Audit-Readiness Schritt für Schritt (DORA, NIS2, ISO)

Vor jedem Audit dasselbe Bild: verteilte Dokumente, veraltete Stände, Wissen in einzelnen Köpfen — und ein Team, das wochenlang Nachweise zusammensucht. Es geht auch anders.

Was prüft ein Audit wirklich?

Nicht, ob eine Doku existiert, sondern ob die Realität ihr entspricht. Audit-Readiness heißt: jederzeit zeigen können, dass Prozesse so gelebt werden, wie sie beschrieben sind. DORA, NIS2, ISO 27001 und TISAX verlangen nachweisbar gelebte Abläufe — nicht nur abgelegte. Der Prüfer fragt nach Evidenz, nicht nach Absicht.

Warum trägt die alte Doku-Sammlung das nicht?

Weil sie ein Idealbild beschreibt, das ab dem Tag der Erstellung von der Praxis abdriftet. Jede Änderung, die niemand nachpflegt, vergrößert die Lücke. Im Termin findet der Prüfer genau diese Differenz zwischen Soll und Ist — und genau dort entstehen Feststellungen, die teuer und unangenehm werden.

Die fünf Schritte zur prüffesten Sicht

1. Anlass und Scope klären. Welcher Standard, welche Prozesse stehen im Fokus? Der drückendste Termin gibt die Reihenfolge vor. Lieber einen Prozess vollständig prüffest als zehn halb.
2. Quellen anbinden. Statt zu dokumentieren, die Systeme anbinden, in denen die Arbeit ohnehin läuft — Mail, Tickets, ERP, Files. Der Aufwand liegt in der Anbindung, nicht im Abtippen.
3. Ist-Stand sichtbar machen. Magnet verdichtet daraus den tatsächlichen Ablauf — inklusive der Schritte, die in keinem Diagramm stehen, aber jeden Tag passieren.
4. Soll-Ist abgleichen. Wo weicht die gelebte Praxis von der Vorgabe ab? Genau hier setzt Verbesserung an, bevor der Prüfer fragt — und aus einer drohenden Feststellung wird eine bereits geschlossene Lücke.
5. Aktuell halten. Weil die Sicht aus den echten Quellen nachzieht, bleibt der Nachweis ohne Pflegeaufwand prüffest. Der nächste Zyklus startet nicht bei null.

Wie fällt der Nachweis „nebenbei” ab?

Wenn die Prozesssicht ohnehin aus den realen Systemen gezogen wird und aktuell bleibt, ist sie per Definition nah an der Realität. Der Audit-Nachweis ist dann kein Sonderprojekt mehr, sondern ein Export aus dem, was ohnehin existiert. Statt einer Sonderschicht vier Wochen vor dem Termin gibt es einen Stand, der jederzeit zeigbar ist.

Was heißt das übers Jahr?

Audit-Readiness wird von einem Projekt zu einem Zustand. Die Prüfung verliert ihren Ausnahmecharakter, das Team gewinnt die Wochen zurück, die sonst in der Vorbereitung versickern — und das Risiko unangenehmer Überraschungen sinkt, weil Soll und Ist nicht mehr auseinanderlaufen.

Vertiefend: Audit-Doku, die wirklich trägt und DORA & NIS2: Prozesse nachweisbar gelebt.