Dokumentacja ISO 27001 Toruń

Po co drugi zbiór procedur, skoro macie już system jakości?

Nie po co, tylko dlaczego nie. Zakład prowadzący dokumentację jakościową ma działający nadzór nad dokumentami: numerację, wersje, ścieżkę zatwierdzania, listę rozdzielnika i przegląd raz w roku. Uruchomienie obok niego drugiego obiegu z własną numeracją i własnym opiekunem kończy się w każdej firmie tak samo. Po roku aktualizowany jest jeden z nich, a przy badaniu wychodzi, że drugi opisuje stan sprzed reorganizacji.

Dlatego zaczynamy od pytania, którego nie zadaje się przy pisaniu dokumentów od zera: co już istnieje i da się rozszerzyć. Odpowiedź decyduje o objętości kompletu i o tym, ile pracy zostaje po naszej stronie.

Dokument wymagany przez normę	Czy zakład ma coś podobnego	Co powstaje u Was
Polityka bezpieczeństwa informacji	polityka jakości	nowy dokument, ta sama ścieżka zatwierdzania
Zakres systemu	opis procesów w księdze	rozszerzenie o systemy i lokalizacje
Metoda oceny ryzyka	analiza zagrożeń dla wyrobu	osobna metoda, ten sam sposób prowadzenia
Rejestr ryzyk	rejestr zagrożeń produktowych	nowy rejestr, wspólny format
Deklaracja stosowania	brak odpowiednika	dokument pisany od zera
Procedura postępowania z incydentem	procedura wyrobu niezgodnego	rozszerzenie o zdarzenia informacyjne
Nadzór nad dostawcami	ocena dostawców surowca	dopisanie kryteriów dla usług informatycznych
Zapisy ze szkoleń	karty szkoleń stanowiskowych	dopisanie modułu o hasłach i nośnikach

Kolumna środkowa jest tu najważniejsza. Cztery z ośmiu pozycji to rozszerzenia, a nie nowe dokumenty, i to jest różnica, którą widać w kosztach oraz w tym, czy komplet przeżyje pierwszy rok.

Jak wygląda zapis, który da się wypełnić w rękawicach?

Krótko, na papierze i z jednym miejscem odbioru. Zapis jest w normie dowodem, więc jego wartość zależy wyłącznie od tego, czy ktoś go naprawdę wypełni. Formularz wymagający zalogowania się do systemu na stanowisku przy linii nie zostanie wypełniony ani razu, a po trzech miesiącach audytor pyta o dowody i słyszy, że pracownicy nie mieli czasu.

Projektujemy więc zapisy inaczej dla każdej strefy. Na hali: jedna kartka z kilkoma pozycjami, wieszak przy stanowisku i wyznaczone miejsce, do którego trafia po zmianie. W magazynie: pozycja w istniejącym obiegu dokumentów przewozowych, żeby nie mnożyć papieru. W biurze: formularz w systemie, bo tam logowanie nie kosztuje nic. Przeniesienie zapisu papierowego do systemu opisujemy jako osobny krok z podanym terminem, bo to również musi mieć swojego właściciela.

Skąd bierzemy treść, skoro nie z szablonu?

Z chodzenia po firmie. Pytamy, jak dana rzecz odbywa się dzisiaj: kto zakłada konto nowemu pracownikowi sezonowemu, kto wpuszcza serwis maszyny, gdzie leży klucz do szafy z archiwum, kto zauważy podejrzaną wiadomość i komu ją pokaże. Potem zapisujemy stan docelowy tak blisko tej praktyki, jak pozwala norma.

Rozbieżność między procedurą a nawykiem zawsze kończy się tak samo: wygrywa nawyk, a procedura zostaje w segregatorze. Dlatego dokument zmieniający sposób pracy dostaje zawsze uzasadnienie i termin wejścia, a nie zdanie w trybie rozkazującym. Tam, gdzie zmiana jest konieczna ze względu na ryzyko, mówimy to wprost i planujemy krótkie szkolenie, zamiast liczyć, że ludzie przeczytają nową wersję z rozdzielnika.

Co dzieje się z tą dokumentacją po roku?

Żyje albo umiera i widać to przy pierwszym przeglądzie. Dokumentacja żywa zmienia się po incydencie, po zmianie procesu i po przeglądzie ryzyk, a każda zmiana zostawia ślad w tym samym rejestrze co dokumenty jakościowe. Umarła zostaje w wersji z dnia odbioru, co audytor rozpoznaje w kilka minut po datach i po pustych zapisach.

Dlatego przy odbiorze przekazujemy komplet osobie, która ma go prowadzić, razem z kalendarzem przeglądów i listą sytuacji wymagających aktualizacji. W zakładach jest to zwykle pełnomocnik systemu jakości, bo prowadzi już przeglądy i audyty wewnętrzne, więc dokłada obszar do istniejącej pracy.

Kiedy sam komplet dokumentów nie wystarczy?

Gdy celem jest certyfikat, a nie porządek. Audytor jednostki pyta o zapisy z datami pokazujące, że system pracuje od kilku miesięcy, więc dokumentacja odebrana w piątek nie zamyka sprawy w poniedziałek. Potrzebny jest czas, w którym procedury faktycznie działają, oraz audyt wewnętrzny przeprowadzony przed przyjazdem jednostki.

Całą tę drogę prowadzi wdrożenie ISO 27001, a punktem wyjścia jest audyt zgodności, bo bez rejestru ryzyk deklaracja stosowania nie ma z czego powstać. Same wymagania normy rozpisuje ISO 27001, a jeśli obowiązki przyszły z przepisów, właściwym początkiem jest porównanie z NIS 2. Zakres kompletu ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026