ご存知の方も多いかもしれませんが、ISO27018については、日本国内のいわゆる「ISMS認証」（正式名称は「ISMS適合性評価制度」）のような、明確な制度は存在しません。そのため、統一された審査基準や、審査に関するガイドラインも、実は存在しません。日本でISO27018の認証を取得している企業の一覧も、公式な情報としては存在していません。では何故、世の中にはISO27018の認証を取得している組織があるのかというと、「ISMSの審査業務を行っている審査機関が、独自にISO27018審査を行っている」からです。以外に思われるかもしれませんが、日本国内では、ISO審査の実施について法的な縛りはありません。（どんな組織でも、自由に審査会社を名乗ることができます。もちろん、名乗りを上げたところで信頼性の問題はありますが…）
このISO27018の審査についても、国内で統一的な審査制度がないために、様々な審査・認証事業を展開している会社が、自由に審査を行っているのが現状です。
統一された審査基準がないために、一概に「ISO27018の審査はこういうことが聞かれます」という説明を行うことは、なかなか難しいです。審査機関によって、聞かれる内容は大きく変わる可能性があります。

基本的にはISMSと同じスケジュールで審査が進むことが多いです。はじめにトップインタビュー、次にISMS事務局へのインタビューや文書・記録類のチェック、最後に今回の認証のスコープの現地審査、という流れです。

例えばトップインタビューでは、クラウドに関するリスクをどのように考えているか、個人情報保護のためにどのような取り組みを実施しているかなど、組織のトップのクラウドや個人情報保護についての考え方や、意識レベルについて聞かれる可能性があります。

ISMS事務局へのインタビューでは、社内で取り扱う個人情報の種類や、個人情報に関するリスクアセスメントの状況、個人情報に関する教育の実施状況、ISO27018の管理策の実施状況、適用宣言書の確認などが行われます。
なお、ISO27018の認証は、ISMS認証を取得していることを前提に審査・認証を行う、いわゆる「アドオン認証」の形として提供されるケースが多いです。
そのため審査では、土台となるISMSに関する内容を聞かれる可能性もあります。

例えば、ISMSの規格であるJIS Q 27001の「4.組織の状況」に関連した利害関係者の要求事項や、「7.支援」に関連した文書の管理方法などが考えられますが、これらに限りません。