ISO 22301 Lead Auditor

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. Durchführung eines ISO-22301-Audits

   Eine Organisation legt als Kriterium fest, dass höchstens 10 Prozent des Personals verspätet zur Sensibilisierungsschulung kommen dürfen. Der Auditor verifiziert, dass 5 von 100 Beschäftigten verspätet waren. Welche Schlussfolgerung ist anhand dieses festgelegten Kriteriums gerechtfertigt?

   1. Eine Verbesserungsmöglichkeit, die als Feststellung einer Nichtkonformität dokumentiert werden muss
   2. Eine wesentliche Nichtkonformität, weil die Schulung sicherheitskritisch ist
   3. Eine untergeordnete Nichtkonformität, weil Personal verspätet war
   4. Die verifizierte Quote erfüllt das festgelegte Kriterium; anhand der vorliegenden Fakten begründet die Verspätung keine Nichtkonformität gegen dieses Kriterium.

2. Vorbereitung eines ISO-22301-Audits

   Wie unterscheiden sich Durchführbarkeit und Auditumfang?

   1. Die auditierte Organisation legt die Durchführbarkeit, der Fachexperte allein den Auditumfang fest
   2. Durchführbarkeit und Auditumfang sind zwei Bezeichnungen für dasselbe Konzept und können austauschbar verwendet werden
   3. Die Durchführbarkeit klärt, ob das Audit überhaupt durchgeführt werden kann, während der Auditumfang Grenzen und Ausmaß des zu auditierenden Gegenstands festlegt
   4. Die Durchführbarkeit listet zu prüfende Abschnitte der ISO 22301 auf, während der Auditumfang bestimmt, ob das Audit durchgeführt werden kann

3. Steuerung eines ISO-22301-Auditprogramms

   Eine zertifizierte Organisation nimmt eine neue priorisierte Dienstleistung auf und beantragt, diese in das bestehende Zertifikat einzubeziehen. Gemäß ISO/IEC 17021-1 muss die Zertifizierungsstelle:

   1. das bestehende Zertifikat aussetzen, bis die neu aufgenommene priorisierte Dienstleistung wieder entfernt wurde
   2. den Antrag prüfen und die zur Entscheidung über die Erweiterung erforderliche Audittätigkeit festlegen, die mit einem Überwachungsaudit verbunden werden kann
   3. das Zertifikat ohne jegliche Bewertung oder Audit automatisch auf die neue Dienstleistung erweitern
   4. ein vollständig neues Erstzertifizierungsaudit von Anfang an durchführen, einschließlich eines neuen Audits der Stufe 1 und der Stufe 2 sowie einer neuen Zertifizierungsentscheidung

4. Grundlegende Auditkonzepte und -prinzipien

   Das Auditteam und die auditierte Organisation vertreten zu einer Auditfeststellung unterschiedliche Auffassungen, die nicht beigelegt werden können. Nach dem Grundsatz der sachlichen Darstellung sollte das Auditteam:

   1. die Meinungsverschiedenheit verschweigen und nicht dokumentieren
   2. wahrheitsgemäß und genau berichten und die ungelösten unterschiedlichen Auffassungen dokumentieren
   3. die strittige Feststellung löschen, damit der Bericht nur eine abgestimmte Sicht enthält
   4. die Feststellung durch den Wortlaut der auditierten Organisation ersetzen

5. Grundlagen und Konzepte eines BCMS

   Ein Unternehmen hat Evakuierungsanweisungen und tägliche Datensicherungen getestet, verfügt aber weder über eine Kontinuitätsleitlinie noch über festgelegte Ziele, eine Auswirkungsanalyse, eine Leistungsbewertung oder einen Verbesserungsprozess. Welche Schlussfolgerung ist am besten belegt?

   1. Das Unternehmen verfügt über ein vollständiges BCMS, weil zwei beliebige operative Schutzmaßnahmen als Nachweis ausreichen, dass ein Managementsystem besteht und wirksam bleibt.
   2. Das Unternehmen verfügt über ein zertifiziertes BCMS, weil Evakuierungs- und Sicherungsmaßnahmen Konformität belegen, ohne dass Regelungen für Führung oder Bewertung erforderlich sind.
   3. Das Unternehmen verfügt über nützliche kontinuitätsbezogene Maßnahmen, doch die Nachweise belegen nicht die koordinierten Managementsystemelemente, die für ein vollständiges BCMS erforderlich sind.
   4. Das Unternehmen verfügt über keinerlei Business-Continuity-Fähigkeit, weil einzelne Schutzmaßnahmen niemals zu Reaktion, Wiederanlauf oder zum Schutz priorisierter Tätigkeiten beitragen können.

6. Anforderungen an ein BCMS

   Bei der Prüfung des Kontexts der Organisation sieht der Auditor, dass die Organisation die „zunehmende Häufigkeit von Cyberangriffen in der Branche" unter den von ihr bestimmten Themen aufführt. In welchem Abschnitt wird dies am angemessensten als bestimmtes Thema erfasst?

   1. Abschnitt 4.1 als ein für das BCMS relevantes externes Thema
   2. Abschnitt 10.2 als Maßnahme zur fortlaufenden Verbesserung
   3. Abschnitt 8.2.2 als priorisierte Tätigkeit
   4. Abschnitt 9.1 als ein der Leitung berichtetes Überwachungs- und Messergebnis

7. Abschluss eines ISO-22301-Audits

   In der Abschlussbesprechung bestreitet die auditierte Organisation eine wesentliche Nichtkonformität, die festgestellt wurde, weil die Business-Continuity-Pläne nie erprobt worden sind. Wie sollte der Auditteamleiter reagieren?

   1. Die Nichtkonformität aus dem Auditbericht entfernen, weil die auditierte Organisation sie nicht akzeptiert.
   2. Einen konkreten Übungsplan empfehlen, den die auditierte Organisation zur Behebung des Problems übernehmen sollte.
   3. Die wesentliche Nichtkonformität zu einer untergeordneten herabstufen, damit die Abschlussbesprechung einvernehmlich endet und die auditierte Organisation den Auditbericht freigibt.
   4. Die der Nichtkonformität zugrunde liegende Anforderung erläutern und die Einstufung beibehalten, sofern die auditierte Organisation keinen neuen objektiven Nachweis vorlegt.

8. Durchführung eines ISO-22301-Audits

   Während des Audits der Stufe 1 bei Northbridge Logistics schließt der dokumentierte Anwendungsbereich des BCMS ein regionales Depot aus; die genehmigte Business-Impact-Analyse (BIA) weist dieses Depot jedoch als wesentlich für zwei priorisierte Lieferungen aus. Welche Maßnahme des Auditteamleiters ist am besten vertretbar?

   1. Den dokumentierten Anwendungsbereich als maßgeblichen Nachweis akzeptieren und alle Fragen zum Depot bis zum ersten Überwachungsaudit zurückstellen.
   2. Die Unstimmigkeit anhand der anwendbaren BCMS-Kriterien untersuchen, mit dem Auftraggeber erörtern und ihre Auswirkung auf die Bereitschaft für Stufe 2 dokumentieren.
   3. Den Zertifizierungsbereich um das Depot erweitern, weil dessen priorisierte Tätigkeiten zeigen, dass der dokumentierte Ausschluss unbegründet ist.
   4. Während Stufe 1 eine wesentliche Nichtkonformität einstufen, weil die Beschreibungen auf unzureichende Steuerung des Anwendungsbereichs des BCMS hindeuten.

9. Vorbereitung eines ISO-22301-Audits

   Wer legt bei einem Drittparteienaudit zur Zertifizierung eines BCMS den Auditumfang und die Auditkriterien fest?

   1. Die Zertifizierungsstelle, die den Auditumfang und die Auditkriterien nach Rücksprache mit dem Auftraggeber festlegt
   2. Der Business-Continuity-Manager der auditierten Organisation, der den Auditumfang an interne Präferenzen anpasst
   3. Die Akkreditierungsstelle, welche die Zertifizierungsstelle akkreditiert
   4. Der dem Auditteam zugeteilte zuständige Fachexperte

10. Steuerung eines ISO-22301-Auditprogramms

    Beim Zertifizierungsaudit des Vorjahres wurde eine untergeordnete Nichtkonformität festgestellt. Welche Aussage trennt die Verantwortung der auditierten Organisation von der Steuerung der Auditfolgemaßnahmen angemessen?

    1. Das Auditprogramm steuert die vereinbarten Auditfolgemaßnahmen und berücksichtigt deren Status; die auditierte Organisation bleibt für Korrekturen und Korrekturmaßnahmen sowie die Nutzung relevanter Auditergebnisse in ihrer Managementbewertung verantwortlich
    2. Untergeordnete Nichtkonformitäten erfordern keine Folgemaßnahmen; deshalb ist niemand für ihre weitere Behandlung verantwortlich
    3. Die Akkreditierungsstelle ist dafür verantwortlich, die Korrekturmaßnahmen der auditierten Organisation bis zum Abschluss zu verfolgen
    4. Das Marketing der auditierten Organisation verantwortet sowohl die Behandlung der Nichtkonformität als auch die Auditfolgemaßnahmen

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.