Kako pogosto izvajati notranje presoje?

Kaj pravi standard

Točka 9.2 standarda ISO/IEC 27001 zahteva, da organizacija izvaja notranje presoje v načrtovanih časovnih presledkih. Poleg tega mora načrtovati, vzpostaviti, izvajati in vzdrževati program presoj, ki zajema pogostost, metode, odgovornosti, zahteve glede načrtovanja in poročanje.

Standard torej ne določa, ali je to enkrat letno, vsake pol leta ali drugače. Določiti jo mora organizacija sama, in sicer na podlagi:

• pomena procesov, ki se presojajo,
• sprememb, ki vplivajo na organizacijo,
• rezultatov prejšnjih presoj.

Prav ta zadnji pogoj pogosto pozabljajo: program presoj ni ena sama tabela, ki jo napišemo enkrat. Spreminja se glede na ugotovitve.

Zakaj se v praksi uveljavi letni cikel

Čeprav fiksne zahteve ni, večina organizacij sistem pokriva vsaj enkrat letno. Razlogi so praktični:

• Zunanji presojevalci pri nadzornih presojah običajno pričakujejo, da je bila notranja presoja izvedena in da so odprti ukrepi obravnavani.
• Vodstveni pregled potrebuje sveže rezultate presoj.
• Daljše obdobje pomeni, da neskladnosti ostanejo nezaznane in se kopičijo.

To je običajna praksa in ne zahteva standarda. Vsak program presoj mora imeti zapisano utemeljitev izbrane pogostosti.

Kako sestaviti program presoj

Program presoj je v osnovi preprost dokument. Vsebuje:

1. Obseg: kateri procesi, lokacije, kontrole in zahteve standarda so zajeti.
2. Pogostost: kdaj se vsak del presoja, in zakaj tako pogosto.
3. Kriterije: po čem se presoja (standard, interna pravila, pogodbe, zakonodaja).
4. Odgovorne osebe: kdo presoja in kdo odgovarja za presojani proces.
5. Način poročanja: komu in v kolikšnem roku se pošlje poročilo.
6. Spremljanje ukrepov: kdo preverja izvedbo korektivnih ukrepov.

Priporočila ISO 19011 govorijo o programu, ki temelji na tveganjih. Maja 2026 je izšla nova izdaja ISO 19011:2026, ki nadomešča izdajo iz leta 2018 in med drugim podrobneje obravnava načrtovanje presoj glede na tveganja. Pred sklicevanjem na posamezne točke preverite besedilo v izdaji, ki jo uporabljate.

Presoja po tveganju

Vsi deli sistema niso enako pomembni. Smiselno je določiti prednostna področja:

• Pogosteje: kritični procesi, upravljanje dostopov, obvladovanje incidentov, dobavitelji z dostopom do podatkov, področja z odprtimi neskladnostmi.
• Redkeje: stabilni procesi brez sprememb in z dobrimi rezultati prejšnjih presoj.

Tako ni treba vsakič presojati vsega z enako globino, pomembno pa je, da v dogovorjenem obdobju ni nepokritih delov obsega.

Kdaj izvesti dodatno presojo

Poleg načrtovanega programa je smiselna izredna presoja, ko:

• se je zgodil večji varnostni incident,
• se je bistveno spremenil obseg sistema, organizacija ali infrastruktura,
• je prejšnja presoja odkrila resne neskladnosti,
• se bliža zunanja presoja in ni bilo nedavne notranje presoje.

Povezava z zunanjo presojo

Notranja presoja se ne izvaja zaradi zunanje, vendar jo mora zunanja presoja upoštevati. Pri certifikaciji je pričakovano, da je bila notranja presoja celotnega obsega izvedena, preden ga ocenjuje certifikacijski organ. Nikoli pa ne nadomesti zunanje presoje, saj certifikate izdajajo samo akreditirani certifikacijski organi.

Napake pri načrtovanju

• Program presoj je napisan, a nikoli posodobljen.
• Presoja se izvede tik pred zunanjo presojo in ni časa za odpravo.
• Isti presojevalec presoja lastno delo.
• Ugotovitve se ne zapišejo ali ne spremljajo.

Več o vsebini presoje je v članku Kaj je notranja presoja ISO 27001, o storitvi pa na strani notranja presoja ISO/IEC 27001.

Pomoč pri programu presoj

Če želite pomoč pri sestavi programa ali izvedbi presoje, nam pošljite povpraševanje. Obseg, pogostost in način dela dogovorimo individualno.