Hvilke bevis forventer revisorer for ISO 27701:2025?
ISO 27701:2025-sertifiseringsrevisjoner følger en strukturert, evidensbasert tilnærming. Revisorer tar ikke bare ordet for det – de trenger dokumentert bevis på at personverninformasjonsstyringssystemet (PIMS) oppfyller alle gjeldende krav i standarden.
Bevis faller inn i tre hovedkategorier:
- Dokumentert bevis — Retningslinjer, prosedyrer, prosessdokumenter, risikovurderinger og erklæring om anvendelighet
- Opptegnelser og logger — Møtereferat, opplæringsprotokoller, revisjonsrapporter, hendelseslogger, databehandlingslogger og logger av korrigerende tiltak
- Dokumentert praksis — Intervjuer med ansatte, gjennomgang av systemer i sanntid og observasjon av prosesser i praksis
2025-utgaven er nå en frittstående sertifiserbar standard , som betyr at dokumentasjonspakken din må dekke alle kravene til styringssystemer i klausul 4 til 10, samt gjeldende kontroller i vedlegg A.
Hvilke bevis kreves for hvert klausulområde?
Hver klausul i ISO 27701:2025 krever spesifikke typer bevis. Tabellen nedenfor viser de viktigste beviselementene revisor ser etter mot hver klausul i styringssystemet.
| Klausul | Område | Nøkkelbevis som kreves |
|---|---|---|
| Klausul 4 | Organisasjonens kontekst | Omfangserklæring, analyse av interesserte parter, kontekst for behandling av personopplysninger, dokumentasjon av PIMS-grenser |
| Klausul 5 | Ledelse | Personvernerklæring (signert av toppledelsen), rolle- og ansvarsmatrise, ledelsens forpliktelsesregistre |
| Klausul 6 | Planlegging | Metodikk for risikovurdering av personvern, risikoregister, risikohåndteringsplan, erklæring om anvendelighet, personvernmål |
| Klausul 7 | Kundestøtte | Kompetansejournaler, opplæringslogger, dokumentasjon på bevisstgjøringsprogrammer, dokumentert prosedyre for informasjonskontroll |
| Klausul 8 | Operasjon | Operasjonelle planleggingsrapporter, resultater av risikovurdering, dokumentasjon på implementering av risikobehandling |
| Klausul 9 | Evaluering av opptreden | Overvåkings- og måleresultater, interne revisjonsrapporter, ledelsens gjennomgangsprotokoller |
| Klausul 10 | Forbedring | Avviksregistreringer og korrigerende tiltak, bevis på kontinuerlige forbedringsaktiviteter |
Utover klausulene i styringssystemet vurderer revisorer også bevis for hver kontroll i tillegg A som du har erklært gjeldende i din erklæring om anvendelighet . Dette inkluderer behandlingsansvarligspesifikke kontroller, databehandlerspesifikke kontroller og delte sikkerhetskontroller.
Hvordan er beviskravene i trinn 1 og trinn 2 forskjellige?
ISO 27701:2025-sertifiseringsrevisjonen er delt inn i to faser, hver med forskjellige bevisforventninger:
Fase 1: Dokumentasjonsgjennomgang
Fase 1-revisjonen fokuserer på om det dokumenterte PIMS-systemet er tilstrekkelig. Revisorenes gjennomgang:
- Ditt PIMS-omfang og -grenser
- Personvernregler og personvernmål
- Metodikk for risikovurdering og risikohåndteringsplan
- Anvendelseserklæring
- Viktige prosedyrer og prosessdokumentasjon
- Internrevisjonsprogram og ledelsens gjennomgangsplan
Fase 1 er primært en beredskapssjekk. Revisoren bekrefter at dokumentasjonen er fullstendig nok til å gå videre til fase 2 og identifiserer eventuelle områder som trenger oppmerksomhet før implementeringsrevisjonen.
Fase 2: Implementeringsvurdering
Fase 2 er den fullstendige implementeringsrevisjonen. Revisorer bekrefter at PIMS-systemet ditt ikke bare er dokumentert, men faktisk fungerer. Bevis på dette stadiet inkluderer:
- Fullførte risikovurderinger med nåværende resultater
- Opplæringsrapporter som viser at ansatte har blitt opplært og vurdert
- Interne revisjonsrapporter med adresserte funn
- Referat av ledelsens gjennomgang med beslutninger registrert
- Hendelsesrapporter (selv om ingen hendelser har oppstått, må prosessen dokumenteres)
- Håndteringsjournaler for forespørsler om data om den registrerte
- Leverandør- og databehandlerhåndteringsregistre
For mer informasjon om hele sertifiseringsprosessen, se vår sertifiseringsveiledning.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hva er de vanligste evidenshullene?
Visse bevishull dukker opp gjentatte ganger i ISO 27701:2025-revisjoner. Å vite hva som avslører at organisasjoner blir uaktsomme, hjelper deg med å unngå de samme feilene.
| Felles gap | Hvorfor det skjer | Slik løser du det |
|---|---|---|
| Ingen bevis for ledelsens gjennomgang | Gjennomganger skjer uformelt uten referat | Planlegg formelle gjennomganger med agenda, deltakere og registrerte beslutninger |
| Treningsjournaler mangler eller er ufullstendige | Trening skjer, men loggføres ikke | Bruk et opplæringsstyringssystem som sporer fullføring og kompetansevurdering |
| Risikovurdering ikke aktuell | Første vurdering utført, men ikke oppdatert | Planlegg regelmessige evalueringer og oppdateringer etter betydelige endringer |
| Ingen internrevisjonsbevis | Organisasjonen er avhengig av eksterne konsulenter og hopper over interne revisjoner | Gjennomfør minst én full intern revisjonssyklus før sertifiseringsrevisjonen |
| Manglende begrunnelser i erklæring om anvendelighet | Kontroller merket som ikke relevant uten forklaring | Dokumenter begrunnelsen for hvert unntak i SoA-en |
| Leverandøravtaler mangler personvernklausuler | Kontrakter er eldre enn PIMS-implementeringen | Gjennomgå og oppdater leverandørkontrakter for å inkludere vilkår for databehandling og personvern |
| Hendelsesrespons ikke testet | Ingen hendelser har oppstått, så prosessen er ikke testet | Kjør bordøvelser og registrer resultatene |
Hvordan bør du organisere bevispakken din?
En velorganisert dokumentpakke gjør revisjoner smidigere og reduserer risikoen for funn forårsaket av bevis som finnes, men ikke kan finnes. Følg disse prinsippene:
- Knytt bevis til krav — Lag en bevismatrise som kobler hver klausul og kontroll i tillegg A til de spesifikke dokumentene, postene og skjermbildene som viser samsvar
- Bruk konsistente navnekonvensjoner — Navngi dokumenter tydelig slik at revisorer kan identifisere dem uten din hjelp (f.eks. PIMS-Risikovurdering-2026-Q1.pdf)
- Oppretthold versjonskontroll — Hvert dokument skal vise versjon, godkjenningsdato og eier. Revisorer vil kontrollere at du jobber ut fra gjeldende, godkjente dokumenter.
- Hold oppføringene tidsstemplet — Opplæringslogger, møtereferater og revisjonsrapporter må vise når de fant sted. Udaterte registreringer er vanskelige for revisorer å godta.
- Sentraliser lagring — Spredt bevismateriale på tvers av e-postinnbokser, delte disker og individuelle bærbare datamaskiner skaper risiko. Bruk ett enkelt, kontrollert sted.
Organisasjoner som samsvarer med GDPR-kartleggingen i vedlegg D, kan også bruke den samme dokumentasjonspakken for å demonstrere samsvar med regelverket , noe som skaper effektivitet på tvers av både personvernsertifisering og databeskyttelsesforpliktelser.
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvordan støtter ISMS.online håndtering av revisjonsbevis?
ISMS.online er spesialbygd for å hjelpe organisasjoner med å samle inn, organisere og vedlikeholde dokumentasjonen som trengs for ISO 27701:2025-sertifisering. Viktige funksjoner inkluderer:
- Forhåndsbygd bevisrammeverk — Beviskrav kartlagt for hver klausul og kontroll i tillegg A, slik at du vet nøyaktig hva du trenger før revisor kommer
- Dokumenthåndtering med versjonskontroll — Last opp, godkjenn og spor alle retningslinjer, prosedyrer og støttedokumenter med fullstendige revisjonsspor
- Risikostyring — Gjennomføre og registrere risikovurderinger direkte i plattformen, med risikoregistre som er koblet til behandlingsplaner og kontrollimplementeringer
- Opplæring og bevissthetssporing — Tildel opplæring, spor fullføring og registrer kompetansevurderinger med tidsstemplet bevis
- Internrevisjonshåndtering — Planlegge, gjennomføre og registrere interne revisjoner med funn knyttet til korrigerende tiltak
- Støtte til ledelsesgjennomgang — Strukturerte gjennomgangsmaler som fanger opp innspill, beslutninger og handlinger i et format revisorer forventer
- Leverandørstyring — Spor databehandleravtaler, utføre due diligence og vedlikeholde tilsynsregistre
I stedet for å bygge en evidenspakke fra bunnen av, gir ISMS.online deg en ferdig struktur som samler evidens etter hvert som du jobber deg gjennom implementeringen. Når revisjonen er ferdig, er evidensen din allerede organisert og tilgjengelig.
For å forstå hele omfanget av hva PIMS-systemet ditt må dekke, se veiledningen vår for å komme i gang med implementeringen.
Hvorfor velge ISMS.online for håndtering av revisjonsbevis?
- Bevis kartlagt til standarden — Hver klausul og kontroll i vedlegg A har et tilknyttet beviskrav, slik at ingenting blir oversett
- Automatiserte revisjonsspor — Endringer i dokumenter, risikovurderinger og tiltak logges automatisk med tidsstempler og brukerattribusjon
- Sentralisert, revisorklar dokumentasjon — Alt revisoren din trenger er på ett sted, tilgjengelig via sikre, rollebaserte tillatelser
- Forhåndskonfigurerte maler — Retningslinjer, metoder for risikovurdering og maler for opplysningsavtaler i samsvar med ISO 27701:2025 reduserer oppsetttiden
- Sporing av korrigerende tiltak — Koble avvik til korrigerende tiltak med forfallsdatoer, eiere og statussporing
- Kontrollpaneler for samsvar i sanntid — Se beredskapsstatusen din med et raskt blikk, identifiser mangler og prioriter arbeidet før revisjonen
- Anbefalt av tusenvis av organisasjoner - ISMS.online støtter bedrifter i alle størrelser i å oppnå og opprettholde ISO-sertifisering
Spørsmål og svar
Hva er minimumsbeviset som kreves for ISO 27701:2025-sertifisering?
Som et minimum trenger du dokumenterte retningslinjer, en risikovurdering og behandlingsplan, en erklæring om anvendelighet, resultater fra interne revisjoner, referater fra ledelsens gjennomgang og dokumenter som viser at kontrollene i vedlegg A fungerer. Det nøyaktige omfanget avhenger av organisasjonen din og kontrollene du har erklært gjeldende.
Hvor langt tilbake bør revisjonsbevis gå?
For førstegangssertifisering ønsker revisorer vanligvis å se minst tre måneder med driftsdokumentasjon, inkludert en fullstendig intern revisjonssyklus og minst én ledelsesgjennomgang. For overvåkingsrevisjoner bør dokumentasjonen dekke perioden siden forrige revisjon.
Kan vi bruke digitale bevis, eller må de skrives ut?
Digitale bevis er fullt ut akseptert og ofte foretrukket av revisorer. Skjermbilder, systemeksporter, tidsstemplede poster og dokumenter lagret på plattformer som ISMS.online er alle gyldige. Hovedkravet er at bevisene er autentiske, tilgjengelige og versjonskontrollerte.
Hva skjer hvis revisoren finner manglende bevis?
Manglende bevis fører vanligvis til et avviksfunn. Mindre avvik gir deg mulighet til å fremlegge bevisene innen en avtalt tidsramme (vanligvis 90 dager). Større avvik kan kreve et oppfølgingsrevisjonsbesøk før sertifisering kan gis.
Trenger vi separat dokumentasjon for ISO 27701 og ISO 27001?
Hvis du har begge sertifiseringene, overlapper mye av bevisene for styringssystemet (risikostyring, internrevisjon, ledelsesgjennomgang). ISO 27701 krever imidlertid ytterligere personvernspesifikk bevis, for eksempel registre over behandling av personopplysninger, håndtering av forespørsler fra registrerte personer og konsekvensvurderinger for personvern. ISMS.online lar deg administrere begge standardene i et integrert system.
