Hvordan fungerer ISO 27701:2025-sertifiseringsrevisjonen?
ISO 27701:2025-sertifiseringsrevisjonen følger den samme totrinnsmetode som brukes for alle ISO-styringssystemstandarder. Å forstå hva hvert trinn innebærer fjerner usikkerheten og lar deg forberede deg med trygghet.
Prosessen utføres av et akkreditert sertifiseringsorgan , og revisorenes mål er ikke å lure deg – det er å bekrefte at ditt personverninformasjonsstyringssystem (PIMS) oppfyller kravene i standarden og fungerer effektivt i praksis.
Fase 1: Dokumentasjonsgjennomgang
Fase 1 kalles noen ganger «beredskapsgjennomgang». Revisoren vurderer om dokumentasjonen og styringssystemdesignet er tilstrekkelig til å gå videre til fase 2. Denne fasen gjennomføres vanligvis eksternt, selv om noen sertifiseringsorganer kan komme på besøk på stedet.
I løpet av fase 1 vil revisor gjennomgå:
- Ditt PIMS-omfang og Anvendelseserklæring
- Personvernregler, mål og risikovurderingsmetodikk
- Ocuco krav til styringssystem (Klausul 4–10) og hvordan du har håndtert dem
- Ditt interne revisjonsprogram og ledelsens gjennomgangsrapporter
- Bevis på at PIMS-systemet ditt har vært i drift i tilstrekkelig tid (vanligvis minst tre måneder)
Revisoren vil utarbeide en rapport fra trinn 1 som identifiserer eventuelle bekymringsområder. Dette er ikke formelle avvik, men de signaliserer områder som trenger oppmerksomhet før trinn 2.
Fase 2: Implementeringsvurdering
Fase 2 er hovedrevisjonen. Den bekrefter at PIMS-systemet ditt ikke bare er dokumentert, men også reelt implementert og effektivt. Fase 2 gjennomføres på stedet eller via en kombinasjon av økter på stedet og eksterne økter, avhengig av sertifiseringsorganet og organisasjonens oppsett.
Revisoren vil:
- Intervju ansatte på tvers av ulike funksjoner for å bekrefte bevissthet og forståelse
- Eksempel på bevis på implementering av kontroll (policyer, prosedyrer, registre, systemkonfigurasjoner)
- Vurder om risikoer er identifisert og håndtert på riktig måte
- Evaluer effektiviteten av din Tillegg A personvernkontroller
- Sjekk korrigerende tiltak fra internrevisjonen og ledelsens gjennomgang
Hva ser revisorer egentlig etter?
Revisorer vurderer PIMS-systemet ditt mot kravene i ISO 27701:2025 . Men utover enkel samsvar, ser de etter bevis på at personvernsystemet ditt er genuint integrert i hvordan organisasjonen din opererer.
Viktige områder revisorer fokuserer på inkluderer:
| Område | Hva revisoren sjekker | Bevis de forventer |
|---|---|---|
| Lederengasjement | Er toppledelsen aktivt involvert i personvernstyring? | Referat av ledelsens gjennomgang, beslutninger om ressursallokering, personvernmål |
| Risikovurdering | Blir personvernrisikoer identifisert, vurdert og behandlet systematisk? | Risikoregister, risikohåndteringsplan, risikoakseptkriterier |
| Driftskontroller | Er kontrollene i vedlegg A implementert og fungerer de? | Prosedyrejournaler, systemkonfigurasjoner, treningsjournaler |
| Overvåking og måling | Måler du om kontrollene er effektive? | KPI-er, hendelseslogger, revisjonsresultater, trendanalyse |
| Kontinuerlig forbedring | Blir avvik tatt opp og lærd av erfaringer? | Rapporter om korrigerende tiltak, resultater fra ledelsesgjennomganger, forbedringsplaner |
Revisorer bruker vanligvis en utvalgsmetode. De vil ikke sjekke alle kontroller eller intervjue alle ansatte, men de vil se på nok bevis til å danne en rimelig konklusjon om effektiviteten til PIMS-systemet ditt.
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Hvordan bør du forberede teamet ditt på revisjonen?
Den vanligste kilden til revisjonsfunn er ikke dårlig dokumentasjon – det er ansatte som ikke er klar over retningslinjene og prosedyrene som gjelder for rollene deres. Å forberede teamet ditt er like viktig som å forberede bevisene.
Før revisjonen
- Informer alle ansatte som kan bli intervjuet. De bør forstå PIMS-omfanget, sin rolle i det, og hvor de kan finne relevante retningslinjer.
- Kjør en simulert revisjon. Simuler revisors tilnærming ved å intervjue ansatte og ta prøver av bevis. Dette identifiserer hull før den virkelige revisjonen gjør det.
- Bekrefte bevis er tilgjengelig. Revisorer skal ikke måtte vente mens noen søker etter dokumenter. Organiser bevispakker etter klausul og kontroll.
- Utnevne en kontaktperson for revisjon. Utnevne én person til å koordinere logistikk, planlegge intervjuer og håndtere revisorhenvendelser.
Under revisjonen
- Svar på spørsmålet. Unngå å gi informasjon utover det revisor ber om.
- Vær ærlig. Hvis en prosess ikke er fullt implementert, si ifra. Revisorer setter mye større pris på åpenhet enn unnvikelse.
- Legg frem bevis raskt. Ha journaler, skjermbilder, systemtilgang og dokumenter klare for områdene som vurderes.
- Ta notater. Registrer revisors observasjoner og spørsmål – dette er verdifulle innspill for forbedringer etter revisjon.
ISMS.online gjør revisjonsforberedelsene betydelig enklere ved å holde alle policyer, kontroller, risikovurderinger, bevis og revisjonsregistre på ett sted. Når revisoren ber om bevis, kan du navigere direkte til den relevante registreringen i stedet for å søke gjennom delte disker og regneark.
Hva er de vanligste funnene ved revisjon?
Å forstå vanlige funn hjelper deg med å håndtere dem før revisoren kommer. Mange av disse overlapper med vanlige implementeringsfeil . Dette er problemene sertifiseringsorganene rapporterer oftest:
| Finne | Hvorfor det skjer | Hvordan unngå det |
|---|---|---|
| Ufullstendig risikovurdering | Personvernrisikoer behandles separat fra informasjonssikkerhetsrisikoer, eller ikke alle behandlingsaktiviteter vurderes | Sørg for at risikovurderingen din dekker alle PII-behandlingsaktiviteter og er i samsvar med databeholdningen din |
| Svak ledelsesgjennomgang | Ledelsens gjennomgang er overfladiske eller dekker ikke de nødvendige innspillene | Bruk en strukturert agenda som dekker alle innspill spesifisert i standarden (revisjonsresultater, risikoendringer, forbedringsmuligheter) |
| Manglende internrevisjonsbevis | Interne revisjoner utføres, men er ikke skikkelig dokumentert. | Registrer revisjonsplaner, funn, korrigerende tiltak og oppfølging. ISMS.online tilbyr innebygd revisjonshåndtering for å spore dette |
| Mangel på bevissthet fra de ansatte | Ansatte kan ikke forklare retningslinjene eller kontrollene som gjelder for deres roller | Gjennomfør bevisstgjøringsmøter før revisjonen og sørg for at policygodkjenningsdokumentene er oppdaterte. |
| Utdatert dokumentasjon | Retningslinjer eller prosedyrer refererer til erstattede prosesser eller organisasjonsstrukturer | Planlegg regelmessige dokumentgjennomganger og bruk versjonskontroll for å spore endringer |
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hva skjer etter revisjonen?
Etter fase 2 vil revisor presentere sine funn i et avsluttende møte og utstede en formell revisjonsrapport. Mulige utfall er:
- Anbefaling for sertifisering — Ingen vesentlige avvik funnet. Mindre observasjoner kan noteres for forbedring.
- Betinget anbefaling — Mindre avvik identifisert. Du må sende inn dokumentasjon på korrigerende tiltak innen en definert tidsramme (vanligvis 90 dager).
- Sertifisering anbefales ikke — Store avvik funnet. En oppfølgingsrevisjon vil være nødvendig etter at du har tatt tak i problemene.
Når sertifikatet er sertifisert, er det gyldig i tre år, med forbehold om årlige overvåkingsrevisjoner. Disse er kortere enn den første sertifiseringsrevisjonen og fokuserer på et delsett av krav for å bekrefte fortsatt samsvar.
Overvåking og resertifisering
| Revisjonstype | Når | Omfang |
|---|---|---|
| Overvåkingsrevisjon 1 | ~12 måneder etter sertifisering | Delsett av krav, pluss eventuelle områder markert i den første revisjonen |
| Overvåkingsrevisjon 2 | ~24 måneder etter sertifisering | Ulike delmengder av krav |
| Resertifiseringsrevisjon | ~36 måneder (før utløp) | Fullstendig ny vurdering, tilsvarende den første sertifiseringen |
ISMS.online hjelper deg med å holde deg klar for revisjon mellom vurderinger ved å føre en kontinuerlig oversikt over policygjennomganger, risikooppdateringer, korrigerende tiltak og resultater fra ledelsesgjennomganger – slik at du aldri trenger å stresse med å forberede deg når neste overvåkingsrevisjon skal gjennomføres.
Hvorfor velge ISMS.online for revisjonsforberedelse?
- Sentralisert bevismateriale: Alle retningslinjer, kontroller, risikovurderinger og revisjonsprotokoller på én plattform, klare for revisorgjennomgang.
- Innebygd revisjonshåndtering: Planlegg, utfør og spor opp interne revisjoner med funn, korrigerende tiltak og oppfølging – alt knyttet til relevante kontroller.
- Implementering og godkjenning av retningslinjer: Distribuer retningslinjer til ansatte, spor hvem som har lest og godtatt dem, og eksporter implementeringsrapporter for revisorer.
- Risikoregister med behandlingsplaner: Demonstrer en systematisk tilnærming til personvernrisiko med tilknyttede kontroller, eiere og gjennomgangsdatoer.
- Maler for ledelsesgjennomgang: Strukturerte agendaer og resultater som dekker alle innspillene standarden krever.
- Kontinuerlig overvåking: Dashboards og KPI-er viser den nåværende tilstanden til PIMS-systemet ditt med et raskt blikk, noe som støtter beredskapen for overvåkingsrevisjoner.
- Versjonskontrollert dokumentasjon: Automatisk versjonshistorikk og dokumentutsjekking sikrer at revisorer alltid ser den gjeldende, godkjente versjonen.
Spørsmål og svar
Hvor lang tid tar ISO 27701:2025-sertifiseringsrevisjonen?
Fase 1 tar vanligvis én til to dager, og fase 2 tar to til fem dager, avhengig av størrelsen og kompleksiteten til organisasjonen din. Det er vanligvis et gap på fire til åtte uker mellom fase 1 og fase 2, slik at du kan håndtere eventuelle funn.
Kan tilsynet utføres eksternt?
Fase 1 gjennomføres vanligvis eksternt. Fase 2 krever vanligvis tilstedeværelse på stedet, selv om mange sertifiseringsorganer nå tilbyr hybride tilnærminger som kombinerer ekstern og på stedet vurdering. Sertifiseringsorganet ditt vil bekrefte tilnærmingen under planleggingen.
Hva skjer hvis vi mottar et større avvik?
Et større avvik betyr at sertifisering ikke kan gis før problemet er løst. Du må iverksette korrigerende tiltak og gjennomgå en oppfølgingsrevisjon (eller fremlegge tilstrekkelig bevis) før sertifiseringsorganet kan gi en anbefaling. Dette er ikke uvanlig og betyr ikke at implementeringen din har mislyktes.
Trenger vi ISO 27001 før vi kan bli revidert for ISO 27701:2025?
ISO 27701:2025 kan nå sertifiseres som en frittstående standard , så ISO 27001-sertifisering er ikke lenger en forutsetning. Hvis du allerede har ISO 27001, vil revisjonsomfanget for ISO 27701 imidlertid fokusere på de personvernspesifikke tilleggene.
Hvordan bør vi velge et sertifiseringsorgan?
Se etter et sertifiseringsorgan som er akkreditert av et nasjonalt akkrediteringsorgan (som UKAS i Storbritannia). Vurder deres erfaring med ISO 27701 spesifikt, tilgjengeligheten av revisorer, og om de tilbyr integrerte revisjoner hvis du har andre ISO-sertifiseringer. Be om tilbud fra to eller tre organer for å sammenligne tilnærming, tidslinje og kostnader.
