Wann brauchen Sie ein Tech-Audit

Eine Technologielandschaft kann alt, komplex oder unbeliebt sein, ohne ein unabhängiges Audit zu rechtfertigen. Der stärkere Auslöser ist eine Entscheidung, die sich durch geprüfte Evidenz ändern könnte: Lieferant verlängern, Plattform finanzieren, Unternehmen kaufen, System ersetzen, Team ändern oder Risiko akzeptieren.

Die Global Internal Audit Standards des IIA liefern auch außerhalb eines formalen Internal Audits eine nützliche Struktur: relevante Risiken bewerten, Ziele und Scope vereinbaren, Bewertungskriterien festlegen, Arbeitsprogramm dokumentieren, Findings kommunizieren, Maßnahmen vereinbaren und Umsetzung überwachen.

Diese Struktur verhindert ein häufiges Scheitern. Ein Anbieter prüft, was leicht zugänglich ist, erstellt eine Ampel und hinterlässt Beobachtungen, die die eigentliche Entscheidung nicht beantworten.

Beauftragen Sie kein allgemeines Tech-Audit, wenn niemand die Entscheidung verantwortet, Zugänge verweigert werden, das Ergebnis bereits feststeht oder Maßnahmen unmöglich sind. Lösen Sie diese Einschränkungen zuerst oder beauftragen Sie eine engere Evidenzaufgabe.

Bei einem aktiven Security Incident brauchen Sie Incident Response. Wenn ein Schema eine qualifizierte Konformitäts- oder Zertifizierungsstelle verlangt, brauchen Sie diese. Rechtliche, buchhalterische, Bewertungs-, Datenschutz-, Safety- und andere Spezialurteile gehören zu entsprechend qualifizierten Fachleuten.

Ein Code-Review genügt, wenn die Entscheidung tatsächlich auf Code begrenzt ist. Technical Due Diligence ist das passendere Produkt, wenn Evidenz eine Investitionsthese testen und Deal-Schutzmaßnahmen informieren muss.

Das NIST Cybersecurity Framework 2.0 umfasst Governance von Cybersecurity-Supply-Chain-Risiken. Die NIST-FAQ zum CSF beschreibt, wie Organisationen Anforderungen an Lieferanten festlegen und Investitionen priorisieren können. Der CISA Software Acquisition Guide und Secure by Demand ergänzen Fragen für Softwareeinkäufer.

Security-Kriterien sind nur ein Teil der Entscheidung. Das britische Digital, Data and Technology Playbook nennt Exit-Aktivitäten, Meilensteine, Ressourcen, Rollen, Risikomanagement, Abhängigkeiten sowie Übertragung von Assets, Daten und Wissen. Prüfen Sie den Exit-Plan gegen reale Architektur, Rechte, Zugänge, Skills und Zeitannahmen.

Der Technology Code of Practice liefert weitere Kriterien für Technologieentscheidungen, offene Standards, Security, Daten, Cloud, Accessibility und Nachhaltigkeit. Verwenden Sie nur die Kriterien, die zur geprüften Entscheidung gehören.

Ohne Scope gibt es keinen aussagekräftigen Universalpreis und keine Universaldauer. Lassen Sie Anbieter dieselbe Entscheidung, Grenze, Systeme, Umgebungen, Standorte, Zugänge, Interviews, Stichproben, Evidenzqualität, Berichtsfelder, Workshops und Follow-ups bepreisen.

Trennen Sie unabhängige Prüfung von Remediation, Penetrationstest, Rechtsanalyse, Zertifizierung, Reisen, Drittkosten, Datenextraktion, Implementierung und Wiederholungsprüfung. Dokumentieren Sie Annahmen und Change Control für fehlende Systeme oder verspätete Evidenz.

Ein kleineres Angebot kann entscheidungsrelevante Evidenz auslassen. Ein größeres kann bereits Implementierung enthalten. Vergleichen Sie zuerst, welche Schlussfolgerung das Angebot tragen darf, dann den Preis.

Some Tech Work scopet unabhängige Technologieprüfungen für Geschäftsentscheidungen. Das Angebot benennt Entscheidung, Evidenzgrenze, Kriterien, Zugänge, Interviews, Spezialabhängigkeiten, Finding-Felder, Ausschlüsse, Entscheidungsforum und Abschlussweg vor Arbeitsbeginn.

Für operative Investitions-, Lieferanten-, Delivery-, Kontinuitäts- oder Make-or-buy-Entscheidungen nutzen Sie unseren Tech-Audit-Service. Für eine Akquisition oder Investmenttransaktion ist Technical Due Diligence die passende Route. Security Testing und formale Compliance Assurance bleiben eigenständige Spezialinterventionen.