Audyt wewnętrzny ISO 27001
– obiektywna ocena
przed certyfikacją
Audyt wewnętrzny to wymóg normy ISO 27001 i kluczowy element przygotowania do audytu certyfikującego. Przeprowadzany przez niezależnego specjalistę, bez konfliktu interesów, z konkretnym raportem i planem działań korygujących.
Audyt wewnętrzny – kluczowe fakty
Co daje audyt wewnętrzny ISO 27001?
Kompleksowa
ocena SZBI
Dokładna analiza wszystkich elementów systemu bezpieczeństwa: technicznych, organizacyjnych i proceduralnych pod kątem zgodności z ISO 27001.
Wykrycie luk przed audytorem certyfikującym
Identyfikacja niezgodności zanim zrobi to audytor certyfikujący – bez nieprzyjemnych niespodzianek podczas certyfikacji.
Konkretny raport i plan działań
Spersonalizowane rekomendacje i plan działań korygujących – nie ogólne obserwacje, ale konkretne kroki do wdrożenia.
Zapobieganie ryzykom prawnym i finansowym
Audyt pomaga uniknąć kosztów naruszenia bezpieczeństwa – kar finansowych, strat reputacyjnych i odpowiedzialności regulacyjnej.
Dostosowanie do zmieniających się zagrożeń
Regularne audyty pozwalają na bieżąco weryfikować, czy system bezpieczeństwa nadąża za nowymi zagrożeniami i zmianami w organizacji.
Wiarygodność wobec klientów i partnerów
Przeprowadzany cyklicznie audyt wewnętrzny pokazuje, że certyfikat ISO 27001 jest realnie utrzymywany, a nie tylko zdobyty raz i zapomniany.
Proces audytu wewnętrznego ISO 27001
Ustandaryzowany proces zgodny z wymaganiami normy – od przygotowania po raport i działania poaudytowe.
Przygotowanie do audytu
min. 5 dni przedSpotkanie organizacyjne z pełnomocnikiem SZBI, ustalenie zakresu i harmonogramu, weryfikacja dostępności zasobów i dokumentacji.
- Opracowanie planu i programu audytu
- Weryfikacja zakresu i potwierdzenie dostępności audytowanych
- Przegląd raportów z poprzednich audytów
- Przygotowanie list kontrolnych
Spotkanie otwierające
Dzień audytuFormalne otwarcie audytu z udziałem kluczowego personelu – omówienie zakresu, celów, metodologii i oczekiwanych wyników.
- Rejestracja obecności i przedstawienie audytora
- Omówienie zakresu, celów i procesu audytu
- Przegląd rejestru niezgodności i działań korygujących
- Potwierdzenie terminu spotkania zamykającego
Przeprowadzenie audytu
Serce procesuSzczegółowa ocena wdrożonego SZBI – analiza dokumentacji, rozmowy z personelem, obserwacja działań, weryfikacja zgodności z normą.
- Analiza procedur operacyjnych i instrukcji pod kątem ISO 27001
- Zbieranie obiektywnych dowodów (rozmowy, dokumenty, obserwacja)
- Dokumentowanie niezgodności i obszarów do poprawy
- Weryfikacja krzyżowa informacji z różnych źródeł
Spotkanie zamykające i raport
Po audyciePrezentacja wyników audytu dla kluczowego personelu, omówienie niezgodności i rekomendacji. Następnie dostarczenie pisemnego raportu.
- Prezentacja wszystkich stwierdzonych niezgodności
- Klasyfikacja: niezgodności poważne, drobne, możliwości poprawy, mocne strony
- Odpowiedzi na pytania i wyjaśnienie wątpliwości
- Raport z audytu — numer, data, ustalenia, rekomendacje
Działania poaudytowe
OpcjonalnieAnaliza raportu, wdrożenie działań korygujących i monitorowanie ich skuteczności. Możemy wesprzeć wdrożenie wybranych rekomendacji jako osobna usługa.
- Plan działań korygujących dla stwierdzonych niezgodności
- Monitorowanie wdrożenia i ocena skuteczności
- Aktualizacja systemu i dokumentacji
- Przegląd wyników na spotkaniu zarządzania
Audyt prowadzony przez certyfikowany zespół
"Szukamy luk, które mają realne znaczenie.
Nie produkujemy listy na 200 pozycji."
Audyt bezpieczeństwa w PushSec to nie narzędzie automatyczne i szablon z internetu. Nasz zespół analizuje architekturę, procesy i dokumentację ze zrozumieniem specyfiki Twojej branży. Raport końcowy zawiera priorytety, nie życzenia.
Rafał Dobrosielski
Founder, PushSec
Audyt prowadzony przez praktyka, nie teoretyka
Audytor z certyfikatem Lead Auditor ISO 27001 wie, czego szukają jednostki certyfikujące i jak tego uniknąć przed właściwym audytem.
Neutralna i obiektywna ocena
Jako zewnętrzny audytor nie mamy konfliktu interesów wobec Twojego SZBI. Norma wymaga niezależności, a my zapewniamy ją strukturalnie, nie tylko deklaratywnie.
Lead Auditor BSI/IRCA – wiemy czego szukają audytorzy
Certyfikat Lead Auditor oznacza, że znamy proces certyfikacji od drugiej strony. Audyt wewnętrzny przygotowujemy pod realne wymagania jednostek certyfikujących.
Konkretne doradztwo, nie tylko lista niezgodności
Po audycie oferujemy profesjonalne wsparcie przy implementacji rekomendacji. Wiemy jak wdrożyć poprawki, nie tylko jak je zidentyfikować.
Niższy koszt niż utrzymanie audytora wewnętrznego
Płacisz tylko za wykonaną pracę – bez kosztów utrzymania kompetencji audytora na co dzień, bez czasu pracownika oderwanego od bieżących zadań.
Nasze doświadczenie z firmą oceniamy pozytywnie. Firma jest rzetelnym partnerem merytorycznym i biznesowym, realizuje usługi z należytą starannością. Powierzone zadania są wykonywane w pełni profesjonalnie i z dbałością o jakość.
ISO 27001 · Audyt wewnętrznyUsługa została przeprowadzona zgodnie ze standardami audytu wewnętrznego, z należytą starannością oraz ze wszystkimi doświadczeniami umowy. Doświadczenie wiedza, rzetelność i komunikatywność audytora, przy wykonywaniu audytu w pełni zasługuje na rekomendacje.
Audyt wewnętrznyNajczęściej zadawane pytania
Przed pierwszym audytem certyfikującym wymagany jest pełny audyt wewnętrzny całego SZBI. Po certyfikacji większość jednostek certyfikujących akceptuje audyty wewnętrzne przeprowadzane w cyklu rocznym, w ramach trzyletniego okresu recertyfikacji.
Nie jest to wymóg normy, ale norma wymaga, aby audytor był niezależny od audytowanego systemu. Osoba wdrażająca SZBI nie może audytować własnej pracy. Dlatego wiele organizacji zleca audyt na zewnątrz – to prostsze i daje gwarancję niezależności.
Dla małej lub średniej firmy z jedną lokalizacją audyt wraz z raportem zajmuje zwykle 1–3 dni robocze. Wliczamy w to czas na zbieranie dowodów, rozmowy z personelem i sporządzenie raportu z ustaleniami.
Szczegółowy raport audytowy zawierający: numer referencyjny i datę audytu, zestawienie stwierdzonych niezgodności (poważnych i drobnych), możliwości poprawy, mocne strony systemu oraz rekomendacje.
Audytor certyfikujący sprawdzi, czy przeprowadzasz audyty wewnętrzne zgodnie z harmonogramem i czy masz dowody audytowe. Audyt wewnętrzny przeprowadzony przez zewnętrznego specjalistę eliminuje ryzyko przeoczenia niezgodności, które mogłyby zaskoczyć na certyfikacji.
Raport pozostaje ważny do czasu kolejnego audytu zaplanowanego w harmonogramie lub do momentu istotnych zmian w systemie, które mogłyby wpłynąć na stan bezpieczeństwa (np. nowe procesy, systemy IT, zmiany organizacyjne).
Zakres może obejmować cały SZBI lub wybrane procesy — zależnie od potrzeb i złożoności organizacji. Przed certyfikacją wymagany jest audyt całego systemu. W kolejnych latach możliwe jest audytowanie wybranych obszarów w ramach rocznego programu audytu.
Zapytaj o wycenę audytu
Koszt zależy jest od zakresu i wielkości organizacji – wyceniamy indywidualnie. Pierwsza rozmowa jest bezpłatna.