Audyt wewnętrzny, który niczego nie wykrywa

Scenariusz powtarza się w certyfikowanych organizacjach z niewielkimi zmianami. Audyt wewnętrzny odbywa się wiosną. Audytor — w wielu małych systemach zarządzania bezpieczeństwem informacji (ISMS) będący również autorem polityk — przechodzi przez listę kontrolną wywodzącą się z tych samych dokumentów. Raport nie rejestruje żadnych niezgodności. Przegląd zarządzania odnotowuje „brak istotnych ustaleń”, a rok mija. Gdy taka sytuacja powtarza się przez kilka cykli, bywa interpretowana jako dojrzałość: ISMS działa, audyty są spokojne, certyfikat utrzymuje się przez kolejną wizytę nadzoru.

27 maja 2026 roku ISO opublikowało ISO 19011:2026, czwarte wydanie wytycznych dotyczących audytowania systemów zarządzania, wycofując jednocześnie wydanie z 2018 roku (opublikowane 3 lipca 2018, wycofane tego samego dnia, w którym ukazało się nowe wydanie). Przez rok lub dwa wiele programów audytowych nadal będzie odwoływać się do wydania z 2018 roku, a certyfikat nie zależy od tej edycji, ponieważ tekst certyfikowalny ISO/IEC 27001:2022 wymaga programu audytowego, a nie konkretnego wydania wytycznych dotyczących audytowania. Zmiana edycji to po prostu dogodny moment, aby zadać pytanie, wokół którego od zawsze zbudowane są te wytyczne — i które rzadko pada w przypadku serii czystych raportów: Czy to był audyt, czy sprawdzanie własnej pracy?

Nasze stanowisko jest stanowcze, a nie oczywiste: gdy program audytu wewnętrznego przez dwa lub trzy cykle z rzędu nie wykrywa żadnych niezgodności, najbardziej uzasadnioną hipotezą początkową nie jest to, że ISMS jest doskonały. Jest nią to, że program dryfował w kierunku zgodności z organizacją, którą audytuje. Przeciwny pogląd — że czyste audyty to po prostu rezultat dojrzałego ISMS — jest szanowny i czasami prawdziwy, dlatego zamiast prosić o przyjęcie naszego zdania, przedstawimy Wam kryterium pozwalające odróżnić te dwie sytuacje.

Czego właściwie wymaga punkt 9.2

ISO/IEC 27001:2022 (trzecie wydanie, opublikowane 25 października 2022; poprawka dotycząca działań na rzecz klimatu Amd 1:2024, opublikowana 23 lutego 2024, nie zmienia punktu 9.2) wymaga, aby organizacja przeprowadzała audyty wewnętrzne „w zaplanowanych odstępach czasu”, dostarczając informacji na temat tego, czy ISMS:

• jest zgodny z własnymi wymaganiami organizacji oraz wymaganiami normy,
• jest skutecznie wdrożony i utrzymywany (9.2.1).

Punkt 9.2.2 wymaga natomiast programu audytowego, który jest zaplanowany, ustanowiony, wdrożony i utrzymywany, obejmującego:

• częstotliwość, metody, odpowiedzialności, wymagania dotyczące planowania i raportowania;
• zdefiniowane kryteria i zakres dla każdego audytu;
• dobór audytorów oraz przeprowadzanie audytów w taki sposób, aby proces audytowy był obiektywny i bezstronny;
• raportowanie wyników odpowiedniemu kierownictwu;
• przechowywanie udokumentowanych informacji jako dowodu programu i jego wyników.

Jedno wymaganie w punkcie 9.2.2 pełni większość „cichej pracy”: program musi uwzględniać istotność badanych procesów oraz wyniki poprzednich audytów.

Zauważcie, czego punkt nie wymaga: żadnej konkretnej liczby niezgodności. Czysty raport nie jest zakazany; audyt ma dostarczać informacji, a brak niezgodności to jedna z możliwych odpowiedzi. Sam czysty raport nie może jednak — samodzielnie — udowodnić, że sam proces audytu wykonał swoją pracę. Punkt 9.2 nakłada na audyt dwa rzeczy, które wygodny program ma tendencję do pomijania: niezależność (w postaci obiektywności i bezstronności) oraz skuteczność (w sensie, że audyt istnieje po to, aby dostarczać informacji o tym, czy system działa, a nie jedynie o tym, czy dokumenty istnieją).

Program to narzędzie, a narzędzia dryfują

Wkład ISO 19011 — w obu wydaniach — polega na traktowaniu programu audytowego jako własnego systemu zarządzanego: cele, zakres, metody i częstotliwość dobierane świadomie, wyniki przekazywane z powrotem, program sam w sobie monitorowany i doskonalony. Opis standardu autorstwa ISO określa go jako wytyczne dotyczące audytowania systemów zarządzania, obejmujące zasady audytowania, zarządzanie programami audytowymi oraz przeprowadzanie audytów systemów zarządzania, i podkreśla, że jest to wytyczna, która sama w sobie nie prowadzi do certyfikacji. Zasady audytowania od dawna obejmują niezależność: audytorzy powinni być niezależni od działalności poddawanej audytowi tam, gdzie jest to praktyczne, a tam, gdzie nie jest to możliwe, należy dołożyć wszelkich starań, aby usunąć stronniczość i zachęcać do obiektywności. Bezstronność jest źródłem wniosków audytowych. Ta dyscyplina istnieje z tego samego powodu, dla którego istnieje kalibracja przyrządów pomiarowych: program audytowy to urządzenie pomiarowe, a urządzenie, które zwraca tę samą wartość niezależnie od danych wejściowych, przestało mierzyć.

Z naszego doświadczenia wynika, że dryf w kierunku „zgody” w audycie przybiera cztery rozpoznawalne formy. Dwie z nich naruszają jawnie określone wymagania punktu 9.2, jedna podważa cel samego audytu, a jedna wykorzystuje luki w tekście normy:

Audytor sprawdza własną pracę. W małych ISMS osoba, która napisała polityki, wdrożyła środki ochrony i prowadzi listę kontrolną, często jest tą samą osobą, ponieważ nakładanie się „rozumie środki ochrony” i „ma czas” jest niemal całkowite. Punkt 9.2.2 wymaga obiektywności i bezstronności procesu audytowego, a zasada niezależności z ISO 19011 została napisana właśnie z myślą o takiej sytuacji: bądź niezależny od działalności, którą audytujesz, gdzie jest to praktyczne, a tam, gdzie nie jest, traktuj stronniczość jako ryzyko do usunięcia, a nie do ignorowania. Ocenianie własnej pracy nie uniemożliwia przeprowadzenia audytu; pomijanie jego łagodzenia — tak.

Kryteria to dokumenty samego ISMS. Polityki organizacji są uzasadnionymi kryteriami audytu, a sprawdzanie dowodów operacyjnych w odniesieniu do nich to dokładnie to, co powinien robić audyt. Błąd zaczyna się wtedy, gdy polityki są całością kryteriów. Wówczas audyt zadaje jedno pytanie: Czy praktyka odpowiada polityce? — i nigdy nie pyta, czy polityka sama w sobie spełnia wymagania normy lub czy system jest skuteczny. Taki audyt może być przeprowadzany przez lata bez wykrycia niezgodności, podczas gdy ISMS jest niezgodny z normą i nieskuteczny w praktyce, ponieważ jedynym oskarżonym był dokument — a dokument był również sędzią. Punkt 9.2.1 wymaga informacji na temat zgodności z własnymi wymaganiami organizacji oraz wymaganiami normy, a także skuteczności. Audytowanie wyłącznie na podstawie artefaktów ISMS to sposób na to, aby raport był czysty, jednocześnie rezygnując z dwóch z trzech wymaganych aspektów.

Zakres „zamroził się” w pierwszym roku. Program odwiedza te same obszary, z tą samą głębią, według tej samej listy kontrolnej, w każdym cyklu. Zakres, który nigdy się nie zmienia, nie jest automatycznie niezgodny: to, czego wymaga punkt 9.2.2, to uwzględnienie istotności badanych procesów oraz wyników poprzednich audytów, a rozważenie może równie dobrze dać tę samą odpowiedź rok po roku. Naszym problemem jest program kontynuowany bez ponownego rozważenia, podczas gdy organizacja zmieniała się pod nim: nowe produkty, nowy region, incydent, dostawcy zmienieni. Czysta passa wyprodukowana przez nierozważany plan to fakt dotyczący planu, a nie systemu.

Niezgodności są negocjowane „w dół”. Niezgodności stają się obserwacjami, obserwacje stają się „możliwościami do rozważenia”, a rejestr pozostaje zielony. Norma pozostawia organizacji etykietowanie powagi: nic w tekście nie określa, jak należy klasyfikować niezgodność, a ta swoboda to luka, w której żyje ta porażka. Etykiety są wolne; sam wynik — nie. Niezależnie od tego, jak rejestr to nazwie, audyt nadal musi dostarczać dokładnych informacji na temat zgodności i przekazywać je odpowiedniemu kierownictwu, a zielony rejestr, który milcząco ukrywa problem, podważa oba te wymagania. Z naszego doświadczenia wynika, że negocjacje rzadko odbywają się podczas jednej rozmowy. Narastają, „jedna obserwacja naraz”.

Szczera przeciwstawna pozycja i test, który byśmy zaproponowali

Na początek ustępstwo: dobry ISMS może naprawdę generować niewiele niezgodności. Zespoły, które wdrożyły środki świadomie, zweryfikowały swoje środki ochrony i naprawiły to, co znalazły podczas wdrażania, mogą przeprowadzać audyty, które są spokojne, ponieważ system jest spokojny. Brak niezgodności nie jest dowodem na to, że program jest zepsuty, a traktowanie każdego czystego raportu jako czerwonej flagi byłoby równie szkodliwe.

W normie nie ma nic, co rozstrzygnęłoby sporu za Was, dlatego przedstawiamy test, który byśmy zaproponowali — i jest on nasz, a nie tekstu normy. Czysty audyt jest dowodem, gdy znajduje się w programie, który potrafi udowodnić swoją pracę, gdy zostanie o to poproszony:

• plan audytu reaguje na poprzednie wyniki, incydenty i zmiany w organizacji (wymaganie dotyczące uwzględniania istotności procesów i wyników poprzednich audytów z punktu 9.2.2; incydenty i zmiany organizacyjne to dane wejściowe, które świadomy program bierze pod uwagę przy podejmowaniu decyzji o tym, co jest istotne);
• przypisania audytorów są możliwe do prześledzenia, dzięki czemu organizacja może rzeczywiście wykazać obiektywność i bezstronność, a nie tylko je deklarować;
• wyniki docierają do przeglądu zarządzania, który wymienia wyniki audytów wśród swoich danych wejściowych (9.3.2), w formie pozwalającej na podjęcie przez przegląd uzasadnionej decyzji.

Program nie musi zmieniać kursu w każdym cyklu, a nie musi generować niezgodności: przegląd może słusznie stwierdzić, że zmiana nie jest potrzebna. Obiektywność i bezstronność, przeciwnie, nie są opcjonalne w żadnym cyklu. Chodzi o to, że program potrafi przedstawić swoje uzasadnienie, a nie o to, że musi generować problem.

Czysty audyt, który znajduje się w programie pozbawionym któregokolwiek z tych elementów, nie jest dowodem. To kontrolka, której żarówka została wykręcona: cisza jest realna, ale nie niesie informacji, które pozornie przekazuje.

Dlaczego to najdroższy audyt do podrobienia

Porównajcie inne audyty w cyklu. Audyt jednostki certyfikującej jest ograniczony: wymagany nakład pracy audytowej według ISO/IEC 27006-1:2024 (opublikowanej 1 marca 2024, załącznik C) zaczyna się od liczby osób wykonujących pracę pod kontrolą organizacji w ramach zakresu i jest korygowany o czynniki złożoności, a jednostka certyfikująca zazwyczaj polega na próbkowaniu, ponieważ ograniczony czas wizyty nie pozwala na przetestowanie wszystkiego; jej niezależność jest regulowana, a akredytacja od niej zależy. Audyt wewnętrzny ma przeciwny profil: brak zewnętrznie określonych wzorców czasu trwania i brak organu akredytacyjnego go obserwującego, choć nadal odbywa się zgodnie z zaplanowanym harmonogramem. To jeden audyt w cyklu, w którym organizacja poddawana audytowi wybiera audytora, ustala kryteria, definiuje zakres i kontroluje dowody — i to właśnie dlatego punkt 9.2 umieszcza wymagania dotyczące obiektywności i bezstronności właśnie tutaj.

To także powód, dla którego pusty audyt wewnętrzny jest najdroższym oszustwem. Audyt jednostki certyfikującej to okresowa, ograniczona inspekcja z zewnątrz, a monitoring, zarządzanie incydentami i przegląd ryzyka działają w sposób ciągły. Audyt wewnętrzny to mechanizm, którego całym zadaniem jest celowe poszukiwanie problemów organizacji wobec określonych wymagań. Audyt wewnętrzny, który nigdy nie kwestionuje kierownictwa, został przebranżowiony w ceremonię, która certyfikuje brak nowych informacji.

Nowe wydanie ISO 19011 z 2026 roku trafi do programów audytowych w ciągu najbliższego roku lub dwóch, a zaktualizowanie numeru edycji w linii odniesienia programu to najtańsza część ćwiczenia. Jeśli to wszystko, co zostanie zaktualizowane, organizacja wykonała dryf opisany w tym poście, zgodnie z harmonogramem. Jeśli Wasza czysta passa znajduje się w programie, który ponownie rozważa swój cel, zarządza ryzykiem stronniczości, gdy audytorzy są blisko własnej pracy, i audytuje wobec normy, a nie wobec siebie, zachowajcie passę. Z naszego doświadczenia wynika, że pasy, które potrafią to wszystko udowodnić, są wyjątkiem — i to właśnie dlatego ten wyjątek jest wart zachowania.