Strokovne notranje presoje ISO
Preverimo, ali sistem upravljanja izpolnjuje zahteve standarda in ali se v praksi tudi izvaja. Obseg in rezultate dogovorimo za vsako organizacijo posebej.
Notranja presoja je sistematično, nepristransko in dokumentirano preverjanje, ali sistem upravljanja izpolnjuje zahteve standarda in lastna pravila organizacije. Ni certifikacija: certifikat izda samo akreditiran certifikacijski organ.
Notranja presoja ISO/IEC 27001
Nepristranska presoja ISMS, ki jo standard zahteva v točki 9.2, z ugotovitvami in poročilom za vodstvo.
Več o strani →Notranja presoja ISO/IEC 42001
Nepristranska presoja sistema upravljanja umetne inteligence (AIMS) glede na zahteve ISO/IEC 42001.
Več o strani →Presoja dobaviteljev in pregled varnostnih zahtev
Pregled, ali dobavitelj izpolnjuje dogovorjene varnostne zahteve. Obseg in merila se dogovorijo posamično.
Več o strani →Notranja presoja ISO 22301
Nepristranska presoja sistema upravljanja neprekinjenosti poslovanja (BCMS) glede na zahteve ISO 22301.
Več o strani →Notranja presoja upravljanja tveganj
Nepristranska presoja ocene in obravnave tveganj glede na ISO/IEC 27001 s podporo smernic ISO/IEC 27005 in ISO 31000.
Več o strani →Notranja presoja kontrol za oblak (ISO/IEC 27017 in 27018)
Presoja kontrol za oblak in osebne podatke v oblaku, običajno kot del notranje presoje ISO/IEC 27001.
Več o strani →Notranja presoja načrta obnove (disaster recovery)
Presoja, ali načrt obnove IT in poslovnih storitev ustreza dogovorjenim ciljem in ali je bil preizkušen.
Več o strani →Notranja presoja skladnosti z ZInfV-1 in NIS2
Presoja, ali ukrepi in postopki organizacije ustrezajo zahtevam ZInfV-1 in NIS2.
Več o strani →Notranji pregled pripravljenosti na Cyber Resilience Act
Presoja postopkov proizvajalca ali uvoznika glede na obveznosti iz Uredbe (EU) 2024/2847.
Več o strani →Notranja presoja pripravljenosti na EU AI Act
Presoja, ali organizacija pozna svoje obveznosti po EU AI Act in jih izpolnjuje glede na svojo vlogo.
Več o strani →Področja presoje
Osrednji področji sta ISO/IEC 27001 (informacijska varnost) in ISO/IEC 42001 (upravljanje umetne inteligence). Presojamo tudi spodnja področja; pri zakonodaji gre za notranjo presojo skladnosti, ne za certifikacijo.
- ISO 22301: neprekinjenost poslovanja
- Upravljanje tveganj: ISO/IEC 27001 s smernicama ISO/IEC 27005 in ISO 31000
- ISO/IEC 27017 in 27018: kontrole za oblak
- Disaster recovery: načrt obnove
- ZInfV-1 in direktiva NIS2
- Cyber Resilience Act (CRA)
- EU AI Act
- Presoje dobaviteljev
Kaj je notranja presoja
Notranja presoja je zahteva standardov, ki temeljijo na skupni strukturi sistemov upravljanja ISO, na primer ISO/IEC 27001 in ISO/IEC 42001. Organizacija jo naroči sama, rezultat pa je vhod v pregled vodstva in izboljševanje sistema.
Presojevalec zbira dokaze z intervjuji, opazovanjem in pregledom zapisov ter jih primerja z merili. Merila so zahteve standarda, lastna pravila organizacije in veljavne zahteve, ki jih je organizacija sprejela.
Zakaj organizacije izvajajo notranje presoje
- Standard jih zahteva v načrtovanih intervalih.
- Pred certifikacijsko ali nadzorno presojo pokažejo vrzeli, ko jih je še mogoče odpraviti.
- Vodstvo dobi zanesljiv pregled, ali sistem deluje tako, kot je zapisan.
- Korektivni ukrepi se zapisujejo in preverjajo, zato se sistem izboljšuje.
- Naročniki in partnerji lažje zaupajo sistemu, ki ga redno preverjajo.
Notranja in certifikacijska presoja
| Vidik | Notranja presoja | Certifikacijska presoja |
|---|---|---|
| Naročnik | Organizacija sama | Organizacija, izvede jo certifikacijski organ |
| Namen | Preveriti delovanje sistema in odkriti vrzeli | Odločiti o izdaji ali ohranitvi certifikata |
| Izvajalec | Nepristranski notranji ali zunanji presojevalec | Akreditiran certifikacijski organ |
| Rezultat | Poročilo in ugotovitve za vodstvo | Odločitev o certifikatu |
| Zahteva standarda | Da (pri ISO/IEC 27001 točka 9.2) | Ne, prostovoljna odločitev |
Kako poteka presoja
Dogovor o obsegu: standard, obseg sistema, lokacije, cilji, termin in preverjanje neodvisnosti presojevalca.
Načrt presoje: merila, vzorci, seznam intervjuvancev in zahtevani zapisi.
Pregled dokumentacije: obseg, politike, analiza tveganj, izjava o uporabnosti ali popis AI sistemov.
Izvedba presoje: intervjuji, opazovanje dela in vzorčenje zapisov, na kraju samem ali na daljavo.
Ugotovitve in končni sestanek: ustni povzetek, razvrstitev ugotovitev in razjasnitev dejstev.
Poročilo in nadaljnji koraki: poročilo za vodstvo, korektivni ukrepi in po dogovoru preverjanje njihove učinkovitosti.
Kaj organizacija prejme
- Presojevalni načrt in program presoje.
- Poročilo z ugotovitvami, dokazi in merili.
- Razvrstitev: neskladnosti, priložnosti za izboljšave, dobre prakse.
- Povzetek za vodstvo kot vhod v pregled vodstva.
- Po dogovoru: preverjanje korektivnih ukrepov.
Obseg in rezultati po dogovoru
Vsaka organizacija je drugačna, zato obseg, trajanje in dokumente dogovorimo vnaprej. Na spletni strani ne objavljamo fiksnih paketov ali cen.
Rezultati presoje temeljijo na vzorčenju. Presoja ne more zagotoviti, da v sistemu ni nobene neskladnosti.
Nepristranskost in navzkrižje interesov
Presoja je verodostojna le, če je presojevalec nepristranski. Zato velja pravilo: presojamo samo sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne.
Pred dogovorom o obsegu vedno preverimo morebitno navzkrižje interesov in ga zapišemo v presojevalni načrt. Presojevalec ne presoja področja, ki ga vodi sam.
Metodološka podlaga
Pri načrtovanju in izvedbi presoj upoštevamo načela in smernice standarda ISO 19011 za presojanje sistemov vodenja. Katera izdaja standarda je trenutno veljavna, preverite v katalogu ISO ali SIST.
Plačljivega besedila standardov ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
ISOskladnost.com. Če potrebujete svetovanje pri vzpostavitvi sistema, ga zagotavlja ISOskladnost.com. Svetovanje in presoja istega sistema se zaradi neodvisnosti ne združujeta.
Pogosta vprašanja
Kdo lahko izvaja notranje presoje?
Nepristranska oseba, ki ne presoja lastnega dela in pozna zahteve standarda ter presojevalne tehnike. To je lahko usposobljen zaposleni iz druge enote ali zunanji presojevalec.
Ali so notranje presoje obvezne?
Standardi upravljanja, kot sta ISO/IEC 27001 in 42001, jih zahtevajo za organizacije, ki jih izpolnjujejo. Sami standardi niso zakonsko obvezni, lahko pa jih zahtevajo naročniki ali pogodbe.
Kakšna je razlika med notranjo in zunanjo presojo?
Notranjo presojo naroči organizacija sama za lastno izboljševanje. Zunanjo, certifikacijsko presojo izvede akreditiran certifikacijski organ in na njeni podlagi odloči o certifikatu.
Kaj organizacija prejme po presoji?
Poročilo z ugotovitvami, dokazi in razvrstitvijo ter povzetek za vodstvo. Natančen obseg dokumentov se dogovori vnaprej.
Ali notranja presoja zagotavlja certifikat?
Ne. Zmanjša tveganje presenečenj, odločitev o certifikatu pa je vedno v rokah certifikacijskega organa.
Viri
- ISO: ISO 19011 – smernice za presojanje sistemov vodenja (odpre se v novem zavihku)
- ISO: ISO/IEC 27001 – informacijska varnost, kibernetska varnost in varstvo zasebnosti (odpre se v novem zavihku)
- SIST – Slovenski inštitut za standardizacijo (odpre se v novem zavihku)
Zadnja vsebinska preveritev: .
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.