De externe auditor voert dan een audit uit van de opgestelde documenten en procesbeschrijvingen. Zo kijkt de auditor of de organisatie en het ISMS klaar zijn voor de gedetailleerde (Fase 2) audit. In die Fase 2 audit kijkt de auditor niet alleen naar hoe werkwijzen zijn beschreven, maar interviewt ook medewerkers om te kijken hoe de procedures in de praktijk worden uitgevoerd.