- Avklar om målet er å revidere et ISMS, bygge et ISMS eller lede intern forbedring.
- Forstå forskjellen mellom internrevisjon, leverandørrevisjon og tredjeparts sertifiseringsrevisjon.
- Tren på bevisinnhenting, prøvetaking og rapportering, ikke bare på å lese ISO/IEC 27001.
En ISO 27001 Lead Auditor er en fagperson som vurderer om et styringssystem for informasjonssikkerhet er etablert, dokumentert og etterlevd på en måte som fungerer i praksis. I Norge har rollen fått økt praktisk betydning fordi informasjonssikkerhet i større grad må dokumenteres overfor kunder, eiere, offentlige oppdragsgivere og tilsynsmyndigheter. Sertifiseringen handler derfor både om å kunne standarden og om å kunne gjennomføre revisjoner som gir et reelt bilde av styringssystemets effekt.
En Lead Auditor vurderer et Information Security Management System, ofte forkortet ISMS, opp mot kravene i ISO/IEC 27001. Rollen krever forståelse av risiko, styring, kontrolltiltak, revisjonsmetodikk og menneskelig atferd i organisasjoner. I norsk sammenheng må dette også sees i lys av NSMs Grunnprinsipper for IKT-sikkerhet, Datatilsynets veiledning om personopplysningssikkerhet og GDPR artikkel 32, uten at en ISO-revisjon i seg selv erstatter juridisk vurdering.
Hvorfor ISO 27001 Lead Auditor er mer relevant i Norge nå
Norske virksomheter møter oftere krav om dokumentert sikkerhetsstyring i leverandørkjeder, kontrakter og enkelte offentlige anskaffelser. ISO/IEC 27001 gir et felles språk for risiko, ledelsesforankring, sikkerhetstiltak og kontinuerlig forbedring. Det gjør standarden nyttig både for virksomheter som søker formell sertifisering, og for organisasjoner som bruker rammeverket som styringsmodell uten nødvendigvis å sertifisere seg.
Revisjonsrollen blir særlig viktig fordi modenhet ikke kan vurderes gjennom policyer alene. En organisasjon kan ha et pent dokumentert ISMS og samtidig mangle sporbar risikobehandling, svak oppfølging av avvik eller utydelig eierskap til sikkerhetstiltak. En god audit undersøker derfor hvordan kravene er omsatt i praksis, for eksempel om risikovurderinger påvirker prioriteringer, om tilgangsstyring blir kontrollert, og om ledelsen faktisk bruker måledata til forbedring.
ISO/IEC 27001 støtter også arbeidet med andre norske forventninger. NSMs Grunnprinsipper gir praktiske anbefalinger for sikring av IKT-systemer, mens GDPR artikkel 32 krever egnede tekniske og organisatoriske tiltak for personopplysningssikkerhet. En ISO 27001-revisjon avgjør ikke om en virksomhet juridisk sett oppfyller GDPR, men den kan gi strukturert innsikt i om sikkerhetsstyringen er risikobasert, dokumentert og etterprøvbar.
Hva en Lead Auditor faktisk gjør
En ISO 27001 Lead Auditor leder eller deltar i revisjoner av et ISMS. Arbeidet omfatter planlegging, dokumentgjennomgang, intervjuer, prøvetaking, vurdering av bevis, rapportering av funn og oppfølging av korrigerende tiltak. Metodikken henter mye fra ISO 19011, som beskriver prinsipper for revisjon av styringssystemer, blant annet integritet, uavhengighet, evidensbasert tilnærming og risikobasert planlegging.
Det er samtidig viktig å skille mellom ulike auditorroller. En internrevisor arbeider på vegne av virksomheten og skal gi ledelsen innsikt i om ISMS-et fungerer og hvor det bør forbedres. En leverandørrevisor vurderer ofte en tredjepart mot kontraktskrav eller risikokriterier. En tredjeparts sertifiseringsrevisor arbeider for et sertifiseringsorgan og vurderer om virksomheten oppfyller kravene for sertifisering eller videreføring av sertifikat. Kompetansen overlapper, men mandatet, uavhengighetskravene og rapporteringen er forskjellige.
Lead Auditor-betegnelsen betyr vanligvis at personen kan planlegge og lede en revisjon fra start til slutt, ikke bare delta som observatør eller fagressurs. I praksis innebærer det å definere omfang, sette revisjonskriterier, velge intervjuobjekter, styre tidsplanen, håndtere uenighet om funn og formulere avvik slik at de er presise nok til å kunne følges opp.
Hva ISO/IEC 27001:2022 endret for revisjoner
ISO/IEC 27001:2022 videreførte styringssystemstrukturen, men Annex A ble endret betydelig. Antallet kontroller ble redusert fra 114 til 93, samtidig som kontrollene ble omstrukturert og modernisert. Temaer som trusselintelligens, informasjonssikkerhet ved bruk av skytjenester, konfigurasjonsstyring og datamaskering fikk tydeligere plass.
For auditorer betyr dette at gamle sjekklister fra 2013-utgaven ikke er tilstrekkelige. Revisjonen må undersøke om Statement of Applicability er oppdatert, om kontrollvalg er begrunnet ut fra risiko, og om virksomheten har vurdert nye eller endrede kontrollområder. Det er ikke nok å spørre om kontrollen finnes; auditor må se etter bevis på at kontrollen er relevant, implementert, overvåket og forbedret der det er nødvendig.
Et eksempel er skytjenester. En moden audit vil ikke stoppe ved spørsmålet om virksomheten har en skystrategi. Den vil undersøke hvordan ansvar er fordelt mellom virksomhet og leverandør, hvordan konfigurasjoner verifiseres, hvordan tilgang til administrasjonsflater styres, og hvordan hendelser hos leverandøren fanges opp i egen beredskap.
En realistisk audit-uke
En typisk audit-uke starter ofte med en åpningsmøte der omfang, kriterier og praktiske rammer bekreftes. Auditor går deretter gjennom sentrale dokumenter som risikometodikk, risikoregister, Statement of Applicability, policyer, internrevisjonsrapporter, ledelsens gjennomgang og tidligere avvik. Allerede her begynner vurderingen: stemmer dokumentasjonen med hverandre, og peker den mot reelle beslutninger?
Midt i uken flyttes oppmerksomheten gjerne til intervjuer og bevis. Sikkerhetsleder kan forklare risikoprosessen, systemeier kan vise hvordan tilgangsrettigheter godkjennes, HR kan beskrive onboarding og offboarding, og drift kan demonstrere logging eller sårbarhetsoppfølging. Den dyktige auditoren triangulerer bevis: et intervju blir kontrollert mot et dokument, og dokumentet blir igjen vurdert opp mot observasjon i system eller praksis.
Mot slutten samles funnene. Ikke alle svakheter blir avvik; noen blir observasjoner eller forbedringsmuligheter. Et avvik må knyttes til et konkret krav, støttes av objektive bevis og formuleres slik at virksomheten forstår problemet uten at auditor overtar rollen som konsulent. Avslutningsmøtet bør derfor gi et tydelig bilde av hva som er funnet, hva som er risikoen, og hva som forventes videre.
Remote og hybride revisjoner
Fjernrevisjoner har blitt vanligere, særlig for organisasjoner med distribuerte team, skybaserte systemer og digitale beviskilder. Skjermdeling kan fungere godt for å verifisere konfigurasjoner, tilgangsroller, logger og saksgang i ticket-systemer. Sikre filutvekslingskanaler kan gjøre dokumentgjennomgang mer effektiv enn tradisjonelle møterom med utskrifter.
Samtidig finnes det grenser. Fysiske sikringstiltak, adgangskontroll, serverrom, beskyttelse av papirarkiver og miljømessige forhold kan være vanskeligere å vurdere fullt ut på avstand. En hybrid revisjon gir ofte bedre balanse når virksomheten har både digitale og fysiske kontrollmiljøer. Auditor bør dokumentere hvilke deler som er revidert eksternt, hvilke begrensninger som gjelder, og om begrensningene påvirker konklusjonen.
Lead Auditor eller Lead Implementer?
Valget mellom Lead Auditor og Lead Implementer avhenger av hva personen faktisk ønsker å gjøre i organisasjonen. Lead Auditor passer best når målet er å vurdere, teste og rapportere om et ISMS med uavhengighet og revisjonsmetodikk. Lead Implementer passer bedre når målet er å bygge, innføre og drifte styringssystemet, for eksempel etablere policystruktur, risikoprosesser, kontrollplaner og forbedringsrutiner.
Karriereveiene overlapper. En IT-revisor, compliance officer, risikoansvarlig eller sikkerhetsleder kan ha nytte av Lead Auditor-kompetanse fordi rollen skjerper evnen til å se etter bevis og svakheter i styringssystemet. En CISO, prosjektleder eller rådgiver som skal etablere et ISMS fra bunnen av, kan derimot ha større nytte av ISO 27001 Lead Auditor-forberedelse først dersom revisjon og modenhetsvurdering er hovedoppgaven, mens implementeringssporet er mer relevant når ansvaret er å bygge selve systemet.
Et vanlig feilvalg er å velge auditorløpet fordi det høres mer senior ut, selv om arbeidshverdagen man ønsker handler om design og drift. Da blir læringen mindre treffsikker. Den enkleste beslutningsregelen er denne: den som vil stille gode kontrollspørsmål, vurdere bevis og rapportere avvik, bør tenke auditor; den som vil utforme prosesser, forankre tiltak og drive implementering, bør tenke implementer.
Hvordan forberede seg uten å lese standarden passivt
Eksamen og sertifiseringsløp varierer mellom tilbydere, og kandidater bør alltid kontrollere gjeldende format, varighet, språk, hjelpemidler og akkreditering hos aktuell kurs- eller eksamensleverandør. I markedet finnes ulike ordninger, blant annet løp knyttet til IRCA- og PECB-økosystemer, men detaljene er ikke like på tvers av leverandører. Det viktigste er at forberedelsen dekker både ISO/IEC 27001-kravene, Annex A-kontrollene, revisjonsprinsipper og praktisk håndtering av funn.
En vanlig forberedelsesfeil er å lese standarden som om den var en teoribok. Lead Auditor-arbeid krever metodisk trening: hvordan velges et representativt utvalg, hvordan vurderes et intervju som bevis, når er et avvik tilstrekkelig underbygget, og hvordan skiller man mellom symptom og rotårsak? ISO 19011 er særlig nyttig her fordi den gir en struktur for planlegging, prøvetaking og revisjonsatferd.
Praktisk trening bør derfor bestå av mer enn prøveeksamener. Kandidater bør øve på å skrive revisjonsprogram, formulere intervjuspørsmål, lese et risikoregister kritisk, teste en Statement of Applicability mot faktiske kontroller og skrive avvik som peker på krav, bevis og konsekvens. Et strukturert kurs kan være nyttig når det gir simuleringer og tilbakemelding på denne typen arbeid; Readynez sitt ISO 27001 Lead Auditor-kurs er ett eksempel på en slik forberedelsesvei.
Kompetansebygging etter Lead Auditor
Lead Auditor er ofte et vendepunkt, ikke et sluttpunkt. Mange bygger videre mot personvern, beredskap eller risikostyring, avhengig av hvilken type revisjoner og styringsmiljø de arbeider med. ISO 27701 kan være relevant der personvernstyring står sentralt, ISO 22301 der kontinuitet og beredskap er viktig, og ISO 27005 der risikometodikk må styrkes.
Videre læring bør styres av arbeidsoppgaver, ikke av ønsket om flest mulig merker på CV-en. En internrevisor i en kommune kan ha større nytte av personvern, leverandørstyring og beredskap enn av dyp teknisk spesialisering. En auditor i en teknologivirksomhet kan trenge mer kompetanse om sky, identitet, sårbarhetsstyring og logging. Der kompetansebehovet spenner over flere sikkerhetsområder, kan Unlimited Security Training være et alternativ for kontinuerlig faglig utvikling.
Kilder og faktagrunnlag
Sist oppdatert: 2026. Faktagrunnlaget i denne artikkelen er basert på offentlig tilgjengelig informasjon om ISO/IEC 27001, ISO/IEC 27002 og ISO 19011, samt norske referanser som NSMs Grunnprinsipper for IKT-sikkerhet og Datatilsynets veiledning knyttet til personopplysningssikkerhet og GDPR artikkel 32. Standardtekst er omtalt på overordnet nivå og ikke gjengitt ordrett.
Ved beslutninger om sertifisering, eksamen eller juridisk etterlevelse bør virksomheter kontrollere oppdatert informasjon hos standardorganisasjon, sertifiseringsorgan, eksamensleverandør og relevante norske myndigheter. Lønnstall er bevisst utelatt, fordi norske tall bør hentes fra oppdaterte lønnsstatistikkdatabaser og vurderes etter rolle, sektor, erfaring og geografisk marked.
Å bruke auditorrollen riktig
ISO 27001 Lead Auditor-kompetanse er mest verdifull når den brukes til å skape bedre beslutningsgrunnlag. Rollen skal ikke lete etter feil for feilens skyld, men undersøke om sikkerhetsstyringen er risikobasert, etterprøvbar og egnet for virksomhetens behov. I Norge betyr det ofte å koble internasjonal standardisering med lokale forventninger til personvern, samfunnssikkerhet, leverandørstyring og ansvarlig ledelse.
Den mest praktiske veien videre er å avklare mandatet først: intern forbedring, leverandørkontroll, sertifiseringsrevisjon eller karriereutvikling. Når målet er tydelig, blir det enklere å velge riktig læringsløp, øve på relevante revisjonssituasjoner og bygge en kompetanseprofil som faktisk passer arbeidet. Readynez kan inngå som strukturert støtte i denne prosessen, men verdien kommer først når kunnskapen brukes på reelle revisjonsspørsmål og konkrete bevis.
