Audyt ISO 27001 Poznań

Dlaczego wynik podajemy liczbą, a nie oceną

Zarząd, który zamawia takie badanie, ma do podjęcia jedną decyzję: umawiać audyt jednostki certyfikującej czy przesunąć go o kwartał. Opis stanu firmy na dwudziestu stronach tej decyzji nie ułatwia. Ułatwia ją zdanie: jedenaście rozbieżności, w tym trzy duże, praca na około sześć tygodni.

Dlatego raport zaczyna się od tej liczby, a dopiero potem tłumaczy, skąd się wzięła. Klasyfikacja jest ta sama, którą stosuje audytor jednostki, więc przełożenie wyniku na to, co usłyszycie od niego, jest bezpośrednie.

Co odróżnia dużą rozbieżność od drobnej

Klasa	Co ją wywołuje	Typowy przykład	Nakład na zamknięcie
Duża	brak całego wymaganego elementu	nieprowadzona ocena ryzyka	kilka tygodni z warsztatami
Duża	element istnieje tylko na papierze	procedura, o której nikt w firmie nie wie	tygodnie, bo trzeba zmienić praktykę
Duża	brak dowodów za cały okres	żadnego zapisu z przeglądu uprawnień	kwartał, dowodów nie da się wytworzyć wstecz
Drobna	element działa, ale nieregularnie	szkolenia prowadzone raz na dwa lata	dni, wystarczy ustalić rytm
Drobna	zapis niepełny	protokół bez daty albo bez podpisu	godziny, poprawka wzoru formularza
Drobna	rozjazd dokumentu z rzeczywistością	polityka wymienia system sprzed migracji	dni, aktualizacja treści
Spostrzeżenie	ryzyko bez naruszenia wymagania	jedna osoba zna wszystkie hasła	zależnie od decyzji zarządu

Wiersz trzeci jest tym, przez który firmy przesuwają terminy. Dowodów działania systemu nie da się nadrobić w tydzień przed audytem, bo mają daty i audytor patrzy właśnie na nie. To jedyny rodzaj braku, którego nie skraca ani budżet, ani zaangażowanie zespołu.

Co wychodzi najczęściej w firmach z kilkoma lokalizacjami

Zakres opisany szerzej, niż firma jest w stanie utrzymać. Dokument obejmuje wszystkie magazyny, a dowody istnieją tylko z centrali. Zawężenie zakresu bywa lepszą decyzją niż nadrabianie sześciu adresów naraz i jest w pełni zgodne z normą.

Zabezpieczenia fizyczne opisane raz, wdrożone różnie. Centrala ma kontrolę wejścia i rejestr gości, magazyn ma bramę otwieraną kluczem, który ma pięć osób i dwóch przewoźników. W deklaracji stosowania widnieje jedno zdanie dla obu miejsc.

Dostawcy bez żadnych wymagań w umowie. Firma serwisująca system magazynowy ma stały dostęp zdalny, a w umowie nie ma ani słowa o bezpieczeństwie. Norma pyta o to wprost, a przy dystrybucji jest to zwykle największa pojedyncza dziura.

Pracownicy sezonowi poza procesem. Procedura nadawania i odbierania dostępów opisuje zatrudnienie na umowę o pracę, a przez magazyn przechodzi w szczycie kilkadziesiąt osób z agencji, których nikt nie wpisuje do tej samej ścieżki.

Jak badamy zakres rozłożony na kilka adresów

Zaczynamy od dokumentu, kończymy w terenie. Najpierw czytamy, co firma zadeklarowała jako granice systemu, a potem sprawdzamy, czy poza tymi granicami nie zostało nic, co realnie przetwarza chronione informacje. W dystrybucji takim miejscem bywa biuro obsługi zamówień w oddziale albo stanowisko przy rampie, na którym drukuje się dokumenty przewozowe z danymi odbiorców.

Wizyty w Poznaniu i okolicznych gminach mieszczą się w kwocie badania. Lokalizacje dalsze uzgadniamy przed startem, bo od liczby adresów zależy liczba dni, a nie stawka.

Co się dzieje, gdy termin narzuca ktoś z zewnątrz

Coraz częściej badanie zamawia spółka, od której centrala albo duży odbiorca oczekuje potwierdzenia zgodności w konkretnym kwartale. Wtedy raport ma jeszcze jedno zadanie: pokazać, co da się zamknąć przed tym terminem, a czego nie da się zamknąć w żaden sposób.

Uczciwa odpowiedź bywa niewygodna, ale działa lepiej niż obietnica. Oświadczenie o rozpoczętym porządkowaniu, poparte raportem i harmonogramem z datami, w większości przypadków wystarcza stronie, która pytała, a próba zdążenia na skróty kończy się listą niezgodności u audytora jednostki.

Wymagania samej normy tłumaczy ISO 27001, całą drogę do certyfikatu prowadzi wdrożenie, a komplet polityk i procedur powstaje przy dokumentacji. Zestawienie z obowiązkami ustawowymi znajdziecie przy ISO 27001 a NIS 2. Termin badania ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026