Audyt ISO 27001 Kraków

Dlaczego trudnością bywa tu nadmiar opisu, a nie jego brak

W większości firm badanie zaczyna się od pytania, czy cokolwiek jest spisane. W krakowskim centrum usług wspólnych to pytanie nie ma sensu, bo spisane jest wszystko: przebiegi procesów, listy kontrolne, matryce zastępstw, instrukcje dla nowych osób. Podobnie w kancelarii, gdzie obieg dokumentu i zasady dostępu do akt są opisane, zanim ktokolwiek wymówi nazwę normy.

Kłopot leży gdzie indziej. Te opisy powstały po to, żeby usługa była powtarzalna i mierzalna dla odbiorcy, a nie po to, żeby wykazać zgodność z wymaganiem. Mówią, jak wykonać czynność, i milczą o tym, kto odpowiada za decyzję, z jakiego ryzyka ona wynika i gdzie zostaje ślad jej wykonania. Badanie polega więc na przełożeniu, a nie na budowaniu od zera.

Co z istniejących dokumentów da się zaliczyć

Co zwykle już istnieje	Po co powstało	Które wymaganie pokrywa	Czego w tym brakuje
Opis przebiegu procesu	powtarzalność usługi dla odbiorcy	nadzór nad działaniem operacyjnym	powiązania z ryzykiem i osoby decydującej
Matryca uprawnień w systemie klienta	rozliczenie dostępu wobec zleceniodawcy	kontrola dostępu	rytmu przeglądu i zapisu z jego wykonania
Lista kontrolna przekazania zmiany	ciągłość obsługi między zespołami	przekazywanie odpowiedzialności	odniesienia do zdarzeń bezpieczeństwa
Umowa powierzenia z odbiorcą	wymóg prawny po stronie klienta	wymagania wobec dostawców	wykazu dalszych podmiotów i ich oceny
Karta wdrożenia nowego pracownika	skrócenie czasu do samodzielności	bezpieczeństwo zasobów ludzkich	potwierdzenia przekazania zasad
Raport miesięczny dla centrali	rozliczenie poziomu usługi	monitorowanie i pomiar	przeglądu zarządzania z decyzjami
Rejestr reklamacji i błędów	jakość obsługi	postępowanie z niezgodnościami	rozdzielenia zdarzeń bezpieczeństwa od jakościowych
Instrukcja archiwizacji akt	wymogi zawodowe i terminy	przechowywanie informacji	zasad dla wersji elektronicznej i kopii roboczych

Ostatnia kolumna jest tym, po co się to badanie zamawia. Bez niej rozmowa kończy się wnioskiem, że firma ma dużo dokumentów i trzeba je jakoś ułożyć. Z nią powstaje lista konkretnych uzupełnień, z których większość mieści się w akapicie dopisanym do istniejącego opisu.

Jak badamy firmę, która nie może pokazać treści

Tajemnica zawodowa nie zwalnia z niczego, natomiast zmienia sposób zbierania dowodów. Rozdzielamy dlatego dwie rzeczy, które przy zwykłym badaniu idą razem: fakt wykonania czynności oraz przedmiot, którego ona dotyczyła.

Do stwierdzenia, że uprawnienia są przeglądane, wystarcza wykaz kont z datą i akceptacją. Do stwierdzenia, że materiał wraca albo jest niszczony po zakończeniu sprawy, wystarcza protokół z numerem sprawy zamiast jej opisu. Do oceny szyfrowania wystarczy raport z konsoli urządzeń. Ani razu nie musimy otwierać dokumentu należącego do mocodawcy albo do odbiorcy usługi.

Zakres wglądu spisujemy przed rozpoczęciem prac i ustalamy go z osobą, która odpowiada u Was za tajemnicę. Jest to zresztą pierwszy dowód, jaki powstaje przy tym zleceniu, bo pokazuje, że dostęp podmiotu zewnętrznego został u Was kontrolowany, a nie przyznany na zasadzie zaufania.

Gdzie rozjeżdżają się zespoły pracujące dla różnych odbiorców

W jednym miejscu i wraca ono niemal zawsze. Struktura katalogów oraz uprawnienia w narzędziach roboczych powstawały wtedy, gdy klient był jeden, a rozrastały się razem z kolejnymi umowami. Efektem bywa układ, w którym osoba prowadząca dziś jeden strumień pracy technicznie sięga do materiału z poprzedniego.

Drugi punkt to konta zakładane na czas migracji albo przejęcia procesu. Powstają szeroko, bo w pierwszych tygodniach nikt nie wie, czego zabraknie, i zostają szerokie, bo zwężenie ich wymagałoby przerwy w pracy. Po roku nikt nie pamięta, że kiedykolwiek były tymczasowe.

Trzeci to praca zespołów rozliczanych z jednego procesu, ale obsługujących kilka spółek grupy. Rozdzielenie w systemie zwykle istnieje, tylko nikt nie potrafi pokazać, że jest sprawdzane, a to właśnie sprawdzenie jest wymaganiem, nie sam podział.

Jak prowadzimy badanie i co dostajecie w raporcie

Pierwszy dzień to dokumenty i rozmowy z osobami pełniącymi role w systemie. Drugi to dowody oglądane w narzędziach, w których powstają, oraz przejście jednego strumienia pracy od przyjęcia materiału do jego zwrotu albo usunięcia. Trzeci to uzupełnienia i podsumowanie z zarządem albo z partnerem odpowiadającym za obszar.

Z biura przy Reducie 26a dojeżdżamy w granicach miasta bez planowania trasy, więc dni na miejscu układamy pod Wasz kalendarz zamknięć miesiąca, a nie pod przejazdy. Rozmowy z osobami pracującymi z domu prowadzimy tego samego dnia zdalnie.

Raport otwiera jedno zdanie z liczbą rozbieżności i ich klasą, żeby decyzję o terminie dało się podjąć bez lektury całości. Dalej idzie zestawienie wymaganie po wymaganiu, a przy każdej pozycji stan faktyczny, dokument, który już go opisuje, oraz brakujące uzupełnienie z oszacowanym nakładem pracy.

Czego to badanie nie zamyka

Nie kończy się certyfikatem i nie wywołuje skutków formalnych, bo dokument wydaje wyłącznie niezależna jednostka po własnym postępowaniu. Cyklicznego audytu wewnętrznego nie zastąpi, o ile nie ustalimy tego przed startem. Nie zawiera prób włamania ani przeglądu bezpieczeństwa oprogramowania. Nie oceniamy także zgodności z zasadami wykonywania zawodu, bo to należy do samorządu.

Same wymagania normy przybliża ISO 27001, przez cały projekt certyfikacyjny prowadzi wdrożenie, komplet polityk powstaje przy dokumentacji, a zestawienie z obowiązkami ustawowymi daje ISO 27001 a NIS 2. Termin badania umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026