Dokumentacja ISO 27001 Lublin

Dla kogo naprawdę piszemy te dokumenty?

Dla dwóch grup czytelników, które mają zupełnie inne możliwości. Pierwsza siedzi w biurze przy Kresowej albo w bazie i może przeczytać procedurę na ekranie, wrócić do niej i zapytać. Druga jest w drodze, ma telefon w uchwycie i pięć minut przy załadunku.

Komplet napisany wyłącznie dla pierwszej grupy wygląda poprawnie i nie działa, bo połowa firmy nigdy go nie otworzy. Dlatego oprócz właściwej dokumentacji powstaje karta na jedną stronę, obejmująca to, co dotyczy pracy poza bazą. Blokada telefonu, postępowanie z dokumentami przewozowymi, zasada przekazywania danych o ładunku i jeden numer, pod który zgłasza się zdarzenie.

Ten podział ma jeszcze jedną zaletę. Audytor sprawdza system, pytając ludzi, co robią w konkretnej sytuacji. Pracownik, który dostał jedną kartę zamiast kilkudziesięciu stron, ma szansę odpowiedzieć tak, jak napisano.

Co wchodzi w komplet i po co każda część?

Dokument	Odpowiada na pytanie	Kto z niego korzysta	Jak często się zmienia
Zakres systemu	co obejmujemy, a czego nie	zarząd, audytor	przy zmianie struktury firmy
Polityka bezpieczeństwa	jakie zasady obowiązują wszystkich	cała firma	raz na rok przy przeglądzie
Metoda oceny ryzyka	jak ważymy zagrożenia	gospodarz systemu	rzadko, przy zmianie podejścia
Rejestr ryzyk	co nam grozi i co z tym robimy	gospodarz, zarząd	przy każdej istotnej zmianie
Deklaracja stosowania	które zabezpieczenia stosujemy	audytor jednostki	po zmianie rejestru ryzyk
Procedury operacyjne	kto co robi w danej sytuacji	biuro, administrator	przy zmianie procesu
Karta pracy poza bazą	co obowiązuje w drodze	kierowcy, przedstawiciele	rzadko, ma być stabilna
Wzory zapisów	czym udowadniamy działanie	wszyscy, biernie	przy zmianie formy zapisu

Ostatni wiersz bywa lekceważony, a to on rozstrzyga, czy system przetrwa pierwszy rok. Formularz wymagający wydrukowania, podpisania i dostarczenia do biura nie zostanie wypełniony przez nikogo, kto bywa tam raz na dwa tygodnie.

Na czym opieramy treść, skoro nie na szablonie?

Na rozmowach i na tym, co zastaliśmy. Pytamy, jak wygląda przyjęcie i odejście pracownika, kto nadaje dostęp do systemu pokładowego, co się dzieje po awarii serwera w bazie, jak przekazujecie zlecenie podnajętemu wykonawcy i kto odbiera mu dostęp po zakończeniu współpracy.

Odpowiedzi bywają niewygodne, bo pokazują, że część czynności nie ma właściciela. To dobrze, bo dokument opisujący stan wymyślony przestaje być zgodny z rzeczywistością w dniu podpisania. Tam, gdzie procesu naprawdę nie ma, proponujemy najprostszy możliwy i zapisujemy właśnie ten.

Jak opisać wymagania wobec podnajętego wykonawcy?

To część, którą w firmach przewozowych i usługowych pisze się najtrudniej, a pomija najczęściej. Umowa handlowa z podwykonawcą mówi o stawce, terminie i odpowiedzialności za ładunek, natomiast milczy o tym, komu wolno zobaczyć dane zlecenia i co dzieje się z dostępem po zakończeniu współpracy.

Zapisujemy więc cztery rzeczy. Jaki zakres informacji wykonawca dostaje, w jakiej formie ma je przechowywać, na jaki czas przyznajecie mu dostęp do Waszych systemów oraz kto po Waszej stronie ten dostęp odbiera i gdzie to odnotowuje. Do tego dochodzi krótka lista wymagań, którą wykonawca potwierdza podpisem, bez odsyłania go do całej dokumentacji.

Audytor pyta o ten obszar niemal zawsze, bo bezpieczeństwo łańcucha dostaw jest jednym z zabezpieczeń, których pominięcie trudno uzasadnić w firmie regularnie korzystającej z usług innych podmiotów. Odpowiedź w postaci gotowego zapisu zamyka temat w minutę.

Jak długo żyje taki komplet bez opieki?

Krócej, niż zakłada większość zamawiających. Pierwsze rozejście z rzeczywistością przychodzi zwykle w pół roku, przy zmianie systemu pokładowego albo przy otwarciu oddziału. Procedura dalej opisuje poprzedni układ, a nikt tego nie zauważa, dopóki nie zapyta audytor.

Dlatego przy przekazaniu ustalamy dwie rzeczy. Kto jest gospodarzem dokumentacji i w jakich sytuacjach ma ją otworzyć, nawet jeśli nikt go o to nie poprosi. Lista takich sytuacji jest krótka i mieści się na jednej stronie: zmiana systemu, nowa lokalizacja, nowy rodzaj przewożonego ładunku, zdarzenie bezpieczeństwa oraz coroczny przegląd. Komplet z takim spisem przeżywa pierwszy audyt nadzoru, komplet bez niego zwykle nie.

Kiedy sam komplet dokumentów nie wystarczy?

Zawsze wtedy, gdy celem jest certyfikat, bo jednostka bada działanie, a nie opis. Dokumentacja jest warunkiem koniecznym i punktem wyjścia, ale dowody powstają przez kolejne miesiące pracy i nie da się ich wytworzyć wstecz.

Nie wystarczy też wtedy, gdy technika w firmie odbiega od tego, co dokument obiecuje. Procedura mówiąca o odtwarzaniu kopii co kwartał wymaga kopii, którą da się odtworzyć, a to sprawdza audyt IT. Pełny przebieg prac opisaliśmy przy wdrożeniu i certyfikacji, a stan wyjściowy mierzy audyt zgodności. Rozmowę umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026