Wdrożenie ISO 27001 Kielce

Dlaczego planujemy ten projekt na trzy lata, a nie na osiem miesięcy?

Bo certyfikat jest ważny trzy lata, a jednostka wraca co roku na audyt nadzoru. Projekt policzony do dnia odbioru dokumentu opisuje więc jedną trzecią zadania i milczy o dwóch pozostałych, które są tańsze, ale wcale nie łatwiejsze.

W firmie o nierównym rytmie pracy ma to konkretny skutek. Certyfikat odbiera się zwykle poza szczytem sezonu, bo wtedy jest czas na przygotowania. Pierwszy audyt nadzoru wypada rok później, czyli dokładnie w tym samym momencie roku, i zastaje firmę po dwunastu miesiącach, z których połowę wszyscy spędzili poza biurem. Jeżeli na te dwanaście miesięcy nikt nie zaplanował przeglądów, audytor zobaczy system zamrożony w dniu certyfikacji.

Dlatego harmonogram, który dostajecie na starcie, ma trzy poziomy, a nie jeden.

Okres	Co się dzieje	Kto to prowadzi
Miesiące 1 do 8	audyt zerowy, ocena ryzyka, dokumentacja, zabezpieczenia, badanie jednostki	my, z Waszą osobą przy każdym etapie
Rok pierwszy po certyfikacie	przeglądy według kalendarza, audyt wewnętrzny, przegląd zarządzania	Wasza osoba, my na wsparciu i przy audycie wewnętrznym
Rok drugi po certyfikacie	aktualizacja oceny ryzyka, drugi audyt nadzoru, przegląd dokumentacji	Wasza osoba, my przy aktualizacji ryzyka
Przed odnowieniem	pełne badanie ponowne, korekta zakresu, decyzja o kontynuacji	my razem z Wami, jednostka bada od nowa

Rozpisanie tego przed podpisaniem umowy zmienia zwykle jedną decyzję: firma wybiera węższy zakres systemu, za to taki, który da się utrzymać samodzielnie. Jest to tańsze na starcie i znacznie tańsze w roku trzecim.

Które etapy prowadzimy zdalnie, a na które przyjeżdżamy?

Nie mamy w Kielcach biura i nie zamierzamy udawać, że to bez znaczenia. Ma znaczenie przy jednym rodzaju pracy, a przy pozostałych nie ma żadnego.

Zdalnie prowadzimy warsztaty z oceny ryzyka, przeglądy dokumentów, konsultacje przy pisaniu procedur, rozmowy z właścicielami procesów i przygotowanie danych do wyceny dla jednostek certyfikujących. To praca przy stole i wideo niczego w niej nie psuje, za to skraca ją o czas dojazdu, którego nikt nie musi opłacać.

Przyjeżdżamy do trzech rzeczy. Pierwsza to ocena zabezpieczeń fizycznych: stref, pomieszczeń technicznych, obiegu wydruków i sposobu niszczenia dokumentów, bo tego przez łącze nie da się zobaczyć. Druga to wdrożenie części zabezpieczeń technicznych, jeśli wymagają obecności przy sprzęcie. Trzecia to badanie jednostki, przy którym jesteśmy na miejscu przez cały czas jego trwania. Terminy tych wyjazdów są w harmonogramie od pierwszego tygodnia, więc da się je pogodzić z Waszym kalendarzem robót.

Co potrafi zatrzymać ten projekt na miesiąc?

Cztery rzeczy, wszystkie po stronie organizacji, żadna po stronie techniki.

Pierwsza to odkładana decyzja o zakresie systemu. Dopóki nie wiadomo, co obejmujemy, nie da się zrobić rzetelnej oceny ryzyka, a bez niej stoi cała reszta. Decyzja wymaga zarządu i zwykle jednego spotkania, a potrafi czekać tygodniami.

Druga to nieobecność ludzi znających procesy. W szczycie sezonu kierownik budowy nie przyjdzie na warsztat i będzie miał rację. Dlatego etap oceny ryzyka planujemy na miesiące, w których da się zwołać ludzi, a nie na te, które wypadają następne w kolejności.

Trzecia to zabezpieczenia wymagające zakupu. Jeżeli z oceny ryzyka wynika potrzeba kupienia czegokolwiek, dochodzi czas na ofertę, decyzję i dostawę, którego nie kontrolujemy ani my, ani Wy.

Czwarta to kolejka u jednostki certyfikującej. Terminy badania rezerwuje się z wyprzedzeniem, więc wybór jednostki robimy wcześniej, niż wynikałoby to z harmonogramu prac.

Co dzieje się w drugim i trzecim roku?

Mniej, niż firmy się obawiają, ale musi dziać się regularnie. Kalendarz przeglądów układamy na cały rok z góry i wieszamy na nim konkretne osoby. Przegląd uprawnień, przegląd dostawców, aktualizacja rejestru ryzyk, audyt wewnętrzny, przegląd zarządzania. W firmie pięćdziesięcioosobowej mieści się to w kilkunastu godzinach pracy rocznie, o ile jest rozłożone.

Nasza rola w tym okresie jest do wyboru i mówimy o tym przed końcem wdrożenia. Można ją ograniczyć do prowadzenia audytu wewnętrznego raz w roku, można objąć też aktualizację oceny ryzyka i przygotowanie do nadzoru. Można nie brać nas wcale, jeśli osoba prowadząca system czuje się pewnie, i wtedy zostawiamy jej komplet materiałów oraz kalendarz.

Jedno jest niezmienne: system, którego przez rok nikt nie dotknął, wychodzi na audycie nadzoru w pierwszej godzinie, bo wszystkie zapisy mają tę samą datę sprzed dwóch tygodni.

Czego przy tym projekcie nie obiecujemy?

Nie obiecujemy certyfikatu, bo nie my go wydajemy, i nie obiecujemy przejścia badania bez ani jednej uwagi, bo drobne niezgodności zdarzają się także dobrze przygotowanym firmom. Nie prowadzimy szkoleń audytorów wiodących i nie reprezentujemy Was wobec jednostki, jesteśmy przy badaniu jako strona techniczna.

Nie obiecujemy też, że projekt zmieści się w terminie krótszym niż okres potrzebny na powstanie dowodów, nawet jeśli tego właśnie oczekuje umowa. Uczciwy harmonogram wraz z raportem z audytu zgodności jest w takiej rozmowie mocniejszym argumentem niż obietnica, której nie da się dotrzymać. Zakres samych dokumentów opisuje dokumentacja ISO 27001, a wymagania normy ISO 27001. Rozmowę o zakresie umówicie przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026