Jak wdrożyć usługę IT Compliance Officera? Wdrożenie przebiega w czterech krokach: przygotowanie organizacji (sponsor, lista reżimów, dostęp do dokumentów), onboarding dostawcy (dostępy, spotkania z właścicielami obszarów, przegląd stanu), uzgodnienie macierzy RACI rozdzielającej odpowiedzialności między dostawcę, zespoły wewnętrzne i zarząd oraz realizacja planu pierwszych 90 dni, na końcu którego istnieją trzy fundamenty: mapa wymogów, rejestr zgodności ze statusem wyjściowym i kalendarz obowiązków na 12 miesięcy.
Czym jest sama rola, opisaliśmy w hubie IT Compliance Officer – kim jest, a wybór między usługą a etatem – w artykule Zewnętrzny IT Compliance Officer czy etat. Ten artykuł zakłada, że decyzja o usłudze już zapadła i odpowiada na pytanie „co dalej”.
Definicja kanoniczna: Onboarding usługi IT Compliance Officera to proces uruchomienia zewnętrznej funkcji zgodności obejmujący nadanie dostępów, przegląd stanu wyjściowego, uzgodnienie macierzy odpowiedzialności RACI oraz dostarczenie pierwszych artefaktów – mapy wymogów, rejestru zgodności i kalendarza obowiązków.
Wdrożenie usługi IT Compliance Officera – w skrócie:
- Sukces wdrożenia rozstrzyga się przed podpisaniem umowy: wyznaczenie sponsora z zarządu, spisanie listy reżimów i audytów oraz zebranie istniejącej dokumentacji skracają onboarding o tygodnie.
- Macierz RACI to najważniejszy dokument wdrożenia – bez niej usługa dubluje pracę zespołów wewnętrznych albo zostawia obszary niczyje; wzór dla ośmiu procesów podajemy niżej.
- Plan 30/60/90 dni ma trzy kamienie milowe: dzień 30 – mapa wymogów i kalendarz obowiązków; dzień 60 – rejestr zgodności zweryfikowany dowodami i priorytetyzacja luk; dzień 90 – pierwszy raport dla zarządu i działający rytm operacyjny.
- Usługa nie przejmuje odpowiedzialności zarządu z art. 5 DORA i art. 20 NIS2 – przejmuje pracę, która czyni tę odpowiedzialność wykonalną; raport kwartalny prezentowany na posiedzeniu zarządu jest tego dowodem.
- Mierniki sukcesu po 90 dniach to artefakty i rytmy, nie godziny: aktualność rejestru, pokrycie kalendarza właścicielami, odsetek wymogów ze statusem potwierdzonym dowodem.
- Patronusec prowadzi onboarding według opisanego tu planu i zobowiązuje się umownie do trzech artefaktów fundamentowych w ciągu 30 dni – w modelu rozliczenia za rezultaty, nie za godziny.
Spis treści
Co przygotować przed podpisaniem umowy, żeby onboarding nie trwał kwartału?
Przed podpisaniem umowy przygotuj pięć rzeczy: sponsora z zarządu z mandatem decyzyjnym, koordynatora operacyjnego po stronie organizacji, listę reżimów i nadchodzących audytów z datami, inwentarz istniejącej dokumentacji (polityki, raporty, certyfikaty, umowy z dostawcami ICT) oraz decyzję o narzędziach, w których będą żyły rejestry. Braki w tych pięciu punktach są najczęstszą przyczyną onboardingu rozciągającego się z tygodni na miesiące.
Lista przygotowawcza z uzasadnieniem:
| # | Element | Dlaczego przed umową | Typowy brak i jego koszt |
|---|---|---|---|
| 1 | Sponsor z zarządu | art. 5 DORA i art. 20 NIS2 lokują odpowiedzialność w zarządzie; sponsor odblokowuje decyzje i dostępy | usługa raportuje „w próżnię”, decyzje czekają tygodniami |
| 2 | Koordynator operacyjny | jedna osoba kontaktowa (część etatu wystarczy) zbiera pytania i umawia właścicieli obszarów | dostawca goni dziesięć osób osobno, onboarding × 2 |
| 3 | Lista reżimów i audytów z datami | katalog artefaktów i cena zależą od zakresu; daty audytów ustawiają priorytety planu 90 dni | zakres „odkrywany” w trakcie, aneksy do umowy |
| 4 | Inwentarz dokumentacji | przegląd stanu wyjściowego zaczyna się od tego, co jest: polityki, ostatnie raporty z audytów, certyfikaty, rejestr umów ICT, wyniki skanów | dostawca odtwarza stan z wywiadów zamiast z dokumentów |
| 5 | Decyzja o narzędziach | rejestry powinny żyć w narzędziach klienta od pierwszego dnia (własność artefaktów) | rejestry powstają w plikach dostawcy, problem przy wyjściu |
Pięć elementów przygotowanych przed podpisaniem umowy – sponsor, koordynator, lista reżimów z datami audytów, inwentarz dokumentacji i decyzja o narzędziach – skraca onboarding usługi IT Compliance Officera z miesięcy do tygodni.
Do listy warto dodać szósty element dla podmiotów pod DORA: umowa z dostawcą funkcji zgodności jest umową z dostawcą usług ICT, więc jeszcze przed podpisaniem sprawdź, czy zawiera klauzule z art. 30 DORA i czy trafi do rejestru z art. 28. Wymagania wobec takich umów opisaliśmy w artykule o zarządzaniu ryzykiem dostawców ICT – a dostawca, który sam przynosi projekt tych klauzul, zdaje pierwszy test kompetencji.
Jak wygląda onboarding krok po kroku w pierwszych dwóch tygodniach?
Onboarding w pierwszych dwóch tygodniach obejmuje pięć kroków: spotkanie otwierające ze sponsorem i uzgodnienie zasad współpracy, nadanie dostępów w trybie minimalnych uprawnień, serię wywiadów z właścicielami obszarów (IT, bezpieczeństwo, prawo, HR, zakupy), przegląd dokumentacji zebranej na etapie przygotowania oraz warsztat RACI zamykający podział odpowiedzialności. Wynikiem jest uzgodniony plan 90 dni z datami.
Przebieg dzień po dniu:
- Dzień 1-2: spotkanie otwierające
Uczestnicy: sponsor, koordynator, zespół dostawcy. Ustalenia: kanały komunikacji, rytm spotkań statusowych (zalecany tygodniowy w pierwszym kwartale), format eskalacji, potwierdzenie katalogu artefaktów z umowy. - Dzień 2-5: dostępy
Konta imienne z minimalnymi uprawnieniami: repozytorium dokumentacji, narzędzie rejestrów, system zgłoszeń (odczyt), kalendarz organizacji. Dostępy do systemów produkcyjnych nie są potrzebne – funkcja zgodności pracuje na dowodach, nie na konfiguracji. - Dzień 3-10: wywiady z właścicielami obszarów
Po 60-90 minut z: szefem IT (architektura, zmiany, kopie), bezpieczeństwem (incydenty, skany, testy), prawnikiem (umowy, RODO), HR (szkolenia, onboarding/offboarding), zakupami (dostawcy ICT), finansami (budżety audytów). Cel: kto czym zarządza i gdzie są dowody. - Dzień 5-10: przegląd dokumentacji
Polityki i ich daty przeglądu, ostatnie raporty z audytów i pentestów, certyfikaty i terminy ważności, rejestr umów ICT lub jego brak, wyniki ostatnich skanów. - Dzień 10-14: warsztat RACI i plan 90 dni
Uzgodnienie macierzy (sekcja niżej) i kalendarza kamieni milowych z konkretnymi datami.
Onboarding usługi zgodności nie wymaga dostępów do systemów produkcyjnych – funkcja pracuje na dokumentach, rejestrach i dowodach, dlatego wystarczą imienne konta z minimalnymi uprawnieniami do repozytoriów i narzędzi rejestrowych.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że najwięcej czasu w onboardingu tracą nie dostępy, lecz kalendarze – umówienie sześciu wywiadów z właścicielami obszarów potrafi zająć trzy tygodnie, jeśli robi to dostawca mailami. Dlatego prosimy koordynatora klienta o zablokowanie wszystkich wywiadów w jednym tygodniu jeszcze przed startem umowy. Ten jeden zabieg organizacyjny konsekwentnie skraca onboarding o 2-3 tygodnie i pozwala dotrzymać zobowiązania: trzy artefakty fundamentowe w 30 dni.
Jak zbudować macierz RACI dla funkcji zgodności IT?
Macierz RACI dla funkcji zgodności buduje się dla ośmiu powtarzalnych procesów, przypisując każdemu cztery role: R (wykonuje), A (odpowiada ostatecznie), C (konsultowany), I (informowany). Zasada nadrzędna: A za zgodność organizacji zawsze pozostaje po stronie zarządu (art. 5 DORA, art. 20 NIS2), dostawca usługi bierze R za artefakty i koordynację, a zespoły wewnętrzne R za wdrażanie zabezpieczeń i dostarczanie dowodów.
Wzór macierzy dla ośmiu procesów:
| Proces | Zarząd / sponsor | Dostawca usługi (ITCO) | Właściciele obszarów (IT, bezpieczeństwo, prawo) | Audyt wewnętrzny |
|---|---|---|---|---|
| Mapowanie wymogów i zmian prawa | A | R | C | I |
| Rejestr zgodności i statusy | A | R | C (potwierdzają statusy) | I |
| Kalendarz obowiązków i pilnowanie terminów | A | R | R (wykonanie zadań w terminie) | I |
| Gromadzenie i format dowodów | A | R (struktura, kompletność) | R (dostarczenie dowodu) | C |
| Remediacja luk | A | C (priorytety, śledzenie) | R (wdrożenie) | I |
| Obsługa audytów zewnętrznych | A | R (przygotowanie, koordynacja) | C (udział, dowody) | C |
| Opiniowanie zmian i umów | A | R (opinia zgodności) | C (kontekst techniczny/prawny) | I |
| Raport kwartalny dla zarządu | A (odbiera i decyduje) | R (przygotowuje i prezentuje) | C | I |
Trzy zasady, które chronią macierz przed rozpadem:
- Jedno A na proces. Podwójne A („zarząd i CISO odpowiadają wspólnie”) oznacza w praktyce, że nie odpowiada nikt.
- R za dowód u właściciela zabezpieczenia. Dostawca usługi strukturyzuje i egzekwuje dowody, ale nie może ich wytwarzać za zespoły – raport ze skanu dostarcza bezpieczeństwo, listę szkoleń HR. Inaczej funkcja zgodności staje się fabryką dokumentów oderwanych od rzeczywistości.
- Audyt wewnętrzny poza R. Trzecia linia ocenia, nie wykonuje – jeśli audyt współtworzy rejestr, nie może go potem niezależnie ocenić.
W macierzy RACI funkcji zgodności rola A za zgodność organizacji nigdy nie przechodzi na zewnętrznego dostawcę – dostawca przyjmuje R za artefakty i koordynację, a odpowiedzialność ostateczna pozostaje przy organie zarządzającym zgodnie z art. 5 DORA i art. 20 NIS2.
Macierz warto załączyć do umowy jako załącznik operacyjny i przeglądać po pierwszym kwartale – praktyka zawsze koryguje teorię, a nieaktualna RACI jest gorsza niż żadna, bo daje fałszywe poczucie uporządkowania.
Chcesz dostać wzór macierzy RACI i planu 90 dni dopasowany do swojej listy reżimów?
Patronusec przygotowuje bezpłatny szkic wdrożenia: na podstawie listy reżimów, dat audytów i struktury organizacyjnej otrzymujesz w ciągu 5 dni roboczych propozycję macierzy RACI, kamieni milowych 30/60/90 z datami oraz katalogu artefaktów – do wykorzystania niezależnie od tego, czy usługę zamówisz u nas.
Zamów szkic wdrożenia funkcji zgodności
Jak wygląda plan pierwszych 90 dni i co musi istnieć na każdym kamieniu milowym?
Plan 90 dni ma trzy kamienie milowe: na dzień 30 istnieją mapa wymogów, kalendarz obowiązków na 12 miesięcy i rejestr zgodności ze statusem wyjściowym; na dzień 60 – rejestr zweryfikowany dowodami, spriorytetyzowana lista luk z planem naprawczym i domknięte „szybkie wygrane”; na dzień 90 – pierwszy raport kwartalny zaprezentowany zarządowi, działający rytm operacyjny i przegląd RACI po pierwszym kwartale.
Dni 1-30: fundamenty
- Onboarding z poprzedniej sekcji (dostępy, wywiady, przegląd dokumentacji, warsztat RACI).
- Mapa wymogów – reżimy obejmujące organizację, przepisy dotyczące IT, przypisanie do właścicieli.
- Kalendarz obowiązków na 12 miesięcy – terminy raportowe, przeglądy, recertyfikacje, skany, szkolenia, z wyprzedzeniami i właścicielami.
- Rejestr zgodności ze statusem wyjściowym – każdy wymóg: spełniony / luka / w trakcie / nie dotyczy, na podstawie wywiadów i dokumentów (statusy robocze, do weryfikacji dowodami w kolejnym miesiącu).
- Jeśli w kalendarzu jest termin bliższy niż 60 dni (audyt, raport do regulatora) – staje się priorytetem ponad planem.
Dni 31-60: weryfikacja i priorytety
- Weryfikacja statusów dowodami – status „spełniony” bez dowodu wraca do „luka formalna”; to najbardziej pracochłonny i najcenniejszy etap.
- Priorytetyzacja luk – według ryzyka (kary, terminy, prawdopodobieństwo kontroli) i kosztu usunięcia; luki formalne (brak zapisu przy działającym zabezpieczeniu) domykane od razu jako szybkie wygrane.
- Plan naprawczy – luki merytoryczne z właścicielami, terminami i szacunkiem nakładu; zatwierdzany przez sponsora.
- Pierwsze opinie zgodności w bieżących zmianach i umowach – funkcja zaczyna działać „w rytmie” organizacji, nie obok niej.
Dni 61-90: rytm i raport
- Pierwszy raport kwartalny – stan zgodności per reżim, mapa luk z planem, terminy najbliższego kwartału, ryzyka; prezentowany na posiedzeniu zarządu przez dostawcę, z decyzjami zarządu w protokole.
- Rytm operacyjny – cotygodniowy status z koordynatorem przechodzi na dwutygodniowy, miesięczny przegląd rejestru, kwartalny raport; kanał opinii zgodności działa w SLA.
- Przegląd RACI – korekta macierzy na podstawie pierwszego kwartału.
- Przekazanie wiedzy – repozytorium dowodów uporządkowane per wymóg w narzędziach klienta, konwencje opisane, żeby wiedza nie żyła w mailach.
Na koniec pierwszych 90 dni funkcji zgodności muszą istnieć trzy rzeczy: rejestr zgodności, w którym statusy są potwierdzone dowodami, plan naprawczy z właścicielami zatwierdzony przez sponsora oraz raport kwartalny zaprezentowany zarządowi – wszystko pozostałe jest środkiem do tych trzech celów.
Jeżeli organizacja wchodzi w usługę z twardym terminem (np. ocena PCI DSS za 10 tygodni albo pierwszy raport rejestru umów DORA), plan 90 dni buduje się od tego terminu wstecz – fundamenty powstają wtedy równolegle z przygotowaniem do audytu, a nie przed nim.
Jakimi wskaźnikami mierzyć usługę po 90 dniach i w kolejnych kwartałach?
Usługę mierzy się wskaźnikami artefaktów i rytmów, nie godzinami: aktualnością rejestru (odsetek wymogów ze statusem zweryfikowanym dowodem), pokryciem kalendarza (odsetek obowiązków z właścicielem i bez przekroczeń), tempem domykania luk względem planu, dotrzymywaniem SLA opinii oraz oceną audytową – liczbą niezgodności formalnych w kolejnych audytach, która powinna spadać do zera.
| Wskaźnik | Definicja | Cel po 90 dniach | Cel po roku |
|---|---|---|---|
| Pokrycie rejestru dowodami | % wymogów ze statusem potwierdzonym dowodem (nie deklaracją) | ≥ 70 % | ≥ 95 % |
| Terminowość kalendarza | % obowiązków cyklicznych wykonanych w terminie | 100 % dla terminów regulacyjnych | 100 % |
| Realizacja planu naprawczego | % luk domkniętych względem zatwierdzonych terminów | szybkie wygrane: 100 % | ≥ 85 % w terminie |
| SLA opinii zgodności | % opinii dostarczonych w SLA z umowy | ≥ 90 % | ≥ 95 % |
| Niezgodności formalne w audytach | liczba ustaleń typu „brak zapisu / nieaktualny dokument” | punkt odniesienia | 0 |
| Raport dla zarządu | raport zaprezentowany (nie wysłany) na posiedzeniu | 1 (pierwszy) | 4/4 |
Właściwe wskaźniki usługi zgodności mierzą stan artefaktów i dotrzymanie rytmów – odsetek wymogów z dowodem, terminowość kalendarza, realizację planu naprawczego – a nie liczbę przepracowanych godzin, której klient i tak nie jest w stanie zweryfikować.
Dwa ostrzeżenia praktyczne. Po pierwsze, wskaźnik „pokrycie dowodami” w pierwszym pomiarze zwykle rozczarowuje – i to jest jego wartość: pokazuje różnicę między „wydaje nam się, że jesteśmy zgodni” a stanem faktycznym. Po drugie, wskaźniki liczy się z rejestru, który prowadzi dostawca – dlatego raz w roku warto poddać próbkę rejestru niezależnej weryfikacji (audyt wewnętrzny albo zewnętrzny przegląd), zgodnie z logiką trzech linii.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że najsilniejszym pojedynczym sygnałem dojrzałości funkcji po roku nie jest żaden odsetek, lecz czas przygotowania do audytu: organizacja, w której dowody są zbierane na bieżąco w strukturze rejestru, przygotowuje się do audytu ISO 27001 lub oceny PCI DSS w dni, nie w tygodnie. Dlatego w raportach kwartalnych dla klientów pokazujemy obok wskaźników także „audit readiness” – symulowaną listę próśb audytora i odsetek, na który odpowiedź istnieje od ręki.
Jakie błędy najczęściej wykolejają wdrożenie usługi zgodności?
Najczęstsze błędy to start bez sponsora, pominięcie warsztatu RACI, rejestr budowany z deklaracji zamiast dowodów, raport wysyłany zamiast prezentowanego oraz zamrożenie katalogu artefaktów mimo zmian w otoczeniu regulacyjnym.
❌ Start bez sponsora z zarządu – decyzje o priorytetach luk i budżecie naprawczym czekają tygodniami; usługa produkuje artefakty, których nikt nie konsumuje. Art. 5 DORA i art. 20 NIS2 i tak wymagają zaangażowania zarządu – lepiej od pierwszego dnia.
❌ Pominięcie RACI („jakoś się ułoży”) – po dwóch miesiącach dostawca i CISO robią to samo w dwóch plikach albo obaj czekają na siebie nawzajem; konflikt zamiast współpracy.
❌ Rejestr ze statusami z wywiadów, nigdy niezweryfikowany dowodami – na audycie okazuje się, że „spełnione” znaczyło „ktoś powiedział, że robimy”; kamień milowy dnia 60 istnieje dokładnie po to, by to wychwycić wcześniej.
❌ Raport kwartalny wysyłany mailem zamiast prezentowany – bez punktu w agendzie zarządu i decyzji w protokole raport nie tworzy dowodu nadzoru wymaganego przez art. 20 NIS2; staje się załącznikiem, którego nikt nie otwiera.
❌ Katalog artefaktów zamrożony na lata – wejście pod nowy reżim (CRA, AI Act) bez rozszerzenia katalogu oznacza, że nowe obowiązki nie mają właściciela; katalog przegląda się przy każdej zmianie mapy wymogów.
❌ Dowody w plikach dostawcy zamiast w narzędziach klienta – problem ujawnia się przy zmianie dostawcy lub przejściu na etat; klauzula własności artefaktów musi być stosowana od pierwszego dnia, nie od wypowiedzenia.
FAQ – jak wdrożyć IT Compliance Officer
Ile trwa wdrożenie usługi do pełnej operacyjności?
Fundamenty (mapa wymogów, kalendarz, rejestr wyjściowy) powstają w 30 dni, pełny rytm operacyjny z raportem zarządowym – w 90 dni. Pełna dojrzałość, mierzona pokryciem rejestru dowodami powyżej 95 % i zerem niezgodności formalnych w audytach, przychodzi zwykle w ciągu roku.
Ile czasu musi poświęcić nasz zespół w trakcie onboardingu?
Koordynator 2-4 godziny tygodniowo przez pierwszy kwartał; każdy właściciel obszaru jeden wywiad 60-90 minut na starcie plus potwierdzanie statusów i dostarczanie dowodów w swoim obszarze. Sponsor – spotkanie otwierające, zatwierdzenie planu naprawczego i odbiór raportu kwartalnego.
Czy usługę można wdrożyć, gdy audyt jest za 8-10 tygodni?
Tak, ale plan buduje się wtedy od audytu wstecz: priorytetem jest kompletowanie dowodów i zamykanie luk formalnych pod konkretny standard, a pełna mapa wymogów i rejestr wszystkich reżimów powstają równolegle lub tuż po audycie. To częsty i skuteczny scenariusz startu.
Co się dzieje po pierwszych 90 dniach?
Usługa przechodzi w rytm stały: ciągła aktualizacja rejestru, pilnowanie kalendarza, opinie w SLA, raport kwartalny, obsługa audytów wg harmonogramu i aktualizacja mapy przy zmianach prawa. Przegląd katalogu artefaktów odbywa się przy każdym nowym reżimie i co roku przy odnowieniu umowy.
Czy możemy później przejść z usługi na własny etat?
Tak – i dobra umowa to przewiduje: rejestry i dowody są własnością klienta w jego narzędziach, a plan przekazania obejmuje okres przejściowy, w którym nowy pracownik przejmuje działające rytmy zamiast budować je od zera. Usługa bywa świadomie używana jako pomost do etatu.
Jak wygląda start wdrożenia z Patronusec?
Od bezpłatnej 30-minutowej rozmowy, po której otrzymujesz szkic wdrożenia (RACI, kamienie 30/60/90, katalog artefaktów) w 5 dni roboczych. Po podpisaniu umowy zobowiązujemy się do trzech artefaktów fundamentowych w 30 dni; rozliczenie jest stałe miesięcznie za katalog rezultatów, nie za godziny.
Warto przeczytać
- IT Compliance Officer – kim jest i za co odpowiada – hub definicji roli: zadania, artefakty, różnice względem CISO i DPO.
- Zewnętrzny IT Compliance Officer czy etat – porównanie modeli obsadzenia, ryzyka i rachunek kosztów, które poprzedzają decyzję o wdrożeniu.
- Zarządzanie ryzykiem dostawców ICT – klauzule art. 30 DORA dla umowy z dostawcą usługi i rejestr z art. 28.
- Skany podatności a wymogi compliance – przykład mapowania krzyżowego, które trafi do mapy wymogów w pierwszych 30 dniach.
- 12-miesięczny plan cyberbezpieczeństwa – jak plan naprawczy z dnia 60 osadzić w szerszym programie bezpieczeństwa.
Wdrożenie usługi IT Compliance Officera – bezpłatna konsultacja
Patronusec wdraża usługę zewnętrznego IT Compliance Officera według opisanego planu: onboarding z warsztatem RACI, trzy artefakty fundamentowe w 30 dni, raport kwartalny prezentowany zarządowi od dnia 90. Rozliczamy wyłącznie rezultaty w stałej cenie miesięcznej, a usługę prowadzi zespół z doświadczeniem audytorskim QSA i ISO 27001.
W bezpłatnej 30-minutowej konsultacji pomożemy Ci:
- przygotować pięć elementów przedumownych, które skracają onboarding do tygodni,
- dopasować macierz RACI do Twojej struktury i istniejących ról (CISO, DPO, audyt),
- ułożyć plan 30/60/90 wokół najbliższych terminów audytowych i regulacyjnych,
- zdefiniować wskaźniki, którymi rozliczysz usługę – naszą lub dowolnego innego dostawcy.
Umów bezpłatną konsultację | IT Compliance Officer | vCISO | Wdrożenie DORA | ISO 27001
