Dokumentacja ISO 27001 Barlinek

Dla kogo naprawdę piszemy te dokumenty

Formalnie dla audytora. Praktycznie dla trzech osób w firmie: właściciela, który podejmuje decyzje, osoby od kadr i administracji, która prowadzi rejestry, oraz pracownika, który raz na jakiś czas musi sprawdzić, co zrobić w konkretnej sytuacji.

To rozstrzyga o objętości. Dokument, którego nikt z tej trójki nie przeczyta, nie ma wartości, choćby był zgodny co do przecinka. W zakładzie na dwadzieścia osób sensowna procedura mieści się na jednej albo dwóch stronach, a najczęściej używane fragmenty wyciągamy dodatkowo na skróconą kartkę przy stanowisku.

Skąd bierze się treść w firmie, która nigdy niczego nie opisywała

Z rozmów, prowadzonych na miejscu, przy pracy. Pytamy szefa produkcji, jak wygląda przekazanie zmiany. Pytamy księgową, gdzie trafiają dokumenty od klientów i kto jeszcze do nich zagląda. Pytamy właściciela, kto wie hasło do konta bankowego i co się dzieje, gdy tej osoby nie ma przez tydzień.

Odpowiedzi bywają nieoczywiste. W wielu barlineckich firmach zasady istnieją i działają od lat, tylko nigdy nie zostały zapisane, bo wszyscy je znają. Naszą pracą jest wtedy nazwanie tego, co już jest, a nie wymyślanie nowego porządku.

Co powstaje i kto za to odpowiada

Dokument	Kto go podpisuje	Kto go potem prowadzi
Polityka i granice systemu	właściciel	właściciel, przegląd raz w roku
Ocena ryzyka z rejestrem	właściciel	osoba od administracji, przegląd co pół roku
Deklaracja stosowania	właściciel	aktualizowana po zmianie zabezpieczeń
Procedura dostępów	właściciel	osoba od kadr, przy każdym zatrudnieniu
Procedura zdarzeń	właściciel	osoba zgłaszająca, karta wypełniana na bieżąco
Procedura kopii	właściciel	my albo Wasz informatyk, zapis miesięczny
Formularze i karty	bez podpisu	ci, którzy je wypełniają

Trzecia kolumna jest tą, o którą rozbijają się systemy w małych firmach. Dokument bez wskazanej osoby nie jest niczyj i nie zostaje zaktualizowany, a przy audycie nadzoru widać to natychmiast po dacie ostatniej zmiany.

Czym różni się dokument od zapisu

Dokument mówi, jak ma być. Zapis dowodzi, że tak było. Procedura przeglądu uprawnień jest dokumentem, a wypełniona karta z datą i podpisem jest zapisem. Audytor pyta o jedno i o drugie, ale niezgodności wystawia najczęściej za brak tego drugiego.

Dlatego formularze traktujemy jako osobną część zamówienia, a nie jako dodatek. Karta, którą da się wypełnić w trzy minuty przy komputerze w biurze, zostanie wypełniona. Tabela z czternastoma kolumnami wymagająca zbierania danych z trzech miejsc nie zostanie wypełniona nigdy i po pół roku system stoi.

Czego w tym komplecie nie znajdziecie

Polityk opisujących działy, których nie macie. Ról typu pełnomocnik do spraw systemu, jeśli nie ma kogo nią obciążyć. Odwołań do narzędzi, których nie używacie. Rozdziałów o pracy zdalnej w firmie, w której wszyscy pracują na miejscu, i odwrotnie: pominięcia tego tematu, jeśli księgowa pracuje z domu dwa dni w tygodniu.

Nie znajdziecie też dokumentacji prawnej ochrony danych osobowych. To osobna warstwa, opisana przy audycie RODO, i pisze ją prawnik albo inspektor ochrony danych.

Jak to wygląda w czasie

Dwa dni rozmów u Was, rozłożone tak, żeby nie zabierać nikomu całego dnia pracy. Potem od trzech do czterech tygodni pisania po naszej stronie. Następnie przegląd projektu razem z właścicielem, poprawki wynikające z tego przeglądu i przekazanie kompletu wraz z krótkim szkoleniem dla osoby, która przejmuje prowadzenie.

Przyjeżdżamy z Gorzowa, dwadzieścia cztery kilometry drogą wojewódzką 151, więc rozmowy da się rozłożyć na kilka krótszych wizyt zamiast dwóch pełnych dni. Spotkanie przeglądowe może odbyć się w naszym biurze przy Jeziornej 7D.

Kiedy sam komplet dokumentów wystarczy

Gdy technika jest już uporządkowana, a brakuje wyłącznie opisu i rejestrów. Zdarza się to firmom, które wcześniej przeszły badanie zgodności i zamknęły braki techniczne własnymi siłami. Wtedy dokumentacja domyka projekt i nie ma potrzeby zamawiać pełnego wdrożenia.

Gdy natomiast kopie są nieprzetestowane, uprawnienia nikt nie przeglądał od lat, a dostęp zdalny wystawiono kiedyś na szybko, sam komplet dokumentów opisze stan, którego nie chcecie mieć opisanego. Wtedy sensowna jest ścieżka pełna, którą prowadzimy przy wdrożeniu i certyfikacji.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026