Wdrożenie ISO 27001 Kraków

Co w takiej firmie jest już zbudowane, a czego brakuje

Organizacja rozliczana z poziomu usługi ma rzeczy, których firma tej samej wielkości z innej branży dorabia miesiącami. Odbywają się cykliczne spotkania z omówieniem wyników. Istnieją mierniki i ktoś je co miesiąc raportuje. Funkcjonuje osoba albo zespół odpowiadający za jakość, przyzwyczajony do prowadzenia rejestrów i do pisania działań korygujących.

To jest dokładnie ten szkielet, którego norma wymaga w rozdziałach o ocenie wyników i o doskonaleniu, tylko dotyczy dziś innego przedmiotu. Projekt polega więc na rozszerzeniu, a nie na budowie: do agendy dochodzą tematy bezpieczeństwa, do mierników parę pozycji, do rejestru działań korygujących osobna kategoria zdarzeń.

Czego brakuje niemal zawsze, to trzech rzeczy. Właściciela ryzyka wskazanego z imienia, kryteriów akceptacji zatwierdzonych przez kierownictwo oraz osoby, która może zbadać obszar, za który sama nie odpowiada.

W co wpinamy poszczególne elementy systemu

Wymaganie normy	W co wpinamy	Kto prowadzi	Co dokładamy
Monitorowanie i pomiar	miesięczny raport dla odbiorcy	zespół jakości	mierniki bezpieczeństwa obok mierników usługi
Przegląd zarządzania	kwartalne spotkanie kierownictwa	dyrektor operacyjny	punkt agendy i protokół z decyzjami
Postępowanie z niezgodnościami	rejestr działań korygujących	zespół jakości	osobna kategoria dla zdarzeń bezpieczeństwa
Kompetencje i świadomość	plan szkoleń wdrożeniowych	dział personalny	moduł o informacjach i potwierdzenie udziału
Nadzór nad dostawcami	proces zakupowy	osoba zamawiająca	wymagania i ocena przed podpisaniem
Ocena ryzyka	warsztaty prowadzone raz w roku	kierownictwo	metoda, kryteria i właściciel każdej pozycji
Audyt wewnętrzny	brak odpowiednika	do obsadzenia	rola i plan audytów na rok
Zarządzanie zmianą w środowisku	proces zmian po stronie grupy	zespół centrali	uzgodnienie zakresu i zapisu po Waszej stronie

Wiersze siódmy i ósmy są jedynymi, przy których zaczynamy od zera, i one też pochłaniają najwięcej uwagi. Reszta to praca polegająca na dopisaniu kolumny do tabeli, która już istnieje i którą ktoś już wypełnia co miesiąc.

Kto może być audytorem wewnętrznym, gdy wszyscy podlegają jednej osobie

Norma wymaga, żeby audyt wewnętrzny prowadziła osoba niezależna od badanego obszaru, i to wymaganie potrafi zatrzymać projekt w firmie o płaskiej strukturze. W praktyce mamy trzy wyjścia i wybieramy je razem z kierownictwem na wczesnym etapie, bo od tej decyzji zależy plan audytów na cały rok.

Pierwsze to zamiana ról. Osoba z zespołu jakości bada obszar techniczny, ktoś z zespołu technicznego bada obszar procesowy, a każde z nich zostaje wcześniej przeszkolone z metodyki. Rozwiązanie najtańsze i najczęściej wystarczające w organizacji do pięćdziesięciu osób.

Drugie to audytor z innej spółki grupy, o ile grupa ma taką funkcję i o ile zgodzi się jej użyczyć. Trzecie to zlecenie audytu na zewnątrz, co bywa konieczne, gdy jeden dyrektor odpowiada za całość operacji, a firma nie ma nikogo poza jego strukturą.

Czego zrobić nie można, to powierzyć audytu osobie, która wdrażała dany obszar. Ten sam powód, dla którego doradca nie wydaje certyfikatu, obowiązuje wewnątrz firmy i audytor jednostki sprawdza to jako jedną z pierwszych rzeczy.

Które decyzje wymagają zgody centrali i jak je rozpisać w kalendarzu

Projekt w spółce zależnej ma pozycje, których czasu trwania nie wyznacza ani nasza praca, ani Wasza. Zgoda na wydatek powyżej progu, zmiana ustawienia w środowisku prowadzonym przez grupę, akceptacja umowy z jednostką certyfikującą oraz zatwierdzenie polityki, jeśli grupa ma własną w tym obszarze.

Każdą taką pozycję wpisujemy do harmonogramu z osobnym terminem, z osobą odpowiedzialną po Waszej stronie za jej przeprowadzenie i z datą, po której przekroczeniu przesuwa się cały projekt. Nie jest to formalność: obieg zgody w organizacji rozproszonej po kilku krajach trwa zwykle dłużej niż praca, której dotyczy.

Rozpisanie tego przed startem zmienia też charakter rozmowy o terminie. Zamiast obiecywać datę, pokazujemy, które pozycje są w naszym zasięgu, a które zależą od kogoś, do kogo żadna ze stron nie ma dostępu w trybie pilnym.

Skąd biorą się dowody w organizacji rozliczanej z poziomu usługi

Z narzędzi, w których prowadzicie pracę, i to jest największa przewaga takich firm. Zgłoszenie z nadaniem dostępu, akceptacja przekazania materiału, zamknięcie zlecenia z odnotowanym zwrotem danych, potwierdzenie odbioru sprzętu. Wszystkie te ślady już powstają, ponieważ ktoś rozlicza z nich czas albo poziom usługi.

Praca polega na ustaleniu, które z nich są dowodem w rozumieniu normy, i na zadbaniu, żeby powstawały za każdym razem, a nie przy co drugim zleceniu. Osobna ewidencja prowadzona wyłącznie na potrzeby badania jest tym, co zabija takie systemy w drugim roku, bo konkuruje z czynnością, za którą ktoś płaci.

Wyjątkiem są trzy zapisy, które trzeba wytworzyć świadomie: protokół z przeglądu zarządzania, zapis z przeglądu uprawnień oraz wynik audytu wewnętrznego. Żaden z nich nie powstaje samoczynnie i wszystkie trzy mają daty, więc terminu badania jednostki nie wyznacza gotowość dokumentów, tylko moment, w którym te trzy zapisy istnieją za kilka kolejnych okresów.

Co przetrwa w firmie po zakończeniu projektu

System, który wytrzyma rotację i zmianę kierownictwa. Zasady opisane przez role, a nie przez nazwiska, przeglądy wpięte w kalendarz, który i tak jest pilnowany, oraz osoba wiedząca, co i kiedy trzeba zrobić. Dokument obowiązuje trzy lata, natomiast wizyta nadzoru odbywa się co roku, więc utrzymanie jest częścią decyzji, a nie dodatkiem do niej.

Wymagania samej normy tłumaczy ISO 27001, punkt wyjścia mierzy audyt zgodności, zakres samych dokumentów opisuje dokumentacja, a relację z obowiązkami ustawowymi porządkuje ISO 27001 a NIS 2. Rozmowę o granicach systemu umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026