Poročilo o notranji presoji: kaj mora vsebovati

Zakaj je poročilo pomembno

Standard ISO/IEC 27001 v točki 9.2 zahteva, da se rezultati presoje sporočijo ustreznemu vodstvu in da se hranijo dokumentirane informacije kot dokaz o programu presoj in o rezultatih. Poročilo je torej obvezen izdelek presoje in hkrati orodje, s katerim vodstvo sprejema odločitve.

Slabo poročilo našteje težave. Dobro poročilo vodstvu pove, kaj to pomeni, in kaj naj stori.

Priporočena zgradba

Smernice ISO 19011 (veljavna izdaja) opisujejo, kaj naj poročilo o presoji vsebuje. Spodnja zgradba je praktična prilagoditev za notranje presoje.

1. Splošni podatki

• Naziv presoje in datum poročila.
• Presojevalec ali skupina presojevalcev.
• Presojano področje in organizacijske enote.
• Datumi izvedbe.

2. Namen, obseg in merila

• Namen: zakaj je presoja izvedena.
• Obseg: kaj je vključeno in kaj ne.
• Merila: zahteve, po katerih se presoja, na primer določene točke standarda, notranji postopki, zakonske ali pogodbene zahteve.

Brez jasnega obsega in meril ugotovitev ni mogoče vrednotiti.

3. Metoda

Kratek opis, kako je presoja potekala: pregled dokumentacije, intervjuji, vzorčenje zapisov, opazovanje. Navedite, da je bil pregled vzorčen. Presoja ni popoln pregled vsega.

4. Povzetek za vodstvo

Največ ena stran. Splošna ocena stanja, število in pomen ugotovitev, najpomembnejša tveganja ter predlagani prednostni ukrepi.

5. Ugotovitve

Za vsako ugotovitev:

• Identifikator (na primer N-01).
• Razvrstitev: neskladnost, priložnost za izboljšavo ali dobra praksa.
• Zahteva, ki ni izpolnjena (točka standarda ali notranji dokument).
• Opis in dokaz: kaj je bilo videno, v katerem dokumentu, pri kom, kdaj.
• Pomen: posledica ali tveganje.

Razvrstitev neskladnosti na večje in manjše naj določi program presoj. Pomembno je, da je enaka pri vsaki presoji.

6. Pozitivne ugotovitve

Dobre prakse in področja, ki dobro delujejo. Ta del je pogosto izpuščen, vendar pomaga ohraniti, kar deluje, in daje poročilu uravnoteženost.

7. Zaključki

Ali sistem ustreza merilom v presojanem obsegu, ali se učinkovito izvaja in ali so potrebni ukrepi. Zaključek mora biti jasen in utemeljen z ugotovitvami.

8. Načrt korektivnih ukrepov

Za vsako neskladnost:

• analiza vzroka,
• predlagani ukrep,
• odgovorna oseba,
• rok,
• preverjanje učinkovitosti.

Podrobneje o tem v članku kako pripraviti načrt korektivnih ukrepov.

9. Omejitve presoje

Kaj ni bilo presojano in zakaj, razpoložljivost ljudi in dokazov, morebitne omejitve dostopa.

10. Razdelitev

Kdo poročilo prejme. Običajno je to vodstvo in odgovorne osebe za presojana področja.

Pogoste napake

• Ugotovitve so zapisane brez dokaza ali brez sklica na zahtevo.
• Poročilo ne loči neskladnosti od priporočil.
• Zaključek manjka ali je preveč splošen.
• Poročilo prikaže samo negativne stvari.
• Ukrepi nimajo odgovornih ali rokov.
• Jezik je preveč tehničen za vodstvo ali preveč splošen za izvajalce.

Preverjanje po presoji

Poročilo ni konec postopka. Po rokih za ukrepe se preveri, ali so izvedeni, in ali so učinkoviti. Rezultati gredo v vodstveni pregled po točki 9.3.

Kaj poročilo ni

Poročilo notranje presoje ni certifikat in ni dokaz skladnosti v pravnem pomenu. Opisuje stanje, kot ga je presojevalec videl v obsegu presoje in na podlagi vzorca.

Naslednji korak

Če želite poročilo, ki ga lahko vodstvo uporabi za odločanje, si oglejte notranje presoje in notranje presoje ISO 27001. Za pogovor o vašem primeru pošljite povpraševanje. Ponudbe pripravljamo individualno. Če najprej želite oceniti stanje, uporabite brezplačno samooceno.