Dokumentacja ISO 27001 Katowice

Dwie drogi i tylko jedna z nich przeżywa rok

Firma z halą, biurem i magazynem staje przed wyborem, który zapada zwykle bez świadomej decyzji. Pierwsza droga to komplet dokumentów napisany osobno dla każdego obiektu, bo każdy pracuje inaczej i każdy ma inną osobę odpowiedzialną. Druga to jeden zestaw procedur obowiązujących całą firmę, z krótkim załącznikiem opisującym różnice pod konkretnym adresem.

Pierwsza wygrywa na starcie, ponieważ jest wygodna: każdy obiekt dostaje dokument, w którym rozpoznaje siebie. Przegrywa po roku, gdy zmiana jednej zasady wymaga trzech poprawek w trzech miejscach, dwie z nich ktoś wykonuje, a trzecia zostaje w wersji z zeszłego roku. Przy badaniu wychodzi to natychmiast, bo dwa dokumenty o tej samej nazwie mówią co innego.

Co zostaje wspólne, a co dopisuje lokalizacja

Dokument	Co zapisujemy raz dla firmy	Co dopisuje obiekt	Czym grozi brak części lokalnej
Polityka bezpieczeństwa	zasady, role i zobowiązanie kierownictwa	nic, obowiązuje wszędzie tak samo	nie dotyczy
Zakres systemu	granica i jej uzasadnienie	wskazanie, które budynki są wewnątrz	spór o to, czy magazyn podlega zasadom
Rejestr ryzyk	metoda i kryteria akceptacji	pozycje właściwe dla tego miejsca	ryzyko hali oceniane miarą biura
Zasady dostępu	poziomy uprawnień i tryb nadawania	kto zgłasza i kto zatwierdza na miejscu	konta zakładane przy stanowisku bez śladu
Zgłaszanie zdarzeń	co jest zdarzeniem i w jakim czasie reagujemy	numer telefonu i zastępstwo poza godzinami	zgłoszenie czeka do rana w obiekcie bez informatyki
Nośniki wymienne	reguła użycia i nadzór	miejsce wydania i osoba prowadząca ewidencję	pendrive krąży, bo nikt nie odpowiada za szafkę
Strefy i klucze	zasada wydawania za potwierdzeniem	plan stref i miejsce prowadzenia zeszytu	klucze bez rubryki zwrotu w jednym budynku
Nadzór nad dostawcami	wymagania w umowach i sposób ich sprawdzania	wykaz firm wchodzących pod ten adres	serwis maszyny bez zapisu wizyty
Ciągłość działania	scenariusze i dopuszczalny czas postoju	co robi ten obiekt przy zerwanym łączu	magazyn improwizuje, a stany rozjeżdżają się na dwa dni

Kolumna trzecia mieści się w praktyce na jednej stronie na obiekt. To jest cała tajemnica tego układu: różnic między lokalizacjami jest mało, tylko są ważne, a wpisane do procedury nadrzędnej zamieniają ją w dokument, którego nikt nie czyta do końca.

Skąd bierzemy treść

Z rozmów prowadzonych w każdym obiekcie osobno i z odczytu stanu faktycznego z systemów. Rozmowy odbywają się tam, gdzie opisywana czynność się wykonuje: przy portierni, przy stanowisku technologa, przy wydaniu towaru. Padają w nich odpowiedzi, których nie usłyszy się w sali konferencyjnej, bo dotyczą rozwiązań wypracowanych po drodze i nigdzie niezgłoszonych.

Drugim źródłem są dokumenty, które już Was wiążą. Umowy z odbiorcami zawierają terminy powiadomienia, wymagania wobec dostępów i zasady postępowania z powierzoną dokumentacją, a to są gotowe wymagania do procedur. Rozjazd między tym, co mówi umowa, a tym, co robi obiekt, jest najcenniejszą częścią tej pracy.

Deklaracja stosowania, gdy budynków jest kilka

To dokument, przy którym badający zatrzymuje się najdłużej, ponieważ pokazuje sposób myślenia, a nie stan wyposażenia. Przy kilku obiektach dochodzi pułapka łatwa do przeoczenia: środek wdrożony w jednym budynku bywa opisywany jako wdrożony w firmie, choć w dwóch pozostałych nie istnieje.

Piszemy więc przy każdym przyjętym środku, gdzie dokładnie działa, a przy pominięciach podajemy powód odwołujący się do konkretnego ryzyka. Formuła o niestosowalności przy środku, który wyraźnie dotyczy firmy z halą i magazynem, jest pierwszą rzeczą, o którą padnie pytanie.

Wzory zapisów tam, gdzie nie ma komputera

Tyle formularzy, ile faktycznie zostanie wypełnionych. Osoba wydająca klucz w magazynie nie zaloguje się do osobnego programu, żeby to odnotować. Wpisze jedną linijkę w zeszycie leżącym przy wyjściu, jeśli ten zeszyt ma datę i miejsce na podpis, i jest to w porządku, dopóki ktoś raz na kwartał ten zeszyt przegląda.

W biurze jest odwrotnie: ślad powstaje sam w systemie zgłoszeń i w katalogu tożsamości, więc formularza nie tworzymy w ogóle. Każdy dołożony wzór jest obowiązkiem ciążącym na kimś przez kolejne lata, więc powstają wyłącznie te, bez których nie da się wykazać wymagania.

Kiedy sam komplet wystarczy, a kiedy nie

Wystarczy, gdy ocenę ryzyka prowadzicie samodzielnie, zabezpieczenia są wdrożone, a brakuje wyłącznie warstwy opisowej, na przykład dlatego, że odbiorca poprosił o przesłanie polityki. Domyka wtedy projekt prowadzony wcześniej Waszymi siłami i kupuje się go jako pojedyncze zlecenie.

Nie wystarczy, gdy nie zapadła decyzja o granicy systemu ani nie istnieje rejestr ryzyk, bo deklaracja stosowania nie ma się wtedy z czego wziąć. Zaczynamy wówczas od badania zgodności, a całość projektu prowadzi wdrożenie. Samą normę i decyzję o zakresie przybliża ISO 27001. Zakres dokumentów ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026