Audit GRC Sp. z o.o. pracuje w dwóch obszarach, które łączy jedno wymaganie: operacja w systemie ma zostawić zapis, po którym da się ją odtworzyć. Pierwszym obszarem jest audyt mechanizmów kontrolnych IT oraz ochrony danych osobowych w organizacjach. Drugim są systemy ewidencyjne dla gmin i powiatów, projektowane pod konkretne przepisy prawa.
Spółka ma siedzibę w Dąbrowie koło Poznania i obsługuje klientów zdalnie, na terenie całej Polski. Zespół tworzą prawnicy i specjaliści IT z doświadczeniem w sektorze publicznym, więc analiza nowego przepisu i zmiana w systemie powstają w jednym zespole.
Zasada pracy. Kontrola istnieje wtedy, gdy zostawia ślad. Procedurę opisaną w dokumencie, po której nie da się wskazać ani jednego zapisu z badanego okresu, traktujemy jak kontrolę nieprzeprowadzoną.
Dwa obszary działalności
Obie części korzystają z tego samego doświadczenia. Audyt pokazuje, jakiego zapisu zażąda kontrolujący, a ta wiedza wraca do projektów systemów jako wymaganie wobec struktury danych.
| Linia działalności | Zakres prac | Odbiorca |
|---|---|---|
| WMS OLiOC | ewidencja zasobów ochrony ludności według ustawy o ochronie ludności i obronie cywilnej | powiat, gmina |
| BioKontrol | ewidencja gospodarki ściekowej z dokumentami pobrania i zrzutu nieczystości | urząd gminy, firma asenizacyjna |
| Audyt ITGC | badanie ogólnych mechanizmów kontrolnych oraz segregacji obowiązków | zarząd, audyt wewnętrzny |
| Ochrona danych osobowych | rejestr czynności przetwarzania, obsługa funkcji inspektora | administrator danych |
| Platforma SUPERVISO | rejestry zgodności powiązane z dowodami wykonania kontroli | osoba odpowiedzialna za zgodność |
Systemy ewidencyjne dla gmin i powiatów
Każdy system odpowiada na konkretny obowiązek ustawowy, a nie na ogólną kategorię oprogramowania. Przepis wyznacza w nim strukturę danych oraz zakres sprawozdań.
- WMS OLiOC - ewidencja zasobów ochrony ludności prowadzona według ustawy z 5 grudnia 2024 r. (Dz.U. 2024 poz. 1907), z aplikacją mobilną dla magazynierów.
- BioKontrol - ewidencja gospodarki ściekowej według ustawy o utrzymaniu czystości i porządku w gminach (Dz.U. 2025 poz. 733), w której pracują urząd gminy i firmy asenizacyjne. Użytkownicy logują się do systemu pod adresem biokontrol.audit-grc.pl.
Reguły obiegu dokumentów w BioKontrol
Doświadczenie audytowe najłatwiej zobaczyć w regułach obiegu dokumentów. Każda z nich odpowiada na pytanie, które kontrolujący zadaje przy przeglądzie ewidencji.
| Pytanie kontrolującego | Reguła w systemie |
|---|---|
| Kto zmienił wpis po zatwierdzeniu | zmiana zatwierdzonego wpisu wymaga uprawnień administratora i trafia do dziennika zdarzeń |
| Czym różni się wersja robocza od wpisu w rejestrze | dokument w buforze można poprawić albo usunąć, a po zatwierdzeniu trafia do rejestru |
| Czy zrzut ma pokrycie w pobraniach | system blokuje zrzut pojazdu, dopóki któreś z jego pobrań czeka na zatwierdzenie |
| Gdzie odebrano nieczystości | aplikacja mobilna odczytuje współrzędne GPS w chwili zgłoszenia pobrania, bez ciągłego śledzenia pojazdu |
Audyt ogólnych mechanizmów kontrolnych IT
Kontrole wbudowane w aplikację tracą wartość, gdy nie działają mechanizmy ogólne. Limit kwotowy w systemie finansowym nie chroni przed nadużyciem, jeżeli programista ma nieograniczony dostęp do bazy produkcyjnej i może zmienić zapis bez śladu.
Zakres badania ITGC
- Zarządzanie dostępem - nadawanie oraz odbieranie uprawnień, z okresowym przeglądem kont uprzywilejowanych i kont technicznych bez właściciela.
- Kontrola zmian - ścieżka od zgłoszenia do wdrożenia na produkcję, z rozdzieleniem roli wytwarzającej od wdrażającej.
- Eksploatacja środowiska - zadania cykliczne oraz postępowanie przy incydencie.
- Kopie zapasowe - przechowywanie poza środowiskiem produkcyjnym oraz testowe odtworzenie potwierdzone protokołem.
Szczegóły poszczególnych obszarów opisuje artykuł o ogólnych mechanizmach kontrolnych IT.
Dowód kontrolny zamiast deklaracji
Badanie opiera się na artefaktach pochodzących z systemu. Rozmowa z osobą odpowiedzialną pomaga zrozumieć proces, ale ustalenie powstaje z zapisu.
| Kontrola | Deklaracja, która nie wystarcza | Dowód przyjmowany w badaniu |
|---|---|---|
| Odbieranie uprawnień | procedura przewiduje odbiór w dniu rozwiązania umowy | zestawienie kont aktywnych z datą, porównane z listą osób zatrudnionych |
| Zatwierdzanie zmian | zmiany wdrażamy po akceptacji kierownika | rejestr zgłoszeń z identyfikatorem zatwierdzającego i datą wdrożenia |
| Kopie zapasowe | kopia wykonuje się codziennie w nocy | protokół testowego odtworzenia z datą i zakresem danych |
| Segregacja obowiązków | programiści nie mają dostępu do produkcji | lista kont z rolami na środowisku produkcyjnym w dniu badania |
Ostrzeżenie dla osób przygotowujących dokumentację. Zestawienie kont wygenerowane w dniu spotkania z audytorem nie dowodzi stanu z badanego okresu. Dowodem jest zapis powstały wtedy, gdy kontrola działała, dlatego retencja dziennika operacji musi obejmować cały badany okres.
Ochrona danych osobowych i funkcja inspektora
Punktem wyjścia jest wykaz operacji przetwarzania z kategoriami danych oraz podstawą prawną. Bez niego ocena ryzyka opisuje wyobrażenie o organizacji, a nie jej rzeczywisty stan.
Obowiązki wynikają z rozporządzenia 2016/679, którego tekst udostępnia baza EUR-Lex. Rejestr czynności przetwarzania wymaga art. 30, a ocenę skutków dla ochrony danych art. 35. Zadania inspektora ochrony danych wymienia art. 39.
- Inwentaryzacja operacji przetwarzania - wykaz procesów ze wskazaniem systemów, w których dane są utrwalane.
- Ocena ryzyka dla praw osób - analiza skutków naruszenia poufności oraz integralności, odniesiona do kategorii danych.
- Środki ograniczające ryzyko - pseudonimizacja, ograniczenie retencji, rozdzielenie środowisk, kontrola dostępu w warstwie aplikacji.
- Obsługa naruszeń - zgłoszenie do organu nadzorczego w ciągu 72 godzin od stwierdzenia naruszenia (art. 33) oraz zawiadomienie osób, gdy naruszenie niesie wysokie ryzyko (art. 34).
Zakres pracy inspektora opisuje materiał o inspektorze ochrony danych osobowych. Procedurę zgłoszeń wewnętrznych, którą ustawa o ochronie sygnalistów (Dz.U. 2024 poz. 928) nakłada na podmioty z co najmniej 50 osobami wykonującymi pracę zarobkową, omawia artykuł o ochronie sygnalistów w organizacji.
Platforma SUPERVISO
Dokumentacja zgodności rozproszona po dyskach współdzielonych przestaje być użyteczna w chwili, gdy trzeba wskazać dowód dla konkretnego wymagania. SUPERVISO przypisuje każdej kontroli wymaganie i właściciela, a każdemu wykonaniu kontroli dowód z datą.
| Element rejestru | Co przechowuje | Zastosowanie przy kontroli |
|---|---|---|
| Wymaganie | przepis albo zapis normy z odesłaniem do źródła | wskazanie podstawy obowiązku |
| Kontrola | opis czynności ograniczającej ryzyko, częstotliwość | wykazanie sposobu realizacji obowiązku |
| Właściciel | osoba odpowiedzialna za wykonanie kontroli | ustalenie odpowiedzialności organizacyjnej |
| Dowód wykonania | artefakt z datą powiązany z cyklem kontroli | materiał przedkładany kontrolującemu |
Model rejestru opisuje szerzej artykuł o platformie compliance IT.
Kwalifikacje zespołu
Kwalifikacje należą do osób z zespołu, nie do spółki. Tabela zawiera wybrane pozycje, a pełne zestawienie opisuje strona o kompetencjach w ochronie danych osobowych i bezpieczeństwie IT.
| Kwalifikacja | Obszar |
|---|---|
| Lead Auditor ISO/IEC 27001:2017 | kierowanie audytem systemu zarządzania bezpieczeństwem informacji |
| Internal Auditor ISO/IEC 27005:2011 | zarządzanie ryzykiem bezpieczeństwa informacji |
| Studia na kierunku Inspektor Ochrony Danych Osobowych | ochrona danych osobowych |
| Certyfikaty kompetencji ABI i IOD (2017) | funkcja administratora bezpieczeństwa informacji oraz inspektora ochrony danych |
| Wykładowca na kierunku Inspektor Ochrony Danych, PWSZ w Koninie (2020-2021) | prowadzenie zajęć oraz egzaminów końcowych |
| Studia podyplomowe Analityk biznesowy IT (2021-2022) | analiza biznesowa w projektach informatycznych |
| Certified IT Security Specialist, Akademia Bezpieczeństwa (2023) | praktyczne zabezpieczanie systemów |
| MITRE ATT&CK Framework Essentials oraz NIST Cybersecurity Framework (2024) | modelowanie zagrożeń |
Kwalifikacja osoby a certyfikacja organizacji. Certyfikat Lead Auditora potwierdza przygotowanie osoby do kierowania audytem systemu zarządzania bezpieczeństwem informacji. Certyfikat zgodności z normą ISO/IEC 27001 wydaje organizacji jednostka certyfikująca, której kompetencje potwierdza akredytacja, w Polsce udzielana przez Polskie Centrum Akredytacji.
Autor artykułów
Autorem artykułów w serwisie jest Adam Siemiątkowski, konsultant merytoryczny Audit GRC Sp. z o.o. Uwagi do treści artykułów można przesłać na adres biuro@audit-grc.pl. Spółka ma też profil w serwisie LinkedIn.
Jak przebiega współpraca
Prace zaczynają się od ustalenia przedmiotu badania oraz dowodów, które organizacja jest w stanie wystawić. Ten etap bywa najdłuższy, ponieważ ujawnia obszary bez zapisu.
- Zakres i dostęp do dowodów - uzgodnienie badanych systemów oraz okresu objętego badaniem.
- Badanie na próbie - dobór pozycji do sprawdzenia z uzasadnieniem liczebności próby.
- Raport z ustaleniami - opis stanu faktycznego oraz zalecenia uszeregowane według ryzyka.
- Weryfikacja po wdrożeniu zaleceń - ponowne sprawdzenie wybranych kontroli po uzgodnionym czasie.
Gminy i powiaty zainteresowane systemami zaczynają od bezpłatnej prezentacji, którą można umówić przez formularz kontaktowy albo telefonicznie.
Dane rejestrowe i kontakt
| Pozycja | Dane |
|---|---|
| Firma | Audit GRC Sp. z o.o. |
| Siedziba | ul. Innowatorów 8, 62-069 Dąbrowa |
| KRS | 0000837327 |
| NIP | 7773360106 |
| biuro@audit-grc.pl | |
| Telefon | +48 730 007 587 |
| Obsługa | zdalnie, na terenie całej Polski |
Podatności wykryte w systemach spółki można zgłaszać według polityki ujawniania podatności.
Pytania i odpowiedzi
Czym różni się audyt ITGC od testu bezpieczeństwa?
Test bezpieczeństwa sprawdza, czy konkretną podatność da się wykorzystać w danym momencie. Audyt ogólnych mechanizmów kontrolnych bada, czy organizacja ma powtarzalny proces, który ogranicza powstawanie takich podatności, na przykład kto zatwierdza zmianę w systemie produkcyjnym i jak szybko wygasają uprawnienia po odejściu pracownika. Wynik testu opisuje stan z dnia badania, a wynik audytu procesu pozostaje aktualny do zmiany procedury.
Jakie dowody trzeba przygotować przed badaniem?
Badanie opiera się na dowodach pochodzących z systemu, nie z oświadczeń. Podstawowy zestaw obejmuje zestawienie kont z systemu produkcyjnego z datą, rejestr zatwierdzeń zmian z ostatniego okresu, protokół ostatniego odtworzenia kopii zapasowej oraz wykaz systemów przetwarzających dane osobowe. Brak któregoś z tych dokumentów sam w sobie jest ustaleniem audytowym.
Czy ocena ryzyka przetwarzania danych zastępuje DPIA?
Nie. Ocena ryzyka porządkuje obraz przetwarzania w całej organizacji i wskazuje operacje wymagające pogłębionej analizy. DPIA jest osobną procedurą z art. 35 RODO, prowadzoną dla konkretnej operacji przetwarzania o wysokim ryzyku. Ocena ryzyka bywa punktem wejścia do DPIA, ale jej nie zastępuje.
Czy Audit GRC prowadzi audyty certyfikacyjne ISO/IEC 27001?
Nie. Audyt certyfikacyjny prowadzi jednostka certyfikująca z akredytacją, w Polsce udzielaną przez Polskie Centrum Akredytacji. Zespół Audit GRC prowadzi audyty wewnętrzne, a kwalifikacja Lead Auditor dotyczy osoby, nie spółki.
Do czego służy platforma SUPERVISO?
Platforma prowadzi w jednym środowisku rejestry potrzebne do wykazania zgodności: rejestr czynności przetwarzania, rejestr naruszeń, wykaz kontroli z właścicielami oraz dokumentację powiązaną z wymaganiami. Przy każdym wymaganiu rejestr przechowuje dowód z datą ostatniego potwierdzenia, więc przygotowanie do kontroli zewnętrznej nie wymaga przeszukiwania dysków.
Czy spółka zajmuje się wyłącznie audytem?
Nie. Spółka projektuje też systemy ewidencyjne dla jednostek samorządu terytorialnego: WMS OLiOC dla zasobów ochrony ludności oraz BioKontrol dla gospodarki ściekowej. Doświadczenie audytowe widać w nich w regułach zatwierdzania dokumentów i w dzienniku zdarzeń.
Słownik pojęć
- GRC
- Skrót od angielskiego governance, risk and compliance. Oznacza nadzór nad organizacją, w którym ryzyko i zgodność z wymaganiami ocenia się na wspólnym rejestrze wymagań i kontroli zamiast na rozproszonych dokumentach działów.
- ITGC
- Ogólne mechanizmy kontrolne IT (IT General Controls) obejmujące zarządzanie dostępem, kontrolę zmian, eksploatację środowiska oraz kopie zapasowe. Kontrole wbudowane w aplikacje działają poprawnie tylko wtedy, gdy działają te mechanizmy.
- Dowód kontrolny
- Artefakt z systemu potwierdzający, że kontrola zadziałała w badanym okresie, na przykład wpis w dzienniku zdarzeń albo protokół odtworzenia kopii. Oświadczenie osoby odpowiedzialnej nie jest dowodem kontrolnym.
- Dziennik zdarzeń
- Chronologiczny zapis operacji w systemie z identyfikatorem użytkownika i czasem wykonania. Pozwala ustalić autora i czas każdej zmiany wpisu, także po jego zatwierdzeniu.
- Rozliczalność
- Właściwość systemu pozwalająca przypisać każdą operację do konkretnego użytkownika oraz chwili jej wykonania. Warunek wykazania zgodności przed organem nadzorczym oraz podstawa odtworzenia stanu danych sprzed zdarzenia.
- Segregacja obowiązków
- Rozdzielenie czynności, których połączenie w jednej roli pozwalałoby wykonać i zatwierdzić operację bez udziału drugiej osoby. W środowisku informatycznym dotyczy przede wszystkim rozdzielenia wytwarzania oprogramowania od wdrożenia na produkcję.
- SUPERVISO
- Platforma Audit GRC, w której rejestry zgodności przechowują powiązania między wymaganiem, kontrolą, właścicielem oraz dowodem jej wykonania.