Audit & Compliance Agent

Przygotowanie do audytu nie udaje się z powodu zbierania dowodów, nie braku wiedzy

Duża część organizacji nie przechodzi audytu dokumentacyjnego za pierwszym podejściem - w praktyce brak dowodów jest jednym z najczęstszych powodów opóźnień w certyfikacjach i kontrolach. Problem rzadko tkwi w braku fachowej wiedzy. Kontrole istnieją, procesy są zdefiniowane, polityki uchwalone. Brakuje dowodów, że naprawdę są stosowane w praktyce.

Typowy przebieg trzy tygodnie przed audytem recertyfikacyjnym ISO: dział compliance rozsyła katalog wymagań do dwunastu jednostek organizacyjnych. HR ma dostarczyć potwierdzenia szkoleń, IT dokumentację kontroli dostępów, dział techniczny dokumentację przeglądów. W pierwszym tygodniu niewiele się dzieje - wszyscy mają bieżące zadania. W drugim tygodniu dyrektor compliance eskaluje. W trzecim tygodniu sześć osób równolegle zbiera dokumenty z różnych systemów, formatuje je i łata luki, które dopiero teraz stają się widoczne.

Ten schemat powtarza się kwartalnie w nieco zmienionej formie: kontrola biegłego rewidenta wiosną, audyt ochrony danych latem, audyt nadzorczy ISO jesienią, kontrola ZUS przy zapowiedzi. Za każdym razem ten sam pośpiech, te same wąskie gardła, te same możliwe do uniknięcia ustalenia.

Ciągłe gromadzenie dowodów sprawia, że termin audytu staje się formalnością

Rdzeń problemu leży w synchronizacji. Dowody zbiera się, gdy przychodzi audytor - nie wtedy, gdy wykonywana jest czynność wymagająca udokumentowania. Między momentem przeprowadzenia szkolenia a momentem, w którym ktoś szuka na to dowodu, mijają miesiące. W tym czasie systemy się zmieniają, odpowiedzialni odchodzą, pliki są przenoszone.

Decision Layer rozkłada każdy proces audytowy na pojedyncze kroki decyzyjne i definiuje dla każdego, czy decyduje człowiek, silnik reguł czy AI. Przyporządkowanie wymagania do typu dowodu opiera się na silniku reguł - dla ISO 27001 czy SOC 2 jest to zestandaryzowane i nie wymaga ponownego opracowywania co kwartał. Kompilację dowodów z systemów źródłowych przejmuje agent, ponieważ szybciej i pełniej uzyskuje dostęp do systemu HR, DMS i systemu zgłoszeń niż jakikolwiek proces ręczny.

Badanie Forrester TEI dotyczące Drata (październik 2025) szacuje oszczędność czasu dzięki zautomatyzowanemu zbieraniu dowodów na 78 procent w porównaniu z ręcznym gromadzeniem - z 980 do 220 godzin rocznie. W praktyce oznacza to: zamiast trzech tygodni przygotowań przed każdym audytem, dokumentacja jest stale aktualna i uporządkowana. Termin audytu staje się raportem statusowym, nie projektem.

Otwarte ustalenia pozostają otwarte, dopóki nikt nie pyta

Każdy audyt kończy się listą otwartych działań. Drobne ustalenia, rekomendacje, potencjały usprawnień - udokumentowane w raporcie końcowym, przypisane odpowiedzialnym, opatrzone terminami. To, co dzieje się potem, w wielu organizacjach jest rozczarowujące: raport trafia do systemu archiwizacji. Terminy mijają po cichu. Przy następnym audycie te same punkty pojawiają się ponownie - tym razem jako powtarzające się ustalenia, co nastawia audytora znacznie bardziej krytycznie.

Przeciętnie organizacje otrzymują przy pierwszym audycie SOC 2 lub ISO od 8 do 12 ustaleń. Powtarzające się ustalenia z poprzednich lat ważą ciężej, ponieważ sygnalizują brak zdolności do wdrażania zmian. Zautomatyzowane śledzenie działań zmienia tę dynamikę: każde ustalenie jest rejestrowane z odpowiedzialnym, terminem i przebiegiem statusu. Przekroczenia terminów generują eskalacje, zanim odkryje je następny audytor. Status wszystkich otwartych działań jest dostępny w każdej chwili - nie dopiero, gdy ktoś o to zapyta.

Rewizyjność powstaje przez identyfikowalność, nie przez kontrolę

Audyty dotyczące danych pracowniczych - listy płac, ewidencja czasu pracy, akta osobowe - podlegają szczególnym wymaganiom. Rada Zakładowa (organ konsultacyjny bez prawa weta, zgodnie z Kodeksem Pracy) ma prawo informacyjne o rodzaju i zakresie wykorzystywanych danych. Udostępniana dokumentacja musi być rewizyjna: każdy dowód musi być identyfikowalny co do momentu powstania, niezmienialny i kompletny.

To wymaganie nie jest spełniane przez dodatkowe warstwy kontroli, lecz przez strukturę. Gdy dowody w momencie ich powstania są automatycznie rejestrowane, opatrywane znacznikiem czasu i źródłem oraz przechowywane w spójnym formacie, rewizyjność przestaje być oddzielnym nakładem pracy. Staje się produktem ubocznym czystego procesu.

Dla oficera compliance oznacza to zmienioną rolę: mniej operacyjnego zbierania dowodów, więcej strategicznego sterowania. Pytanie przesuwa się z “Czy mamy wszystkie dokumenty?” na “Czy nasze cele kontrolne są skuteczne?”. To jest pytanie, które audytor naprawdę chce zadać - i na które organizacja powinna umieć odpowiedzieć bez wcześniejszego trzytygodniowego polowania na dokumenty.