ISO 27001 Lead Auditor i 2026: ILT, 2022-revisionen og praktisk auditkompetence

En ISO 27001-audit i 2026 er en systematisk vurdering af, om ledelsessystemet efter 2022-udgaven fungerer i praksis. For et dansk sikkerhedsteam få uger før den interne audit betyder det, at auditlederen skal afgøre, om risici, Statement of Applicability og den faktiske drift hænger sammen.

ISO 27001 Lead Auditor-certificering handler om at kunne planlægge, gennemføre, rapportere og følge op på audit af et ledelsessystem for informationssikkerhed, ikke blot om at kende standardens kontroller. Rollen kræver forståelse for ISO/IEC 27001:2022, auditprincipper, risikobaseret vurdering og den professionelle uafhængighed, der gør en audit troværdig.

I Danmark er interessen vokset i takt med, at informationssikkerhed er blevet et ledelses- og reguleringsspørgsmål. NIS2, krav fra kunder og modenhed i leverandørstyring betyder, at flere organisationer skal kunne forklare, hvorfor deres ISMS dækker de rigtige processer, systemer og leverandørrelationer. En lead auditor bliver derfor ofte vurderet på evnen til at stille præcise spørgsmål og dokumentere konklusioner, ikke på evnen til at recitere kontrolnavne.

Hvad 2022-revisionen betyder for auditørens arbejde

ISO/IEC 27001:2022 ændrede ikke grundideen om et risikobaseret ISMS, men revisionen har praktiske konsekvenser for auditplanlægning. Annex A blev omstruktureret i færre kontroltemaer, og flere kontroller afspejler nyere sikkerhedsarbejde, herunder trusselsinformation, cloud-brug, konfigurationsstyring og data leakage prevention. Det gør det sværere at behandle Annex A som en mekanisk tjekliste.

For en auditor betyder det, at gennemgangen af Statement of Applicability skal kobles tydeligere til risikovurderingen. Hvis en organisation har fravalgt en kontrol, skal begrundelsen kunne forstås ud fra kontekst, risici og scope. Hvis en kontrol er valgt, skal der være evidens for, at den fungerer i praksis, og ikke kun at der findes en politik eller et skærmbillede.

EU’s øgede fokus på cyberrobusthed påvirker også auditspørgsmålene. NIS2 kan eksempelvis føre til mere opmærksomhed på hændelseshåndtering, ledelsesansvar, leverandørstyring og kontinuitet. Auditoren bør dog undgå at indføre skyggekrav i en ISO 27001-audit; regulatoriske krav kan være relevante som kontekst, men auditkriterierne skal være klart aftalt og adskilt fra generel rådgivning.

Hvordan en lead audit forløber i praksis

En lead auditor starter sjældent med interviewet. Det praktiske arbejde begynder med scope, auditkriterier, tidligere fund, risikoregister, Statement of Applicability og relevante processer. Her afgøres det, hvilke områder der skal prøves af, hvilke roller der skal interviewes, og hvilken evidens der sandsynligvis kan be- eller afkræfte, at ISMS’et virker.

Under selve auditten er interviewteknik afgørende. Gode spørgsmål er åbne nok til at afdække praksis, men præcise nok til at kunne forbindes med krav, risici og evidens. En auditleder spørger for eksempel ikke kun, om adgangsrettigheder gennemgås; vedkommende undersøger, hvem der gør det, hvor ofte det sker, hvordan undtagelser håndteres, og om stikprøver viser, at processen efterleves.

Triangulering er en af de mest nyttige teknikker. Et interviewudsagn sammenholdes med dokumentation, systemlogik, tickets, risikobeslutninger eller driftsregistreringer. Hvis tre kilder peger i samme retning, bliver auditkonklusionen stærkere. Hvis de peger i forskellige retninger, er det ofte dér, de mest værdifulde observationer opstår.

Rapporteringen skal være nøgtern og sporbar. En afvigelse bør beskrive kravet, den konkrete evidens og hvorfor evidensen viser manglende opfyldelse. Observationer og forbedringsforslag bør adskilles fra afvigelser, så organisationen kan prioritere uden at blande auditkonklusioner med konsulentråd.

Typiske fejl i forberedelsen

Den mest almindelige faglige faldgrube er at læse Annex A som en fuld compliance-tjekliste. En moden audit vurderer, om kontrollerne passer til organisationens risici, ikke om alle tænkelige sikkerhedsaktiviteter findes i samme form hos alle virksomheder. Det er især vigtigt efter 2022-revisionen, hvor kontrolstrukturen er mere tematisk og tættere knyttet til moderne driftsmiljøer.

En anden fejl er at lave en for svag stikprøveplan. Hvis auditten kun gennemgår de processer, som organisationen selv har forberedt, bliver der for lidt uafhængig vurdering. En bedre plan kombinerer kritiske systemer, risikofyldte leverandører, nylige ændringer, tidligere afvigelser og processer, hvor der ofte opstår afstand mellem politik og praksis.

Den tredje fejl er at blande implementeringsrollen og auditrollen sammen. En auditor kan forklare auditkriterier og afklare evidensbehov, men bør være varsom med at designe løsningen under auditten. Uafhængighed, etik og tydelig rollefordeling betyder meget, især når audit udføres internt af personer, der også arbejder med sikkerhedsforbedringer.

Instruktørledet træning eller selvstudie

Selvstudie kan være passende for erfarne sikkerheds- og compliancefolk, der allerede har arbejdet med ISMS, interne audits og risikostyring. Det giver fleksibilitet og kan fungere godt, når målet primært er at repetere standardstruktur, begreber og eksamensformat. Ulempen er, at auditadfærd, interviewdisciplin og vurdering af evidens er vanskelige at træne alene.

Instruktørledet træning giver mere struktur og direkte feedback, hvilket især hjælper, når deltageren skal øve auditplanlægning, interviews, fundformulering og rapportering. Det er også her, forskellen mellem at kende ISO 27001 og at kunne lede en audit bliver tydelig. I en undervisningssituation kan deltageren blive udfordret på uklare fund, svage stikprøver eller for hurtige konklusioner, før de samme fejl opstår i en virkelig audit.

Den mest praktiske beslutning afhænger derfor af læringsmålet. Hvis målet er at bestå en eksamen på baggrund af eksisterende erfaring, kan selvstudie være tilstrækkeligt. Hvis målet er at kunne fungere sikkert som auditleder i møder med ledelse, systemejere og procesansvarlige, vil et Readynez ISO 27001 Lead Auditor-kursus give bedre mulighed for at øve den del af rollen, der ikke kan læres fra en standardtekst alene.

Fra kursus til den første rigtige audit

Den største værdi af certificering opstår først, når læringen omsættes til en audit, der forbedrer organisationens beslutningsgrundlag. Efter endt træning bør deltageren derfor arbejde med egne skabeloner, auditspørgsmål og rapporteringsform, så metoden passer til organisationens scope og risikoprofil. En god rapport er ikke lang for længdens skyld; den gør det muligt for ledelsen at forstå risiko, prioritet og næste handling.

1. De første 30 dage bør bruges på at gennemgå ISMS-scope, SoA, risikoregister og tidligere auditfund.
2. De næste 60 dage bør fokusere på en begrænset intern audit med få, velvalgte stikprøver og tydelig evidenslog.
3. Efter 90 dage bør læringen samles i forbedrede auditprogrammer, bedre interviewspørgsmål og mere præcise fundbeskrivelser.

En nordisk organisation med distribuerede IT- og compliancefunktioner kan for eksempel opleve, at politikkerne ser ensartede ud, mens praksis varierer mellem lande eller forretningsenheder. I en sådan situation vil en stærk auditleder ikke blot registrere forskelle, men undersøge, om variationen er risikobaseret, godkendt og forstået af de ansvarlige. Det er ofte forskellen mellem en audit, der kun finder dokumentmangler, og en audit, der giver ledelsen et retvisende billede af sikkerhedsstyringen.

Hvor Lead Auditor-kompetence skaber værdi

ISO 27001 Lead Auditor-kompetence er relevant i flere roller: interne auditorer, GRC-specialister, ISMS-ansvarlige, sikkerhedskonsulenter og personer, der arbejder med leverandørstyring eller certificeringsforberedelse. Kompetencen vurderes typisk gennem evnen til at planlægge objektivt, indsamle egnet evidens, holde rollen neutral og kommunikere fund, så de kan handles på.

Før auditten forventes auditlederen at afgrænse opgaven og sikre, at kompetencer og uafhængighed er på plads i auditteamet. Under auditten handler det om at styre tid, samtaler og evidens uden at miste overblikket over auditkriterierne. Efter auditten ligger værdien i klar rapportering og opfølgning, hvor korrigerende handlinger vurderes på effekt frem for på formel lukning alene.

Kontinuerlig opkvalificering kan være relevant, fordi ISO 27001 ofte møder beslægtede områder som cloud-sikkerhed, hændelseshåndtering, identitetsstyring og risikostyring. Et format som Readynez Unlimited Security Training kan give mening, når organisationen ønsker at bygge bredere sikkerhedskompetence omkring auditrollen uden at gøre ISO 27001 til et isoleret emne.

Et mere modent valg af certificeringsvej

ISO 27001 Lead Auditor-certificering bør vælges, når målet er at kunne vurdere et ISMS med faglig afstand, praktisk metode og forståelse for organisationens risikobillede. 2022-revisionen og det europæiske regulatoriske pres gør ikke rollen mindre metodisk; de gør behovet for tydelige auditkriterier, dokumenteret evidens og præcis rapportering større.

Det mest effektive næste skridt er at vurdere den nuværende erfaring ærligt: Er der allerede auditpraksis, eller er der primært standardkendskab? Når der mangler praktisk træning i interviews, stikprøver og fundformulering, er instruktørledet læring ofte den mest direkte vej fra teori til ansvarlig auditadfærd. Readynez kan være et relevant valg for den, der ønsker et struktureret certificeringsforløb med fokus på den praktiske auditlederrolle.