vorgehensweise und beachtet den iterativen Charakter des DSMS, so lässt sich auf
diese Weise ein Kreislauf an Tätigkeiten erstellen, der sich bei jedem Durchlauf des DSMS
wiederholen lässt: Dies ist der sogenannte „Audit-Cycle“ (Abb. 5.24 ).
Für diesen Praxisleitfaden wurden sieben Schritte für den Audit-Cycle ausgewählt, die
wie folgt zu verstehen sind:
1. Zunächst ist unternehmensintern eine erste Entwurfsfassung des Audit-Programms zu
erstellen, welche zunächst eine grobe Zeitplanung der Audits und Reviews aufstellt.
Dabei ist das oben vorgestellte dreistufige Schema zu berücksichtigen.
2. Werden externe Audits angestrebt, handelt es sich dabei mit dem Ergebnis der Zer-
tifikatsausgabe um den letzten Meilenstein der DSMS-Implementierung, auf den sich
jede planerische Tätigkeit auszurichten hat. Da diese externen Audits jedoch zu großen