Dokumentacja ISO 27001 Kraków

Dlaczego zaczynamy od czytania, a nie od pisania

W centrum usług wspólnych i w większej kancelarii istnieje już zwykle kilkadziesiąt dokumentów opisujących sposób wykonywania pracy. Powstały, bo klient wymagał powtarzalności, bo trzeba było wdrożyć nowe osoby albo bo proces przenoszono z innego kraju i ktoś musiał go najpierw spisać.

Doradca, który tego nie przeczyta i zacznie od własnego szablonu, doprowadza do sytuacji spotykanej częściej, niż powinna. Firma ma dwa komplety opisów tej samej czynności: jeden używany codziennie i jeden przygotowany pod badanie. Po kilku miesiącach różnią się w szczegółach, po roku w istocie, a audytor znajduje tę różnicę w pierwszej rozmowie z pracownikiem, bo pyta o czynność, a nie o dokument.

Dlatego pierwszy tydzień pracy schodzi u nas na lekturze i na rozmowie o tym, które opisy są żywe, które nikt nie otwierał od dwóch lat, a które są załącznikiem do umowy i mają własny tryb zmiany.

Co przerabiamy, a co powstaje od zera

Co zwykle istnieje	Do czego to przerabiamy	Co trzeba dopisać	Co powstaje osobno
Opis przebiegu procesu	procedura operacyjna systemu	właściciel, ryzyko, miejsce powstania dowodu	nic, wystarczy przeróbka
Instrukcja stanowiskowa	zasady pracy z informacją	odwołanie do polityki i do klasyfikacji	nic
Matryca uprawnień	procedura kontroli dostępu	rytm przeglądu i formę zapisu	wzór zapisu z przeglądu
Karta wdrożenia nowej osoby	procedura dla zasobów ludzkich	potwierdzenie przekazania zasad	zobowiązanie do poufności
Umowa powierzenia	wymagania wobec dostawców	wykaz i sposób oceny podmiotów	rejestr dostawców
Raport miesięczny dla odbiorcy	dane do monitorowania i pomiaru	powiązanie z celami bezpieczeństwa	protokół przeglądu zarządzania
Rejestr reklamacji	wejście do obsługi niezgodności	rozdzielenie zdarzeń bezpieczeństwa	rejestr zdarzeń i procedura zgłoszenia
Nic w tym obszarze	brak podstawy	brak	polityka, zakres, metoda ryzyka, deklaracja stosowania

Ostatni wiersz zawiera cztery dokumenty, których nie da się z niczego przerobić, ponieważ nie mają odpowiednika w dokumentacji operacyjnej. To one są sednem pracy i to o nich mówimy, gdy pada pytanie, za co właściwie płaci się w tym zleceniu.

Czego nie wolno ruszać, bo jest załącznikiem do umowy

Rzecz, która potrafi zablokować projekt na kwartał, jeśli nikt jej nie przewidzi. Duzi odbiorcy przyjmują opis procesu jako załącznik do kontraktu, a to oznacza, że każda jego zmiana wymaga zgody drugiej strony, czasem w trybie aneksu podpisywanego w innym kraju.

Rozwiązanie polega na odwołaniu zamiast powielenia. Dokument systemowy stwierdza, że dana czynność jest wykonywana zgodnie z załącznikiem o wskazanym numerze i wersji, i dopisuje wyłącznie to, czego wymaga norma, a czego w załączniku nie ma: kto odpowiada, z jakiego ryzyka to wynika, gdzie zostaje ślad.

Efekt uboczny jest korzystny. Przy zmianie umowy z klientem nie trzeba otwierać dokumentacji systemu, wystarczy zaktualizować numer wersji w jednym miejscu, a przy badaniu widać, że system nadąża za rzeczywistością handlową firmy.

Jak zapisujemy zasadę, której nie wolno zilustrować przykładem

W kancelarii i w części procesów obsługiwanych dla klientów przykład jest zakazany, a dobra procedura zwykle na przykładzie stoi. Piszemy je więc inaczej: przez czynność, rolę i ślad, bez ani jednego odwołania do przedmiotu sprawy.

Zdanie brzmi wtedy tak, że dostęp do materiału nadaje się na wniosek osoby prowadzącej, zamyka w dniu zamknięcia sprawy, a fakt obu czynności odnotowuje w wykazie prowadzonym przez wskazaną osobę. Audytor sprawdza to na wykazie i ani razu nie musi wiedzieć, czego sprawa dotyczyła.

Ta sama zasada rządzi wzorami zapisów. Formularz zawiera identyfikator, datę, osobę i wynik, nigdy opis. Dokument, który wymaga wpisania streszczenia sprawy, nie zostanie wypełniony albo zostanie wypełniony w sposób naruszający tajemnicę, i oba wyniki są złe.

Wzory zapisów w organizacji rozliczanej z czasu

W firmie, w której godziny pracownika są przypisywane do zleceń, każdy formularz konkuruje z czynnością, za którą ktoś płaci. Wzór wymagający zalogowania do osobnego narzędzia przegrywa tę konkurencję w drugim tygodniu i przestaje powstawać, a system, w którym dowody przestały powstawać, jest martwy niezależnie od jakości opisów.

Projektujemy je dlatego pod istniejące narzędzia. Przegląd uprawnień jako lista z zatwierdzeniem w tym samym systemie, w którym prowadzi się dostępy. Zgłoszenie zdarzenia jako kilka pól dostępnych z telefonu. Potwierdzenie szkolenia jako jedna pozycja dla całego zespołu, nie osobna dla każdej osoby.

Tam, gdzie ślad powstaje sam, formularza nie ma w ogóle i jest to świadoma decyzja zapisana w dokumencie. Każdy wzór jest zobowiązaniem na kolejne lata, więc robimy ich tyle, ile trzeba, i ani jednego więcej.

W którym momencie zamawia się same dokumenty

Wtedy, gdy zakres systemu jest już zdecydowany, rejestr ryzyk istnieje i ktoś go prowadzi, a zabezpieczenia są wdrożone. Wówczas brakuje wyłącznie warstwy opisowej i komplet zamawia się jako ostatnią pozycję projektu.

Nie wystarczy natomiast wtedy, gdy nie zapadła decyzja o granicy systemu, bo deklaracja stosowania nie ma się wtedy z czego wziąć, a bez niej pozostałe dokumenty opisują firmę, o której nie wiadomo, gdzie się kończy. Wtedy pierwszym krokiem jest audyt zgodności, a cały projekt prowadzi wdrożenie. Samą normę przybliża ISO 27001. Zakres dokumentów ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026