Co to jest audyt zgodności?

Definicja audytu zgodności

Audyt zgodności (ang. compliance audit) to systematyczny proces oceny, czy organizacja spełnia wymagania konkretnej regulacji, normy branżowej lub własnej polityki wewnętrznej. Audyt definiuje precyzyjnie zakres badania, kryteria oceny, sposób zbierania dowodów oraz formę raportu końcowego. Wynik audytu — opinia, certyfikat lub raport niezgodności — służy jako formalny dowód spełnienia wymagań wobec klientów, partnerów biznesowych, regulatorów lub jednostek certyfikujących.

Audyt zgodności różni się od audytu bezpieczeństwa zakresem i celem. Audyt zgodności sprawdza, czy organizacja “robi to, co powinna” zgodnie z normą — czyli czy ma udokumentowane procedury, prowadzi rejestry, ma podpisane umowy DPA, prowadzi szkolenia. Audyt bezpieczeństwa sprawdza, czy zabezpieczenia techniczne faktycznie chronią — czyli czy konfiguracja systemów jest bezpieczna, czy podatności są łatane, czy ataki są wykrywane. Większość organizacji potrzebuje obu typów audytu, prowadzonych w różnych cyklach.

Audyt zgodności licencyjnej vs RODO vs ISO — różnice

W praktyce polskich firm IT trzy najczęstsze ścieżki audytu zgodności to:

Aspekt	Audyt licencyjny	Audyt RODO	Audyt ISO 27001
Inicjator	Producent oprogramowania (Microsoft, Oracle, IBM)	UODO lub klient (B2B)	Klient lub własna decyzja certyfikacji
Zakres	Posiadane vs wykorzystywane licencje	Przetwarzanie danych osobowych	System Zarządzania Bezpieczeństwem Informacji (SZBI)
Częstotliwość	Co 3–7 lat per producent (lub po sygnale)	Coroczny przegląd wewnętrzny	Stage 1+2 (co 3 lata) + nadzór roczny
Konsekwencje	Dopłata do licencji + kary	Kary RODO do 20 mln EUR / 4% obrotu	Brak certyfikatu / utrata kontraktów
Koszt typowy (PL)	50 000–500 000 PLN dopłat	5 000–30 000 PLN audyt	40 000–120 000 PLN cykl

Każdy z tych audytów wymaga innej organizacji pracy, innych dowodów i innego zespołu wewnętrznego. Próba “jednego audytu na wszystko” zawsze pomija specyficzne wymagania któregoś standardu.

Etapy audytu zgodności

Niezależnie od typu, audyt zgodności przebiega według pięciu faz:

1. Przygotowanie (pre-audyt)

Zdefiniowanie zakresu, kryteriów i zasobów przed rozpoczęciem audytu. Najważniejsze produkty tej fazy:

• Zakres — które systemy, procesy, lokalizacje, jednostki biznesowe są objęte audytem; co jest wprost wykluczone.
• Kryteria — wobec jakiej normy lub regulacji audytujemy (Załącznik A ISO 27001, art. 32 RODO, NIS2 art. 21).
• Inwentaryzacja aktywów — potwierdzona lista systemów, danych i podmiotów w zakresie. Audyt bez aktualnej inwentaryzacji zawsze pomija część kontroli.
• Rejestr ryzyka — znane ryzyka i ich traktowanie, używane do skupienia testów na obszarach wysokiego ryzyka.
• Logistyka — dostępy dla audytora, format zbierania dowodów, kanały komunikacji, ścieżka eskalacji.

Faza pre-audytu trwa zazwyczaj 1–2 tygodnie. Błędy popełnione tu (np. niepełna inwentaryzacja) są drogie do naprawy w późniejszych fazach.

2. Badanie dokumentacji (Stage 1 dla ISO)

Audytor weryfikuje dokumentację Systemu Zarządzania (polityki, procedury, rejestry, dowody). Identyfikuje “luki dokumentacyjne” — wymagania normy, dla których brak udokumentowanej procedury. Ten etap dla ISO 27001 to formalnie Stage 1 audytu certyfikującego; dla RODO i NIS2 jest częścią audytu wewnętrznego.

3. Badanie operacyjne (Stage 2 dla ISO)

Audytor weryfikuje, czy procedury są faktycznie stosowane — przez wywiady z pracownikami, przegląd próbek dowodów (np. zaproszenia na szkolenia, zatwierdzenia zmian, logi dostępów), obserwację kontroli technicznych. Najczęstszy wynik: procedura jest, ale ludzie pracują inaczej. To “luka operacyjna” i jest częstsza niż luka dokumentacyjna.

4. Raport i remediacja

Audytor przygotowuje raport zawierający:

• Podsumowanie wykonawcze — 1–2 strony dla zarządu, łączny obraz zgodności i top ryzyka.
• Zakres i metodyka — co badano, jak, wobec jakich kryteriów.
• Niezgodności — pełna lista z poziomem ważności (większa, mniejsza, obserwacja), dowodami i rekomendacją działania.
• Opinia audytowa (dla audytów certyfikujących) — formalne stwierdzenie zgodności lub niezgodności.
• Plan działań naprawczych — uporządkowana lista z właścicielami i terminami.

Większość niezgodności wymaga remediacji w ciągu 30–90 dni przed re-audytem lub przyznaniem certyfikatu.

5. Re-audyt i nadzór

Audytor weryfikuje skuteczność remediacji. Dla ISO 27001 cykl certyfikacji obejmuje 3 lata, w tym dwa coroczne audyty nadzoru oraz pełny re-audyt na koniec cyklu. Dla RODO standardem jest coroczny przegląd wewnętrzny.

Najczęstsze obszary audytu zgodności w Polsce 2026

RODO — najszerzej obowiązujący. Zakres typowego audytu: rejestr czynności przetwarzania (art. 30), umowy DPA z procesorami (art. 28), realizacja praw osób (art. 15–22), procedura zgłaszania incydentów do UODO w 72h (art. 33), DPIA dla procesów wysokiego ryzyka (art. 35), wyznaczenie IOD (art. 37–39).

ISO 27001:2022 — międzynarodowy standard SZBI. Załącznik A zawiera 93 kontrole (zmiana z 114 w wersji 2013). Najczęstsze niezgodności: niepełny rejestr aktywów, brak procedury klasyfikacji informacji, niespójna polityka kontroli dostępu, brak testów planu ciągłości działania.

NIS2 — dyrektywa UE 2022/2555 obowiązująca od października 2024. W Polsce obejmie ok. 6000 podmiotów (energetyka, transport, finanse, ochrona zdrowia, ICT, dostawcy usług cyfrowych). Wymaga m.in. zarządzania ryzykiem cyberbezpieczeństwa, raportowania incydentów do CSIRT, odpowiedzialności zarządu i szkoleń.

KSC — Krajowy System Cyberbezpieczeństwa. Operatorzy usług kluczowych mają obowiązki audytu co 2 lata. Po wejściu NIS2 do polskiego porządku prawnego zakres KSC zostanie znacząco poszerzony.

Audyt licencyjny (SAM) — zarządzanie zasobami oprogramowania. Producenci (Microsoft, Oracle, IBM, SAP) realizują audyty co 3–7 lat lub po sygnale o niezgodności. Kluczowy obszar dla każdej firmy z >50 użytkownikami środowisk Microsoft 365, Oracle Database, VMware lub SAP.

PCI DSS — standard branży kart płatniczych. Obowiązkowy dla podmiotów przetwarzających dane kart. Wersja 4.0 (obowiązująca od marca 2025) znacząco zaostrza wymagania w obszarze MFA, monitorowania i testów penetracyjnych.

Najczęstsze niezgodności i jak ich uniknąć

Powtarzające się niezgodności w polskich audytach 2024–2026, uporządkowane od najczęstszych:

1. Nieaktualny rejestr aktywów / czynności przetwarzania — pierwsza rzecz, której szuka audytor; brak aktualności = niezgodność z art. 30 RODO i sekcją A.5.9 ISO 27001.
2. Procedury istnieją, ale nikt ich nie stosuje — luka między dokumentacją a praktyką. Audytor wykryje przez wywiady i próbki dowodów.
3. Brak testów planu ciągłości działania (BCP/DRP) — plan napisany, ale nigdy nieprzetestowany = audytor zaznacza jako niezgodność większą.
4. Nadmiar uprawnień uprzywilejowanych — zbyt wielu administratorów, brak zasady najmniejszych uprawnień, brak rotacji.
5. Umowy DPA z procesorami niedopasowane do regulacji — szczególnie po wyroku Schrems II i rozszerzeniu klauzul standardowych w 2021 r.
6. Brak udokumentowanych szkoleń pracowników z zakresu bezpieczeństwa i RODO — wymóg formalny ISO 27001 i pośredni RODO.
7. Logi nie są przeglądane — system zbiera logi, ale nikt ich nie analizuje pod kątem incydentów.

Każda z tych niezgodności jest do uniknięcia przy ciągłym nadzorze wewnętrznym między audytami — koszt prewencji jest 5–10 razy niższy niż koszt remediacji po niezgodności.

Wewnętrzny zespół vs zewnętrzny audytor

Większość organizacji potrzebuje obu, w różnych rolach:

Audytor zewnętrzny — wymagany dla certyfikacji (ISO 27001, ISO 27701, SOC 2), wymagany dla wiarygodności wobec klientów i regulatorów. Zapewnia niezależność i benchmarking wobec branży. Koszt: 25 000–150 000 PLN per audyt w zależności od skali i normy.

Zespół wewnętrzny — prowadzi ciągły monitoring kontroli, śledzi remediację, przygotowuje organizację do audytu zewnętrznego. Bez wewnętrznego zespołu kontrole “rozjeżdżają się” między audytami i kolejny zewnętrzny audyt znajdzie je niezgodne.

Najgorszy model: tylko audyt zewnętrzny raz na 3 lata, bez nadzoru wewnętrznego między cyklami. Najczęstszy w polskich firmach średniej wielkości — i najczęstsze źródło “nagłych” niezgodności podczas re-audytów.

Rola ARDURA Consulting w programach zgodności

Audyty zgodności wymagają specjalistów, których trudno utrzymać na etacie w pełnym wymiarze: GRC analytics, audytorzy ISO 27001 / SOC 2, specjaliści RODO, eksperci NIS2. ARDURA Consulting dostarcza seniorów, którzy embedują w zespoły klientów, prowadząc: (1) zamknięcie niezgodności z poprzedniego audytu przed kolejnym cyklem, (2) wdrożenie kontroli, które przetrwają zewnętrzną weryfikację, (3) próbne audyty wewnętrzne, żeby zewnętrzne audyty nie produkowały niespodzianek. 500+ seniorów w bazie talentów, 99% retencja klientów, 211+ zrealizowanych projektów IT.

Podsumowanie

Audyt zgodności jest procesem zamiany polityki bezpieczeństwa w mierzalną pewność wobec klientów i regulatorów. Pięcioetapowy model — przygotowanie, badanie dokumentacji, badanie operacyjne, raport i remediacja, re-audyt — produkuje powtarzalne, obronne wyniki, kiedy jest realizowany w pełnym cyklu. Największym źródłem strat w audytach zgodności jest reaktywna remediacja w trybie awaryjnym; największym źródłem wartości jest traktowanie niezgodności jako ciągle śledzonych zadań, a nie jednorazowych rocznych projektów. Dojrzałe programy zgodności używają audytów jako czynnika napędzającego poprawę systemu, a nie jako wydarzenia do zaliczenia.