Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 203

5.2.9.2.1 Eröffnungsgespräch
Im Regelfall beginnt der Audit mit einem kurzen Kennenlernen von Auditoren und Audi-
tees. DieBeteiligtenstellensichuntereinandervor, dieAuditorenerläuternnocheinmaldie
Vorgehensweise und das Ziel der Audits - die Überprüfung der Wirksamkeit des DSMS im
auditierten Bereich. An dieser Stelle sollte auch noch einmal darauf hingewiesen werden,
dass nicht Personen auditiert werden, sondern die Organisation, sowie dass die Ergebnisse
der Audits nur in anonymisierter Form in den Audit-Bericht einfließen. Dies schafft die
für eine effektive Auditierung so wichtige vertrauensvolle Atmosphäre zwischen Auditor
und Auditee. Auch der frühe Hinweis auf das „Notizenmachen“ oder das notwendige Ein-
sammeln von Audit-Nachweisen während des Audits beugt späteren Missverständnissen
vor.
5.2.9.2.2 Prüfmethoden
Über geeignete Prüfmethoden werden in den DSMS-Audits die Audit-Nachweise ge-
sammelt, die zur Ableitung der Audit-Ergebnisse erforderlich sind. Wichtig ist bei der
Sammlung von Audit-Nachweisen, nicht nur negative Abweichungen zu erfassen, sondern
unter Berücksichtigung der Adressaten des Audit-Berichtes auch positive Übereinstim-
mungen mit Audit-Kriterien zu erfassen: Damit lassen sich auch Best Practices für andere
Abteilungen ableiten. Die einzelnen Prüfungsschritte wurden idealerweise bereits in der
Audit-Vorbereitung (Audit-Agenda) in einzelne Tagesordnungspunkte sowie in eine ent-
sprechend strukturierte Audit-Checkliste gebracht. Die Checkliste sollte dabei nur als
Richtschnur betrachtet werden und der Auditor sollte auch spontan Fragen stellen, je
nachdem, was er für erforderlich hält.
• Die wichtigste Prüfmethode stellen die Interviews der Auditees dar. Bei diesen Inter-
views ist die psychologische Komponente von großer Bedeutung, es handelt sich bei
einem Audit schließlich immer um eine Testsituation. Es hat sich als vorteilhaft er-
wiesen, dass die lokalen DSMS-Akteure bei den Interviews mit den unabhängigen und
deshalb auch notwendigerweise abteilungsfremden Auditoren quasi als „Verbündeter“
derAuditeesstetsimRaumesind. BeidenInterviewsistbesondersdieRolledesAuditees
im DSMS zu berücksichtigen. Ist der Auditee ein Mitarbeiter, so kann der Auditor ihn
etwa darum bitten, anhand eines praxisbezogenen Beispiels konkret seine Tätigkeiten
in einem bestimmten Prozess zu schildern. Als Audit-Nachweis der Interviews dienen
die Gesprächsnotizen, die vom Auditor während des Interviews angefertigt werden.
• Weiterhin werden stichprobenhaft Dokumente und Aufzeichnungen eingesehen .
DiesbetrifftnebeninhaltlichenAspekten(AngemessenheitderADV-Regelungen)auch
formelle Aspekte, besonders wichtig ist die Überprüfung einer angemessenen Doku-
mentenverwaltung (Abschn. 5.2.4.3.4). Dabei ist nicht nur zu prüfen, ob Unterlagen
entsprechend den Vorgaben der Organisation verwaltet werden, sondern auch, ob diese
Vorgaben den Audit-Kriterien entsprechen. Als Audit-Nachweis sind neben Notizen
Kopien der einschlägigen Unterlagen möglich, meist reicht jedoch ein entsprechender
Verweis aus.