Audyt ISO 27001 Kielce

Co znaczą trzy kolumny w liście niezgodności?

Pierwsza mówi, czego wymaga norma, i jest przepisana z konkretnego punktu, żeby dało się do niego wrócić bez naszej pomocy. Druga opisuje stan zastany, czyli co zobaczyliśmy i na jakiej podstawie: kto to powiedział, jaki zapis pokazał, czego nie udało się znaleźć. Trzecia to nakład, czyli oszacowanie pracy potrzebnej do zamknięcia pozycji, podane w dniach albo w godzinach.

Trzecia kolumna jest tą, dla której ten dokument w ogóle powstaje. Lista czterdziestu uwag bez wyceny wysiłku nie jest pomocą, tylko przerzuceniem decyzji z powrotem na zarząd. Z nakładem przy każdej pozycji rozmowa wygląda inaczej: widać, że osiem pozycji zamyka się w tygodniu porządków, trzy wymagają zmiany sposobu pracy, a jedna jest projektem na kwartał.

Nad listą stoi jedno zdanie odpowiadające na pytanie, po które przychodzi większość klientów: czy w dniu badania przeszlibyście audyt jednostki. Odpowiedź brzmi „tak”, „tak, po zamknięciu tych pozycji” albo „nie i to nie jest kwestia kilku tygodni”. Każda z tych trzech oznacza inną decyzję budżetową.

Dlaczego prosimy o zapisy, a nie o polityki?

Bo polityki nie kłamią rzadziej, one po prostu nie mówią nic o tym, co dzieje się w firmie. Norma wymaga systemu, który działa, a jedynym śladem działania są zapisy z datami. Dlatego badanie zaczyna się od prośby o rzeczy niepozorne: protokół z ostatniego przeglądu uprawnień, listę obecności ze szkolenia, rejestr zgłoszeń z ostatniego kwartału, notatkę z przeglądu zarządzania.

Wymaganie normy	Czego szukamy jako dowodu	Co bywa w tym miejscu zamiast
Przegląd uprawnień	zapis z datą i podpisem osoby, która go wykonała	przekonanie, że dostępy są w porządku
Świadomość pracowników	lista uczestników szkolenia i jego zakres	jednorazowa wiadomość rozesłana do wszystkich
Zarządzanie incydentami	rejestr zgłoszeń z opisem zamknięcia	pamięć dwóch osób z działu technicznego
Postępowanie z ryzykiem	rejestr z historią zmian i decyzjami	tabela założona przed poprzednim audytem
Przegląd zarządzania	protokół z ustaleniami i terminami	rozmowa na naradzie bez notatki
Nadzór nad dostawcami	wymagania w umowie i ich weryfikacja	zaufanie do wieloletniej współpracy
Kopie i odtwarzanie	wynik próby odtworzenia z datą	zielony status zadania w konsoli
Zmiany w środowisku	zgłoszenia zmian z akceptacją	ustalenia mailowe rozsiane po skrzynkach

Prawa kolumna nie jest wyliczanką grzechów, tylko listą najczęstszych sytuacji, w których firma robi rzecz właściwą i nie zostawia po niej śladu. To zwykle najtańsze do naprawienia niezgodności w całym raporcie, bo nie wymagają zmiany sposobu pracy, tylko dopisania kroku na jej końcu.

Gdzie dowody znikają w firmie pracującej sezonowo?

W miesiącach, w których wszyscy są w terenie. Rytm firmy budowlanej albo produkującej materiały jest nierówny i to widać w zapisach: od listopada do marca powstaje ich sporo, potem następuje półroczna przerwa, po której wracają w listopadzie. Audytor patrzy na to jednoznacznie, bo norma wymaga systemu działającego stale, a nie systemu przypominającego sobie o własnym istnieniu raz w roku.

Rozwiązaniem nie jest zmuszanie kierowników do papierkowej roboty w szczycie sezonu, tylko przesunięcie tego, co da się przesunąć, i uproszczenie tego, co musi dziać się na bieżąco. Przegląd uprawnień, przegląd zarządzania czy analiza ryzyka spokojnie mieszczą się w zimie. Rejestr zgłoszeń i zapisy z incydentów muszą działać przez cały rok, ale wpis zajmuje minutę, o ile ktoś przygotował miejsce, w którym się go robi.

W raporcie proponujemy więc kalendarz, a nie tylko listę braków. Bez tego firma z tej branży zamyka niezgodności w lutym i odtwarza je w lipcu.

Kiedy w roku najlepiej przeprowadzić to badanie?

Poza szczytem prac, z jednym zastrzeżeniem. Jeśli badanie jest próbą generalną przed audytem jednostki, robi się je wtedy, gdy system zdążył popracować kilka miesięcy, a nie wtedy, gdy jest wygodnie. Zbyt wczesny termin daje raport mówiący głównie to, że dowodów jeszcze nie ma, co wiedzieliśmy przed rozpoczęciem.

Jeśli badanie jest pierwszym krokiem i ma odpowiedzieć na pytanie o skalę zadania, termin jest dowolny. Wtedy wybieramy okres, w którym kierownictwo ma czas na rozmowy, bo połowa wartości tego badania powstaje przy stole, a nie w dokumentach.

Czego z tym raportem zrobić się nie da?

Nie da się go przedstawić jako certyfikatu, bo nim nie jest i nigdy nie będzie. Nie zastępuje audytu wewnętrznego wymaganego przez normę, choć bywa dobrym wzorem, na którym Wasza osoba nauczy się go prowadzić. Nie rozstrzyga też kwestii prawnych ani obowiązków wynikających z przepisów sektorowych.

Sam dokument bywa natomiast wystarczającą odpowiedzią na wiele pytań o bezpieczeństwo, zwłaszcza gdy dołączycie do niego plan zamknięcia braków z terminami. Drogę do certyfikatu opisuje wdrożenie ISO 27001, same dokumenty dokumentacja systemu, a stan techniczny środowiska audyt IT. Termin badania ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026