Hände ordnen Interviewnotizen auf einem Schreibtisch

Mitarbeiterinterviews überführen organisatorische Praxis in Prüfungsnachweise, indem sie aufzeigen, wie Kontrollen im Tagesgeschäft tatsächlich funktionieren, Lücken zwischen schriftlicher Richtlinie und realem Verhalten sichtbar machen und Risikosignale zutage fördern, die Dokumente allein nicht liefern können. Das ist die zentrale Rolle von Mitarbeiterinterviews in Audits, und jede Phase Ihres Prüfungsauftrags sollte dies widerspiegeln.

Drei Dinge, die Interviews leisten, die kein anderes Verfahren ersetzen kann:

Tatsächliche Abläufe offenlegen. Mitarbeiter beschreiben, was sie wirklich tun – nicht was das Verfahrenshandbuch vorschreibt. In dieser Lücke liegen häufig die Prüfungsfeststellungen.
Risikosignale und Absichten sichtbar machen. Tonfall, Zögern und Widersprüche sind Datenpunkte. Automatisierte Analysen können eine Pause nicht interpretieren.
Dokumentarische Nachweise bestätigen oder in Frage stellen. Ein unterzeichnetes Zugangskontrollprotokoll hat wenig Aussagekraft, wenn die Person, die es unterzeichnet hat, den dahinterliegenden Prozess nicht erklären kann.

Wenn Interviews unverzichtbar sind: bei Kontrollbegehungen, Betrugsuntersuchungen, IT-Kontrollbewertungen, ISO 27001-Bereitschaftsprüfungen sowie bei jedem Audit, bei dem die Prozessdokumentation lückenhaft oder veraltet ist.

Wenn Interviews optional, aber dennoch wertvoll sind: bei routinemäßigen Compliance-Prüfungen mit belastbaren transaktionsbezogenen Nachweisen, risikoarmen Prozessüberprüfungen oder Folgeaudits, bei denen frühere Feststellungen bereits gut dokumentiert sind.

Praxistipp: Formulieren Sie vor dem nächsten Auftrag einen einzigen Satz, der beschreibt, was das Interview bestätigen oder ausschließen soll. Wenn Ihnen das nicht gelingt, ist das Interview noch nicht planungsreif.

Wesentliche Erkenntnisse

Mitarbeiterinterviews sind am zuverlässigsten, wenn sie strukturiert und dokumentiert sind und jede Feststellung vor dem Abschluss mit mindestens zwei weiteren Nachweisquellen abgeglichen wird.

Punkt	Details
Struktur verbessert die Zuverlässigkeit	Strukturierte Interviews liefern eine höhere Validität als unstrukturierte; verwenden Sie für jedes Interview einen schriftlichen Fragenleitfaden.
Dreiphasenmodell	Vorbereitungsphase, strukturierte Durchführung und Nachbereitung innerhalb von 48 Stunden liefern konsistente, belastbare Nachweise.
Triangulierung vor der Schlussfolgerung	Gleichen Sie jede wesentliche Aussage aus dem Interview mit Dokumenten, Systemprotokollen oder einem zweiten unabhängigen Interview ab, bevor Sie sie als Nachweis werten.
Warnsignale erfordern sofortiges Handeln	Verhaltensinkonsistenzen und nicht dokumentierte Umgehungslösungen sollten wortgetreu dokumentiert und vor dem nächsten Interview eskaliert werden.
Ismscalculator für die ISO 27001-Abgrenzung	Die kostenlose Bereitschaftsprüfung und die vollständige Bewertung helfen Prüfungsteams, Interview-Schwerpunkte nach Domänenrisiko zu priorisieren, bevor die Feldarbeit beginnt.

Inhaltsverzeichnis

Wie Mitarbeiterinterviews die Auditplanung und Nachweiserhebung prägen
Ein schrittweises Audit-Interview-Modell für jeden Prüfungsauftrag
Fragen entwickeln, die zuverlässige und nachprüfbare Antworten liefern
Das Interview führen: Vertrauensaufbau, Bias-Kontrolle und Nachweissicherung
Warnsignale und Betrugshinweise, auf die Sie im Interview achten sollten
Interviewinformationen in zuverlässige Prüfungsnachweise umwandeln
Nach dem Interview: Dokumentation, Nachverfolgung und Ergebnisintegration
Praxiswerkzeuge: Fragenpool, Checklisten und Vorlagen zur sofortigen Nutzung
Warum strukturierte Interviews zuverlässigere Prüfungsnachweise liefern
Rechtliche und ethische Anforderungen für Prüfer
Was erfahrene Prüfer in der Praxis mit Interviews machen
Ismscalculator hilft Ihnen, ISO 27001-Interview-Schwerpunkte vor der Feldarbeit festzulegen
Quellen

Wie Mitarbeiterinterviews die Auditplanung und Nachweiserhebung prägen

Eine effektive Interviewvorbereitung entscheidet darüber, ob ein Gespräch verwertbare Nachweise oder lediglich Gesprächsnotizen erzeugt. Gemäß den IIA-Leitlinien zur Interviewvorbereitung verbessern gründliche Hintergrundrecherche und eine klare Zieldefinition die Qualität der gewonnenen Informationen sowie die Zusammenarbeit mit dem Interviewpartner erheblich.

Zuerst das Ziel festlegen. Jedes Interview sollte direkt auf ein spezifisches Prüfungsziel ausgerichtet sein: die Betriebswirksamkeit einer Kontrolle verifizieren, Prozessabläufe verstehen oder Ausnahmen identifizieren. Ein Interview zur Überprüfung der Betriebswirksamkeit erfordert andere Fragen als eines zur Prozesskartierung. Werden beide Zwecke vermischt, liefern die Antworten für keinen der Zwecke verwertbare Ergebnisse.

Unterlagen, die vor der Terminplanung zu beschaffen sind:

Prozesslandkarten und Standardarbeitsanweisungen für den geprüften Bereich
Aktuelle Managementberichte, KPIs oder Dashboards zum betreffenden Prozess
Frühere Prüfungsfeststellungen und Maßnahmenpläne des Managements
Organigramme mit Berichtslinien und Rollenverantwortlichkeiten
Relevante Richtlinien, Zugangskontrollmatrizen und Systemkonfigurationsunterlagen

Auswahl und Reihenfolge der Interviewpartner. Wählen Sie nach Funktion, nicht nur nach Titel. Ein Prozessverantwortlicher und ein operativer Mitarbeiter werden dieselbe Kontrolle unterschiedlich beschreiben – beide Perspektiven sind relevant. Gehen Sie dabei vom Allgemeinen zum Speziellen vor: Beginnen Sie mit Prozessverantwortlichen, um das angestrebte Design zu verstehen, und befragen Sie dann die operativen Mitarbeiter, um zu prüfen, ob dieses Design wie beschrieben umgesetzt wird. Vermeiden Sie es bei sensiblen Themen, Mitarbeiter vor ihren Vorgesetzten zu befragen, da Vorgesetzte Antworten unbewusst vorprägen können.

Checkliste für Terminplanung und Logistik:

Senden Sie mindestens 48 Stunden im Voraus eine kurze Agenda, in der das Prüfungsziel und die voraussichtliche Dauer genannt werden.
Bestätigen Sie die Rolle des Interviewpartners und die spezifischen Prozesse, für die er verantwortlich ist oder die er ausführt.
Buchen Sie einen abgeschlossenen Raum oder einen gesicherten Videoanruf – kein offener Großraum.
Planen Sie 30–60 Minuten pro Interview ein; komplexe Kontrollbereiche können 90 Minuten erfordern.
Bestimmen Sie vor dem Gespräch – nicht erst während des Interviews – einen Protokollanten getrennt vom leitenden Interviewer.

Ein schrittweises Audit-Interview-Modell für jeden Prüfungsauftrag

Ein reproduzierbares Dreiphasenmodell liefert konsistente, belastbare Ergebnisse, unabhängig davon, welches Teammitglied das Interview führt. Der ECA-Leitfaden für Audit-Interviews definiert drei grundlegende Interviewzwecke: Orientierung, Untersuchung und Bestätigung. Ihr Phasenmodell sollte alle drei abdecken.

Phase 1: Vorbereitung

Das Interviewziel festlegen und mit dem entsprechenden Schritt des Prüfungsprogramms verknüpfen.
Hintergrundunterlagen sichten und einen strukturierten Fragenleitfaden erstellen (kein starres Skript).
Teamrollen zuweisen: leitender Interviewer, Protokollant und – bei komplexen Interviews – ein Beobachter, der Körpersprache beobachtet und Folgefragen still markiert.
Teaminterne Signale vereinbaren: Ein Protokollant, der eine Klärung benötigt, kann „NACHFRAGEN?" auf einem gemeinsamen Block notieren, ohne zu unterbrechen.
Logistik bestätigen, Agenda versenden und sicherstellen, dass der Interviewpartner den Umfang versteht.

Phase 2: Durchführung des Interviews

Mit einer klaren Darlegung von Zweck, Vertraulichkeitserwartungen und Zeitrahmen beginnen.
Den Fragenleitfaden nach der Trichtertechnik durcharbeiten: zunächst offene Fragen, dann vertiefende Nachfragen, abschließend geschlossene Bestätigungsfragen.
Der leitende Interviewer konzentriert sich auf Zuhören und Nachfragen; der Protokollant erfasst möglichst wortgetreue Zitate und ordnet jede Antwort der betreffenden Kontrolle oder dem Risikobereich zu.
Der Beobachter notiert Zögern, Themenwechsel oder emotionale Reaktionen, die eine Folgefrage rechtfertigen.
Abschluss mit einer Zusammenfassung der wesentlichen Punkte und der Frage, ob der Interviewpartner noch etwas ergänzen möchte.

Phase 3: Nachbereitung

Innerhalb von 30 Minuten als Team nachbesprechen, solange die Eindrücke noch frisch sind. Die Notizen des Beobachters werden zuerst besprochen.
Jede Antwort einordnen: bestätigt vorhandene Nachweise, widerspricht vorhandenen Nachweisen oder identifiziert einen neuen Risikobereich, der weiterer Prüfung bedarf.
Folgemaßnahmen festlegen: Dokumente, Systemscreenshots oder ein zweites Interview.
Das Interviewprotokoll erstellen und dem Interviewpartner innerhalb von 48 Stunden zur Durchsicht übermitteln.

Praxistipp: Planen Sie die Nachbesprechung, bevor Sie das Gebäude verlassen oder den Videoanruf beenden. Eine 15-minütige Nachbesprechung unmittelbar nach dem Interview bewahrt Nuancen, die bis zum nächsten Morgen verloren gegangen wären.

Fragen entwickeln, die zuverlässige und nachprüfbare Antworten liefern

Die Fragegestaltung ist der Punkt, an dem die meisten Audit-Interviews scheitern. Vage Fragen liefern vage Antworten; suggestive Fragen liefern die Antwort, die man ohnehin erwartet hat. Beides ist kein Nachweis.

Vier Fragetypen und ihr Einsatz:

Strukturierte Fragen: Vorher festgelegte Fragen, die bei jedem Interviewpartner, der dieselbe Kontrolle betrifft, in derselben Reihenfolge gestellt werden. Einzusetzen, wenn vergleichbare Antworten über mehrere Interviews hinweg benötigt werden oder wenn eine Feststellung einer kritischen Prüfung standhalten muss.
Verhaltensbezogene Fragen: Fragen danach, was die Person in einer vergangenen Situation tatsächlich getan hat („Schildern Sie mir, wie Sie das letzte Mal eine Ausnahmeanfrage bearbeitet haben"). Einzusetzen, um zu prüfen, ob eine Kontrolle wie beschrieben funktioniert.
Situative Fragen: Ein hypothetisches Szenario wird vorgestellt („Wenn Sie außerhalb der regulären Zeiten eine Anfrage für vorübergehenden Admin-Zugang erhalten würden, was würden Sie tun?"). Einzusetzen, um das Richtlinienverständnis und die Eskalationswege zu bewerten.
Bestätigungsfragen: Geschlossene Ja/Nein-Fragen oder Fragen nach konkreten Werten, die am Ende eines Themas eingesetzt werden, um eine Aussage zu fixieren („Die Genehmigung geht also immer an den IT-Sicherheitsverantwortlichen, bevor der Zugang gewährt wird – ist das korrekt?"). Einzusetzen, um eine spezifische Behauptung festzuhalten, bevor das nächste Thema angesprochen wird.

Die Trichtertechnik in der Praxis. Beginnen Sie mit einer offenen Frage, damit der Interviewpartner den Prozess in eigenen Worten beschreiben kann. Dann vertiefen: „Sie erwähnten, dass die Anfrage an Ihren Vorgesetzten geht – an wen genau, und auf welchem Weg?" Dann bestätigen: „Jede Zugriffsanfrage erfordert also ausnahmslos die schriftliche Genehmigung des IT-Sicherheitsverantwortlichen vor der Bereitstellung?" Jede Ebene schränkt die Antwort ein und prüft die innere Konsistenz.

Beispielhafte Fragevorlagen für Prüfer:

Kontrollwirksamkeit: „Beschreiben Sie, wie Sie sicherstellen, dass [Kontrolle X] abgeschlossen wurde, bevor [Prozess Y] fortgesetzt wird."

Funktionstrennung: „Wer in Ihrem Team kann [Transaktionstyp] sowohl anlegen als auch genehmigen, ohne eine zweite Unterschrift?"

Zugriffsverwaltung: „Wenn ein Mitarbeiter Ihre Abteilung verlässt, welche Schritte unternehmen Sie, um seinen Systemzugang zu entfernen, und wie schnell geschieht das?"

Incident-Response: „Schildern Sie mir den letzten Sicherheitsvorfall, von dem Sie wussten. Was ist passiert, und wen haben Sie benachrichtigt?"

Fragen, die vermieden werden sollten:

Suggestiv: „Sie überprüfen die Protokolle doch täglich, oder?" (signalisiert die erwartete Antwort)
Doppelt: „Prüfen Sie die Zugangsprotokolle und eskalieren Sie Auffälligkeiten?" (zwei Fragen in einer)
Fachjargon-lastig: „Führen Sie eine Abstimmung des IAM-Bereitstellungsworkflows durch?" (erst in einfacher Sprache formulieren, dann präzisieren)
Hypothetisch ohne Verankerung: „Was würden Sie in einer idealen Welt tun?" (liefert wünschenswerte, nicht operative Antworten)

Forschungsbasierte Grundsätze für gute Interviews betonen, dass mangelhafte Fragegestaltung vermieden und strukturierte Vertiefungsfragen eingesetzt werden sollten, um die Konsistenz von Antworten zu prüfen – besonders wichtig, wenn mehrere Interviewpartner dieselbe Kontrolle beschreiben.

Das Interview führen: Vertrauensaufbau, Bias-Kontrolle und Nachweissicherung

Die ersten zwei Minuten eines Interviews prägen den gesamten Gesprächsverlauf. Erläutern Sie den Zweck des Audits klar, stellen Sie klar, dass das Interview keine Leistungsbeurteilung ist, und bestätigen Sie, wie lange es in etwa dauern wird. Diese Rahmung reduziert Abwehrhaltungen und fördert Offenheit.

Vertrauen aufbauen ohne zu beeinflussen. Ein Interview als kooperatives Gespräch zu rahmen – bei dem es darum geht, den Ablauf eines Prozesses zu verstehen, nicht jemanden zu überführen – führt nachweislich zu besseren Offenbarungen. IIA-Praxisleitlinien stellen fest, dass Prüfer, die sich als Partner zur Problemlösung positionieren, höhere Kooperationsbereitschaft und qualitativ bessere Informationen erhalten. Das bedeutet nicht, Fragen abzumildern. Es bedeutet, dass der Interviewpartner versteht, dass Sie zum Verstehen da sind, nicht zum Verurteilen.

Bias-Management. Drei Verzerrungen verfälschen Audit-Interviews am häufigsten:

Bestätigungsfehler (Confirmation Bias): Sie vermuten bereits, dass eine Kontrolle schwach ist, und gewichten unbewusst Antworten, die dies bestätigen. Gegenmaßnahme: Stellen Sie dieselbe Frage in zwei verschiedenen Formulierungen und vergleichen Sie die Antworten.
Ankereffekt (Anchoring): Die erste Antwort prägt die Interpretation aller nachfolgenden. Besprechen Sie im Team, bevor Sie Schlussfolgerungen ziehen.
Vorschnelles Urteil: In den ersten fünf Minuten entscheiden, ob der Interviewpartner glaubwürdig ist. Glaubwürdigkeit wird nach der Triangulierung bewertet, nicht während des Gesprächs.

Protokollführung und Aufzeichnung:

Praxis	Empfohlene Vorgehensweise
Wörtliche Zitate	Den genauen Wortlaut bei Schlüsselaussagen erfassen; Paraphrasierungen klar kennzeichnen
Antwortmarkierung	Jede Antwort der betreffenden Kontrolle, dem Risikobereich oder dem Prüfungsziel zuordnen
Nonverbale Beobachtungen	Zögern, Themenwechsel oder emotionale Reaktionen in einer separaten Spalte notieren
Audio-/Videoaufzeichnung	Erfordert ausdrückliche Einwilligung; vermeiden, sofern nicht rechtlich erforderlich
Gemeinsame Notizen	Der leitende Interviewer sichtet den Entwurf des Protokollanten vor – nicht nach – der Nachbesprechung

In IT-Prüfungskontexten decken Interviews häufig Kontrollschwächen auf, die Systemprotokolle und Konfigurationsprüfungen nicht zeigen – genau weil operative Mitarbeiter Umgehungslösungen beschreiben, die sie für routinemäßig halten, die aber nicht dokumentierte Ausnahmen vom Kontrolldesign darstellen.

Warnsignale und Betrugshinweise, auf die Sie im Interview achten sollten

Interviews sind eines der wenigen Prüfungsverfahren, die Absichten sichtbar machen können – nicht nur Ergebnisse. Ein Transaktionsprotokoll zeigt, was passiert ist; ein Interview kann offenbaren, warum – und ob die beschreibende Person wusste, dass etwas nicht in Ordnung war.

Verhaltensbasierte Warnsignale, die zu notieren sind:

Widersprüche zwischen aktuellen Aussagen und früheren Aussagen im selben Interview
Ausweichende Antworten: Themenwechsel, übermäßige Einschränkungen oder das Beantworten einer anderen Frage als der gestellten
Ungewöhnliche Prozessumgehungen, die als normal beschrieben werden („Wir machen das immer so, weil das System den regulären Weg nicht zulässt")
Unerklärliche Zugriffsänderungen oder Systemübersteuerungen, die der Interviewpartner keinem spezifischen Geschäftsbedarf zuordnen kann
Zurückhaltung bei der Nennung konkreter Genehmiger oder Dokumentationsverantwortlicher

Sachbezogene Warnsignale:

Prozessbeschreibungen, die dokumentierten Kontrollen widersprechen
Hinweise auf Genehmigungen, die weder in einem Systemdatensatz noch in einer Unterschrift nachvollziehbar sind
Zeitabläufe, die nicht mit bereits geprüften Transaktionsdaten übereinstimmen

Wahrnehmung und Vorwurf unterscheiden. Wenn ein Interviewpartner sagt: „Ich glaube, jemand genehmigt möglicherweise eigene Transaktionen", handelt es sich um eine Wahrnehmung. Wenn jemand sagt: „Ich habe gesehen, wie Thomas am 14. März seine eigene Spesenabrechnung genehmigt hat", ist das ein konkreter Vorwurf. Beides ist zu dokumentieren, aber unterschiedlich zu behandeln. Wahrnehmungen lenken Ihre Prüfungshandlungen; Vorwürfe erfordern sofortige Eskalation und Beweissicherung.

Bei Betrugsverdacht während eines Interviews:

Den Interviewpartner nicht konfrontieren und keinen Verdacht äußern.
Das Interview normal fortführen und Antworten wortgetreu dokumentieren.
Unmittelbar nach dem Interview den Prüfungsleiter oder den Leiter der Internen Revision informieren.
Alle bis zu diesem Zeitpunkt erstellten Notizen, Aufzeichnungen (sofern vorhanden) und Dokumente sichern.
Die Angelegenheit nicht mit anderen Interviewpartnern besprechen, bis eine Anweisung vorliegt.

Checkliste für Warnsignale in den Arbeitspapieren nach dem Interview:

Haben Antworten früheren Nachweisen widersprochen? (J/N, Beschreibung)
Hat der Interviewpartner nicht dokumentierte Umgehungslösungen beschrieben? (J/N, Beschreibung)
Wurden Eskalations- oder Genehmigungsschritte beschrieben, die nicht nachvollziehbar sind? (J/N, Beschreibung)
Haben Verhaltenshinweise auf Ausweichen oder Unbehagen bei bestimmten Themen hingedeutet? (J/N, Beschreibung)

Interviewinformationen in zuverlässige Prüfungsnachweise umwandeln

Eine Interviewantwort ist für sich allein noch kein Nachweis. Sie wird zum Nachweis, wenn sie trianguliert, dokumentiert und auf ihre Zuverlässigkeit bewertet wird. Prüfungsleitlinien zur Interviewdokumentation stellen klar, dass Interviews eine wichtige Grundlage für die Ausrichtung von Prüfungshandlungen sind, aber vor einer abschließenden Feststellung in der Regel durch weitere Nachweise ergänzt werden.

Triangulierung in der Praxis. Gleichen Sie jede wesentliche Interviewaussage mit mindestens zwei weiteren Nachweisquellen ab:

Dokumente: Stimmt der vom Interviewpartner beschriebene Prozess mit dem schriftlichen Verfahren und den Transaktionsunterlagen überein?
Systemprotokolle: Erscheint die beschriebene Zugriffs- oder Genehmigungssequenz im Systemprüfprotokoll?
Weitere Interviews: Beschreibt ein zweiter Interviewpartner unabhängig voneinander dieselbe Kontrolle auf dieselbe Weise?

Zuverlässigkeitsfaktoren für jedes Interview:

Faktor	Höhere Zuverlässigkeit	Geringere Zuverlässigkeit
Unabhängigkeit	Der Interviewpartner hat kein Interesse an der Feststellung	Der Interviewpartner ist der geprüfte Kontrollverantwortliche
Eigene Beobachtung	Beschreibt, was er persönlich tut	Beschreibt, was er glaubt, was andere tun
Motiv zur Falschdarstellung	Kein erkennbares Interesse	Mögliche disziplinarische oder finanzielle Konsequenzen
Zeitnahe Aufzeichnungen	Antwort stimmt mit datierten Aufzeichnungen überein	Antwort beruht ausschließlich auf Erinnerung

Dokumentations-Checkliste für Arbeitspapiere:

Datum, Uhrzeit, Ort und Teilnehmer des Interviews
Genannter Zweck und das Prüfungsziel, das das Interview unterstützt
Wörtliche Zitate zu Schlüsselaussagen, klar als Zitate gekennzeichnet
Paraphrasierte Antworten, klar als Paraphrasen gekennzeichnet
Nachweisverknüpfungen: Dokumente, Protokolle oder frühere Feststellungen, die die Antwort bestätigen oder widerlegen
Zuverlässigkeitsbewertung: ein Satz pro wesentlicher Aussage
Folgemaßnahmen: was noch einer Bestätigung bedarf

Bei ISO 27001-Audits sind Interviews besonders wertvoll für die Bewertung, wie Kontrollen über die vier Annex A-Kontrollthemen hinweg funktionieren, da viele Kontrollen von menschlichem Verhalten abhängen, das die Dokumentation allein nicht nachweisen kann.

Nach dem Interview: Dokumentation, Nachverfolgung und Ergebnisintegration

Die 48 Stunden nach einem Interview sind ebenso wichtig wie das Interview selbst. Verzögerte Dokumentation beeinträchtigt die Genauigkeit; nicht verfolgte Folgemaßnahmen gehen verloren.

Einheitliche Interviewprotokolle erstellen:

Das Protokoll innerhalb von 24 Stunden auf Basis der wörtlichen Notizen des Protokollanten erstellen.
Das Protokoll wie folgt strukturieren: Zweck, Teilnehmer, behandelte Themen, wesentliche Antworten (mit klarer Kennzeichnung als Zitat oder Paraphrase), Folgemaßnahmen und Zuverlässigkeitshinweise.
Dem Interviewpartner innerhalb von 48 Stunden zur sachlichen Überprüfung zuleiten. Es handelt sich dabei um eine Überprüfung der Sachgenauigkeit, nicht um eine Möglichkeit zur inhaltlichen Revision wesentlicher Aussagen.
Eine unterschriebene Bestätigung oder eine E-Mail-Bestätigung einholen, bevor das Arbeitspapier abgeschlossen wird.
Das Protokoll zusammen mit den zugehörigen Nachweisen ablegen – nicht in einem separaten Ordner.

Folgemaßnahmen:

Dokumentenanforderungen innerhalb von 24 Stunden nach dem Interview versenden, mit Bezug auf die jeweilige Aussage, die sie belegen sollen.
Wenn ein Folgeinterview erforderlich ist, dieses vor dem Ende der Feldarbeit vor Ort vereinbaren.
Offene Punkte sofort im Prüfungsrisikoregister kennzeichnen – nicht erst am Ende der Feldarbeit.

Interviewergebnisse in das Audit einbinden:

Jede wesentliche Interviewfeststellung sollte einem Risikoregistereintrag, einem Prüfungsschritt oder einem Feststellungsentwurf zugeordnet werden.
Wenn ein Interview ein neues Risiko aufzeigt, das außerhalb des ursprünglichen Prüfungsumfangs liegt, ist vor einer eigenständigen Ausweitung der Prüfungshandlungen der Prüfungsleiter zu informieren.
Interviewergebnisse zur Anpassung von Stichprobengrößen nutzen: Wenn mehrere Interviewpartner dieselbe Ausnahme beschreiben, die Transaktionsstichprobe für diese Kontrolle vergrößern.

Arbeitspapierfelder für die Nachvollziehbarkeit:

Zitat oder Paraphrase → Kontrolle oder Risikobereich → Referenz auf bestätigenden Nachweis → Feststellungs- oder Prüfungsschrittnummer

Praxiswerkzeuge: Fragenpool, Checklisten und Vorlagen zur sofortigen Nutzung

Einseitige Interviewplanungs-Checkliste:

[ ] Prüfungsziel, das das Interview unterstützt: ___
[ ] Interviewtyp (Orientierung / Untersuchung / Bestätigung): ___
[ ] Gesichtete Hintergrundunterlagen: ___
[ ] Rolle und Funktion des Interviewpartners bestätigt: ___
[ ] Fragenleitfaden erstellt und vom Prüfungsleiter geprüft: ___
[ ] Teamrollen zugewiesen (Leitung, Protokollant, Beobachter): ___
[ ] Agenda mindestens 48 Stunden im Voraus versandt: ___
[ ] Abgeschlossener Raum oder gesicherter Videoanruf bestätigt: ___
[ ] Entscheidung zur Aufzeichnung getroffen und ggf. Einwilligung eingeholt: ___

Beispielhafter Fragenpool nach Prüfungsziel:

Kontrollwirksamkeit: „Schildern Sie mir, wie Sie das letzte Mal [Kontrolle X] durchgeführt haben. Was haben Sie überprüft, und was haben Sie unternommen, wenn etwas nicht stimmte?"
Funktionstrennung: „Gibt es jemanden in Ihrem Team, der [Transaktionstyp] sowohl anlegen als auch genehmigen kann, ohne eine zweite Unterschrift?"
Zugriffsverwaltung: „Wie geht Ihr Team mit der Zugangsentziehung vor, wenn jemand die Abteilung wechselt oder das Unternehmen verlässt?"
Incident-Response: „Beschreiben Sie, wann Sie zuletzt ein mögliches Sicherheitsproblem festgestellt oder gemeldet haben. Welche Schritte haben Sie unternommen?"
Richtlinienbewusstsein: „Wo würden Sie nachschauen, wenn Sie die aktuelle Richtlinie für [konkreten Prozess] prüfen müssten? Wann haben Sie zuletzt darin nachgesehen?"
Ausnahmebehandlung: „Was passiert, wenn eine Transaktion oder Anfrage außerhalb des normalen Genehmigungswegs liegt? Können Sie mir ein aktuelles Beispiel nennen?"
Änderungsmanagement: „Wenn eine System- oder Prozessänderung umgesetzt wird, wie werden Sie informiert, und welche Schulung erhalten Sie?"

Felder der Interviewprotokoll-Vorlage:

Datum, Uhrzeit, Ort, Dauer
Name und Referenznummer des Prüfungsauftrags
Teilnehmer (Name, Titel, Rolle im Prozess)
Genannter Interviewzweck
Wesentliche Antworten (wörtliche Zitate in Anführungszeichen; Paraphrasen mit „P:" gekennzeichnet)
Folgemaßnahmen (Maßnahme, Verantwortlicher, Fälligkeitsdatum)
Zuverlässigkeitshinweise
Unterschrift des Prüfers und Datum

Anpassung für Remote- vs. Vor-Ort-Interviews. Stellen Sie bei Remote-Interviews vor Beginn sicher, dass sich der Interviewpartner in einem abgeschlossenen Raum befindet. Teilen Sie Dokumente lieber per Bildschirmfreigabe statt per E-Mail im Voraus – das reduziert das Risiko abgestimmter Antworten. Technische Unterbrechungen im Protokoll vermerken.

Praxistipp: Legen Sie Ihren Fragenpool in einem gemeinsam genutzten Dokument an, das Ihr Team nach jedem Auftrag aktualisieren kann. Fragen, die regelmäßig nützliche Antworten liefern, sind es wert, behalten zu werden; Fragen, die regelmäßig „Ich weiß nicht" oder Ausweichen erzeugen, sollten ersetzt werden.

Warum strukturierte Interviews zuverlässigere Prüfungsnachweise liefern

Das Argument für strukturierte Interviews beruht nicht allein auf Praktikerpräferenzen. Die Metaanalyse von McDaniel et al. belegt, dass strukturierte Interviews für Bewertungszwecke generell eine höhere Validität aufweisen als unstrukturierte – ein Befund, der sich unmittelbar auf Prüfungskontexte übertragen lässt, in denen die Zuverlässigkeit von Nachweisen der Maßstab ist.

Der strukturierte Interviewansatz nach FAINT (Forensic Assessment Interview Technique) zeigt, dass ein dreiphasiger strukturierter Prozess den Anteil verwertbarer, zuverlässiger Daten in komplexen Bewertungen erhöht. Bei Betrugs- oder Hochrisiko-Interviews reduziert FAINTs Schwerpunkt auf offene Erzählung gefolgt von gezielten Vertiefungsfragen das Risiko, dass die Fragestellung des Prüfers die Aussage des Interviewpartners verfärbt.

Leitlinien des U.S. Merit Systems Protection Board empfehlen strukturierte Interviews für Bewertungsfunktionen, weil Struktur die Wahrscheinlichkeit zuverlässiger und belastbarer Entscheidungen erhöht. Der Parallelbezug zur Internen Revision ist unmittelbar: Wenn Interviewnachweise eine Feststellung oder eine Risikoeinstufung begründen sollen, muss der Interviewprozess strukturiert genug sein, um einer Anfechtung standzuhalten.

Praktische Konsequenzen für Prüfungsteams:

Für jedes Interview – auch für informelle Begehungen – einen schriftlichen Fragenleitfaden verwenden.
Antworten anhand vorher festgelegter Kriterien bewerten oder einordnen, wenn mehrere Interviewpartner zu derselben Kontrolle befragt werden.
Die Grundlage für Zuverlässigkeitsbewertungen dokumentieren – nicht nur die Schlussfolgerung.
Weniger erfahrene Prüfer in der Trichtertechnik schulen, bevor sie selbstständig Interviews führen.

Wesentliche Erkenntnis: Strukturierte Interviews machen Gespräche nicht starr. Sie machen die Nachweise belastbar. Der Interviewpartner kann weiterhin frei sprechen; die Struktur stellt sicher, dass seine Aussagen konsistent erfasst und bewertet werden.

Rechtliche und ethische Anforderungen für Prüfer

Aufzeichnungsgesetze variieren je nach Rechtsordnung. Auf Bundesebene in den USA und in den meisten Bundesstaaten gilt das Prinzip der Einwilligung einer Partei (one-party consent), d. h., es genügt, wenn einer der Gesprächsteilnehmer zustimmt. Eine erhebliche Anzahl von Bundesstaaten – darunter Kalifornien, Florida und Illinois – erfordert jedoch die Einwilligung aller Beteiligten. Die praktische Empfehlung: Nehmen Sie keine Aufzeichnungen vor, solange Sie das anwendbare Recht nicht bestätigt und die ausdrückliche Einwilligung aller Teilnehmer eingeholt haben.

Wesentliche rechtliche und ethische Pflichten:

Vertraulichkeit: Informieren Sie den Interviewpartner zu Beginn darüber, was mit seinen Antworten geschieht, wer das Protokoll einsehen wird und wie sensible Aussagen behandelt werden.
Hinweisgebererklärungen: Wenn ein Interviewpartner eine geschützte Meldung macht, diese präzise dokumentieren, an den Rechtsberater oder den Prüfungsausschuss eskalieren und die Identität des Hinweisgebers in den Arbeitspapieren schützen.
Sensible personenbezogene Daten: Keine personenbezogenen Daten in Arbeitspapiere aufnehmen, die über das für die Feststellung notwendige Maß hinausgehen.
Einwilligung zur Aufzeichnung: Unabhängig vom geltenden Recht als Frage professioneller Praxis stets eine schriftliche oder per E-Mail bestätigte Einwilligung einholen, bevor ein Interview aufgezeichnet wird.
Umfangsgrenzen: Das Interview nicht auf Bereiche außerhalb des erklärten Prüfungsumfangs ausweiten, ohne den Interviewpartner zu informieren und die Genehmigung des Prüfungsleiters einzuholen.
Regulatorischer Hinweis: In förmlichen Untersuchungen oder behördlichen Prüfungen können Interviewnachweise der Offenlegung oder einer Vorladung unterliegen. Alle Interviewdokumentationen sind als potenziell für externe Stellen einsehbar zu behandeln.

Was erfahrene Prüfer in der Praxis mit Interviews machen

Die Abfolge, die konsequent die besten Nachweise liefert, ist nicht kompliziert, erfordert aber Disziplin. Starten Sie die Feldarbeit mit Orientierungsinterviews: Prozessverantwortliche, Abteilungsleiter und Kontrolldesigner. Nutzen Sie diese Gespräche, um Ihre Kontrolllandkarte zu erstellen und festzustellen, wo das dokumentierte Design und die beschriebene Realität voneinander abweichen. Diese Abweichung zeigt Ihnen, worauf Sie Ihre Untersuchungsinterviews ausrichten sollten.

Untersuchungsinterviews richten sich an die operativen Mitarbeiter: die Menschen, die den Prozess täglich ausführen. Stellen Sie verhaltensbezogene Fragen. Fragen Sie nach aktuellen Beispielen. Wenn eine Antwort der Kontrolllandkarte widerspricht, die Sie in der Orientierungsphase erstellt haben, haben Sie eine potenzielle Feststellung. Wenn sie sie bestätigt, haben Sie eine Bestätigung.

Prüfer inspiziert ein physisches Sicherheitsschloss

Bestätigungsinterviews kommen zuletzt. Zu diesem Zeitpunkt verfügen Sie über Transaktionsnachweise, Systemprotokolle und zwei Ebenen von Interviewdaten. Ein kurzes Bestätigungsinterview mit dem Kontrollverantwortlichen, bei dem Sie Ihre Erkenntnisse vorlegen und ihn um eine Erklärung bitten, schließt die Feststellung entweder ab oder vertieft sie.

Eine Gewohnheit, die die Qualität jedes Interviews verbessert: Planen Sie am Morgen eines wichtigen Interviews ein 15-minütiges Vorbereitungsgespräch mit Ihrem Team. Sichten Sie die Hintergrundunterlagen, bestätigen Sie den Fragenleitfaden und legen Sie fest, wie eine zufriedenstellende Antwort auf jede Schlüsselfrage aussieht. Prüfer, die dies konsequent tun, berichten von deutlich weniger „Das haben wir vergessen zu fragen"-Momenten in der Nachbesprechung.

Interviews erfüllen auch einen Zweck jenseits der Nachweissicherung. Prüfer, die Interviews nutzen, um Beziehungen zu Prozessverantwortlichen aufzubauen, erhalten während des gesamten Auftrags bessere Kooperationsbereitschaft, schnellere Reaktionen auf Dokumentenanfragen und offenere Aussagen, wenn etwas nicht stimmt. Das ist kein weicher Nutzen. Es ist ein wesentlicher Faktor für Prüfungsqualität.

Hände gießen Kaffee während eines professionellen Gesprächs ein

Ismscalculator hilft Ihnen, ISO 27001-Interview-Schwerpunkte vor der Feldarbeit festzulegen

Ismscalculator

Wenn Ihr Audit ISO 27001-Kontrollen umfasst, sagt Ihnen die Kenntnis der Domänen mit dem größten Implementierungsrisiko genau, wo Sie Ihre Interviews fokussieren sollten. Der kostenlose 2-minütige Bereitschafts-Check von Ismscalculator bildet den aktuellen Reifegrad Ihrer Organisation über alle vier Kontrollthemen der ISO/IEC 27001:2022 in wenigen Minuten ab und liefert Ihnen ein domänenspezifisches Risikoprofil, das Sie zur Priorisierung von Interview-Schwerpunkten und der Nachweiserhebung vor Beginn der Feldarbeit nutzen können.

Die vollständige Bereitschaftsbewertung geht noch weiter: Sie benchmarkt Ihren Reifegrad anhand von Referenzwerten, kennzeichnet die Domänen, in denen am ehesten Kontrollschwächen zu erwarten sind, und erstellt einen Bericht, den Sie als Planungsgrundlage für Ihr Interviewprogramm verwenden können. Behandeln Sie die Ausgabe als Abgrenzungshilfe – nicht als Ersatz für die Interviews selbst. Das Tool schärft Ihren Fokus; Ihre Interviews liefern die Nachweise.

Quellen

Empfohlen

Dieser Artikel wurde automatisch mit KI übersetzt. Das englische Original bleibt die verbindliche Fassung.

Wie Mitarbeiterinterviews zuverlässige Prüfungsnachweise liefern