Dokumentacja ISO 27001 Łódź

Dlaczego dokument starzeje się tu szybciej niż gdzie indziej

Dokumentacja systemu opisuje sposób pracy, więc żyje dokładnie tak długo, jak długo ten sposób pracy się nie zmienia. W zakładzie produkującym te same wyroby od dziesięciu lat oznacza to spokojne kilka lat. W firmie prowadzącej sprzedaż przez sieć oznacza to jeden kwartał, czasem krócej.

Powód nie leży w bałaganie, tylko w naturze tej działalności. Nowy kanał sprzedaży podpina się w tydzień. Kolejny przewoźnik pojawia się, bo poprzedni podniósł stawki. Narzędzie do obsługi zwrotów zmienia się po jednym sezonie. Każda z tych decyzji jest właściwa handlowo i każda unieważnia fragment dokumentu, w którym ktoś wymienił dostawców z imienia.

Co zmienia się co kwartał, a co zostaje na lata

Dokument albo wykaz	Jak często realnie się zmienia	Gdzie go prowadzimy	Co go otwiera
Polityka bezpieczeństwa	raz na kilka lat	podpisany dokument u zarządu	zmiana profilu działalności firmy
Zakres systemu	rzadko, przy nowej usłudze	dokument zatwierdzony razem z polityką	wejście w obsługę nowego typu zlecenia
Metoda oceny ryzyka	prawie nigdy	dokument opisujący sposób postępowania	zmiana skali firmy albo wniosek z przeglądu
Rejestr ryzyk	co kwartał	arkusz z właścicielem każdej pozycji	nowy kanał, nowy dostawca, zdarzenie
Deklaracja stosowania	raz do roku	dokument wiązany z rejestrem ryzyk	zmiana zestawu stosowanych środków
Procedura dostępów	rzadko	dokument opisujący zasadę	zmiana sposobu przyjmowania ludzi
Wykaz systemów i integracji	co kwartał	załącznik prowadzony przez informatykę	podpięcie albo wyłączenie narzędzia
Wykaz dostawców i przewoźników	kilka razy w roku	załącznik prowadzony przez zakupy	podpisanie lub zakończenie umowy
Instrukcje przy stanowiskach	przy zmianie układu hali	kartki w strefie pakowania i wydań	przestawienie regałów, nowy sprzęt

Podział na dwie prędkości jest całym pomysłem na ten komplet. Rzeczy z górnej części tabeli podpisuje zarząd i otwiera się je wyjątkowo. Rzeczy z dolnej prowadzi wskazana osoba i zmienia je w kilka minut, nie ruszając niczego, co wymagałoby ponownego zatwierdzenia.

Wykazy zamiast wyliczeń w treści procedury

Procedura mówiąca „dane przekazujemy przewoźnikom wymienionym w wykazie” działa przez lata. Ta sama procedura z listą trzech firm wpisaną w akapit przestaje odpowiadać rzeczywistości przy pierwszej zmianie stawek. Różnica dotyczy jednego zdania, a decyduje o tym, czy po roku ktokolwiek uzna ten dokument za wiarygodny.

Tak samo postępujemy z systemami. W procedurze zostaje zasada, na przykład że każde narzędzie przetwarzające dane kupujących trafia do wykazu przed uruchomieniem i ma wskazanego właściciela. W wykazie stoją nazwy, daty podpięcia i osoby odpowiedzialne. Przy badaniu pokazujecie oba, a przy zmianie dostawcy zmieniacie tylko jeden.

Na czym opieramy treść

Na trzech rzeczach naraz i żadną z nich nie jest wzorzec z internetu. Pierwsza to rozmowy prowadzone tam, gdzie czynność się odbywa: przy stanowisku pakowania, w strefie zwrotów, przy rampie i przy biurku obsługi zamówień. Padają tam odpowiedzi, których nie usłyszy się przy stole konferencyjnym, bo dotyczą rozwiązań wypracowanych po drodze i nigdzie niezgłoszonych.

Druga to umowy, które już Was wiążą. Kontrakty ze zleceniodawcami zawierają gotowe wymagania: czas powiadomienia o zdarzeniu, zasady dostępu do ich systemów, sposób postępowania z materiałem po zakończeniu współpracy. Trzecia to odczyt stanu faktycznego z systemów, czyli sprawdzenie, czy zapisane zasady mają pokrycie w ustawieniach.

Deklaracja stosowania przy pracy na cudzych danych

To dokument, przy którym badający zatrzymuje się najdłużej, ponieważ pokazuje sposób myślenia, a nie stan wyposażenia. W firmie obsługującej cudzą sprzedaż dochodzi jeszcze jedno źródło decyzji: część środków wynika nie z Waszej oceny ryzyka, tylko z wymagań marki, która powierzyła Wam swoje zamówienia.

Piszemy to wprost, z odwołaniem do konkretnego zapisu umowy, bo takie uzasadnienie waży więcej niż ogólne zdanie o dbałości o bezpieczeństwo. Pominięcia opisujemy równie konkretnie. Formuła o niestosowalności przy środku dotyczącym dostępu fizycznego, postawiona przez firmę prowadzącą halę z rampą, jest pierwszą rzeczą, o którą padnie pytanie.

Kiedy komplet dokumentów zamawia się osobno

Wtedy, gdy ocenę ryzyka prowadzicie samodzielnie, zabezpieczenia są już wdrożone, a brakuje wyłącznie warstwy opisowej, na przykład dlatego, że zleceniodawca poprosił o przesłanie polityki przed podpisaniem umowy. Warstwa opisowa domyka wtedy pracę wykonaną wcześniej Waszymi siłami.

Nie wystarczy natomiast wtedy, gdy granica systemu nie została jeszcze wyznaczona i nie ma rejestru ryzyk, ponieważ deklaracja stosowania nie miałaby wówczas na czym się oprzeć. Punktem startu jest w takim razie badanie zgodności, a przez resztę drogi prowadzi wdrożenie. Samą normę i decyzję o zakresie przybliża ISO 27001. Zakres dokumentów ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026