Kako pripraviti načrt korektivnih ukrepov po notranji presoji?

Zakaj načrt

Notranja presoja brez ukrepov je le seznam težav. Točka 10.2 standarda ISO/IEC 27001 zahteva, da organizacija ob neskladnosti ukrepa, ugotovi vzrok in preveri, ali je ukrep učinkovit. Načrt korektivnih ukrepov je dokument, v katerem je to urejeno za vsako neskladnost in za vse skupaj.

Dober načrt koristi dvakrat: pri naslednji notranji presoji dokazuje, da so bile ugotovitve obravnavane, pri zunanji presoji pa kaže, da sistem deluje in se izboljšuje.

Popravek, korektivni ukrep, preventivni ukrep

Pogosta zmeda:

• Popravek odpravi zdajšnjo posledico (dopolnimo manjkajoči zapis).
• Korektivni ukrep odpravi vzrok, da se neskladnost ne ponovi (spremenimo postopek, odgovornost, orodje).
• Izboljšava je ukrep, ki ni odziv na neskladnost, ampak povečuje učinkovitost sistema.

Če načrt vsebuje samo popravke, bo ista težava ob naslednji presoji spet zapisana.

Koraki

1. Zapis neskladnosti

Vsaka neskladnost mora biti jasna in preverljiva: katera zahteva ni izpolnjena, kaj je bilo ugotovljeno, kakšno je dokazilo. Brez jasnega opisa je ukrep ugibanje.

2. Takojšnji odziv

Če neskladnost povzroča neposredno tveganje, je treba najprej omejiti posledice. Ta korak je popravek in ni dovolj sam po sebi.

3. Analiza vzroka

Vprašajte se, zakaj se je zgodilo, ne samo kaj. Metoda je lahko preprosta, na primer ponavljanje vprašanja »zakaj« ali diagram vzrokov. Vzrok je pogosto organizacijski: nejasna odgovornost, manjkajoče usposabljanje, orodje brez nadzora.

4. Določitev ukrepa

Za vsak vzrok zapišite, kaj boste spremenili. Ukrep naj bo konkreten in preverljiv. Namesto »izboljšati ozaveščenost« zapišite »izvesti usposabljanje za vse zaposlene z dostopom do sistema X in voditi evidenco udeležbe«.

5. Odgovorna oseba in rok

Vsak ukrep ima enega lastnika in rok. Rok je realen in sorazmeren z resnostjo. Ukrep brez lastnika se ne izvede.

6. Izvedba in dokazilo

Zapišite, kaj je bilo narejeno in kdaj, ter priložite dokazilo: spremenjen postopek, zapisnik, posnetek zaslona, seznam udeležencev.

7. Preverjanje učinkovitosti

Ukrep ni zaključen, ko je izveden. Zaključen je, ko se potrdi, da neskladnost ne nastaja več. Preveri ga druga oseba po ustreznem času, na primer ob naslednjem ciklu izvajanja procesa.

8. Sprememba sistema

Če ukrep kaže na splošnejšo težavo, po potrebi spremenite politiko, postopek ali oceno tveganj.

Vzorec strukture načrta

Polje	Primer vsebine
Številka in vir	Neskladnost 03 / notranja presoja 2026
Zahteva	Točka standarda ali interno pravilo
Opis ugotovitve	Kaj je bilo ugotovljeno in na podlagi česa
Resnost	Večja / manjša / priložnost za izboljšavo
Popravek	Takojšnji ukrep
Vzrok	Ugotovljen vzrok
Korektivni ukrep	Opis spremembe
Lastnik	Oseba ali vloga
Rok	Datum
Dokazilo	Povezava na zapis
Preverjanje učinkovitosti	Kdo, kdaj, rezultat
Status	Odprto / izvedeno / zaprto

Prednostna razvrstitev

Vseh ukrepov ne bo mogoče izvesti hkrati. Razvrstite jih po:

1. resnosti neskladnosti in vplivu na varnost informacij,
2. tem, ali vplivajo na zahteve, ki jih bo preverjala zunanja presoja,
3. potrebnem naporu in odvisnostih med ukrepi.

Hitri ukrepi z velikim učinkom so priročni za začetek. Organizacijskih sprememb pa ne smemo odlagati le zato, ker so zahtevnejše.

Pogoste napake

• Ukrep je zapisan kot »pozorneje bomo«.
• Vzrok je pripisan posamezniku in ne procesu.
• Rok je postavljen brez soglasja lastnika.
• Neskladnost je označena kot zaprta brez preverjanja.
• Dokazil ni, zato jih je nemogoče pokazati presojevalcu.

Pomoč pri pripravi

Pri nas lahko naročite notranjo presojo s priporočenimi korektivnimi ukrepi in prednostnim načrtom izboljšav. Spremljanje izvedbe ukrepov se po potrebi dogovori kot posebna faza. Če ste pred zunanjo presojo, glejte pripravo na ISO/IEC 27001. Z dodatnimi vprašanji se lahko obrnete prek povpraševanja.