Audyt ISO 27001 Opole

Po co mierzyć dystans, skoro termin i tak jest ustalony?

Właśnie dlatego, że jest ustalony przez kogoś innego. Zakład należący do zagranicznej grupy dostaje datę certyfikacji w planie właściciela, zwykle bez konsultacji i bez wiedzy o tym, jak wygląda stan na miejscu. Zarząd zakładu odpowiada na to zwykle jednym z dwóch sposobów: potwierdza termin, licząc na to, że jakoś się uda, albo prosi o przesunięcie bez żadnego uzasadnienia. Oba kończą się źle.

Audyt zgodności zamienia tę rozmowę w rozmowę o liczbach. Zamiast wrażenia, że brakuje sporo, powstaje lista wymagań z oceną i przeliczeniem na miesiące oraz na godziny pracy Waszych ludzi. Z takim dokumentem da się pójść do centrali i albo potwierdzić termin, albo poprosić o przesunięcie, pokazując dokładnie, co za tym stoi. Druga rozmowa idzie znacznie lepiej niż pierwsza.

Jak wygląda ocena wymagania?

Ocena	Co oznacza	Co robimy dalej
Spełnione	zasada działa i jest dowód	opisujemy dowód, żeby dało się go pokazać
Częściowo	zasada działa, brakuje zapisu albo konsekwencji	wskazujemy, czego brakuje i ile to pracy
Brak	nie ma ani zasady, ani praktyki	wpisujemy do harmonogramu z szacunkiem nakładu

Największą grupą jest zwykle ocena środkowa i to jest dobra wiadomość. Firma robi wiele rzeczy poprawnie, tylko nie zostawia po nich śladu. Uzupełnienie takiego braku polega na wprowadzeniu zapisu do istniejącej czynności, a nie na zmianie sposobu pracy, więc kosztuje niewiele czasu i nie budzi oporu zespołu.

Ocena skrajnie negatywna dotyczy zwykle tych samych obszarów: audytu wewnętrznego, przeglądu zarządzania, oceny ryzyka w formie nadającej się do pokazania oraz nadzoru nad dostawcami. Te cztery pozycje decydują o terminie bardziej niż cokolwiek innego, bo dwóch z nich nie da się zrobić szybko: audyt wewnętrzny i przegląd zarządzania wymagają danych z jakiegoś okresu.

Dlaczego rozmawiamy z pracownikami, a nie tylko z dokumentami?

Bo dokładnie tak pracuje audytor jednostki certyfikującej. Bierze procedurę i pyta osobę, która ma według niej postępować, co robi w konkretnej sytuacji: gdy przychodzi nowy pracownik, gdy ktoś odchodzi, gdy dostanie podejrzaną wiadomość, gdy serwis prosi o zdalny dostęp. Odpowiedź porównuje z zapisem i z procedurą.

Rozjazd między tymi trzema rzeczami wychodzi w pierwszej godzinie badania i jest najczęstszą przyczyną niezgodności. Dlatego w naszym audycie robimy to samo, tylko wcześniej i bez konsekwencji formalnych. Jeżeli okazuje się, że procedura opisuje proces, którego nikt nie stosuje, mamy do wyboru poprawić procedurę albo zmienić praktykę, i obie drogi są łatwiejsze przed badaniem niż po nim.

Co dostaje centrala, a co zostaje w zakładzie?

Raport ma dwie części, bo ma dwóch różnych odbiorców. Część pierwsza to ocena zgodności z harmonogramem uzupełnienia braków, napisana tak, żeby dała się przekazać właścicielowi bez tłumaczenia i bez przepisywania. To ona odpowiada na pytanie o termin.

Część druga jest robocza i zostaje w zakładzie. Zawiera konkretne zadania z przypisaniem do osób, wskazaniem, co ma powstać, i szacunkiem czasu. Rozdzielenie tych dwóch części ma znaczenie praktyczne: dokument dla właściciela z pięćdziesięcioma szczegółowymi zadaniami wygląda jak katastrofa, a ta sama treść w rozbiciu na oceny i harmonogram wygląda jak projekt pod kontrolą.

Czego ten audyt nie robi?

Nie wydaje świadectwa i nie zastępuje badania jednostki certyfikującej. Nie jest audytem wewnętrznym wymaganym przez normę, choć bywa mylony, bo tamten musi być prowadzony według Waszego programu i obejmować cały system. Nie uzupełnia braków, bo to osobny zakres pracy wyceniany po raporcie.

Wyjaśnienie samych wymagań daje ISO 27001, pełną drogę do świadectwa prowadzi wdrożenie i certyfikacja, a komplet dokumentów dokumentacja ISO 27001. Termin audytu ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026