Kontrola ABW lub SKW w jednostce: jak się przygotować

Do kontroli nie przygotowuje się w tydzień. Przygotowuje się przez cały czas, a tydzień przed wystarcza tylko na zebranie tego, co i tak istnieje.

Czego dotyczy

Kontrola sprawdza, czy stan faktyczny odpowiada temu, co jednostka o sobie zadeklarowała: w planie ochrony, w dokumentacji systemów i w ewidencjach.

To jest najważniejsze zdanie dla przygotowania. Nie chodzi o to, żeby mieć idealny system, tylko o to, żeby system był taki, jak go opisano, a różnice były znane i nazwane.

O co pyta się najczęściej

Dokumentacja systemów. SWB i PBE w aktualnej wersji, świadectwo akredytacji albo dokument zatwierdzenia dokumentacji przy klauzuli „zastrzeżone” na podstawie art. 48 ust. 9 ustawy o ochronie informacji niejawnych.

Szacowanie ryzyka. Wyniki, a nie opis metody, bo tego wymaga art. 49 ust. 1. Do tego dowody, że przeprowadzono je przy zmianach, zgodnie z art. 49 ust. 4.

Wykaz osób uprawnionych i jego zgodność z aktywnymi kontami w systemach.

Poświadczenia i szkolenia wraz z terminami ważności.

Ewidencje kancelarii i ich zgodność ze stanem faktycznym.

Zapisy z kontroli wewnętrznych prowadzonych przez pełnomocnika w ramach zadania kontrolnego z art. 15, wraz z informacją, co zrobiono z uwagami.

Ostatnia pozycja mówi kontrolującemu najwięcej. Jednostka, która sama znajduje i usuwa uchybienia, wygląda inaczej niż taka, która czeka na wykrycie z zewnątrz.

Cztery rzeczy warte zrobienia zawczasu

Rejestr terminów. Ważność akredytacji, poświadczeń, szkoleń i przeglądów w jednym miejscu, przeglądany co kwartał. Brak takiego rejestru jest najczęstszą przyczyną sytuacji, w której coś wygasło niezauważone.

Rejestr zmian w systemie. Data, opis zmiany, wynik szacowania ryzyka, zaktualizowane dokumenty. Odpowiada na większość pytań o art. 49 ust. 4 bez szukania.

Przegląd uprawnień. Porównanie wykazu osób uprawnionych z listą aktywnych kont. Konta osób, które odeszły, to znalezisko, którego da się uniknąć w godzinę.

Segregator kontrolny. Komplet dokumentów w jednym miejscu, zamiast zbierania ich w dniu przyjazdu.

Przebieg

Kontrola obejmuje zwykle przegląd dokumentacji, oględziny stref i pomieszczeń, rozmowy z osobami pełniącymi funkcje w pionie ochrony oraz sprawdzenie wybranych przypadków: konkretnego materiału, konkretnego konta, konkretnej procedury.

Ostatni element bywa niedoceniany. Kontrolujący nie czyta całej dokumentacji, tylko wybiera próbki i sprawdza je do końca. Dokumentacja spójna wygląda dobrze w każdej próbce, dokumentacja pisana pod kontrolę rozsypuje się przy pierwszej.

Jak zachować się w trakcie

Odpowiadać na pytanie, które padło. Rozbudowane wyjaśnienia otwierają kolejne wątki.

Nie improwizować. Jeśli czegoś nie ma, lepiej to powiedzieć, niż obiecywać, że „gdzieś jest”.

Nie poprawiać dokumentów w trakcie. To jest najgorsza możliwa reakcja i zmienia charakter ustalenia.

Notować ustalenia po swojej stronie. Ułatwia to późniejsze usuwanie uchybień.

Po kontroli

Uchybienia usuwa się według planu z terminami i osobami odpowiedzialnymi, a nie hasłowo. Wynik tych działań warto udokumentować tak samo starannie jak samo usunięcie, bo przy następnej kontroli pierwsze pytanie będzie dotyczyło poprzednich uwag.

Uwaga powtórzona po roku waży znacznie więcej niż uwaga nowa.

Podsumowanie

Kontrola sprawdza zgodność stanu faktycznego z deklarowanym. Najlepszym przygotowaniem jest prowadzenie własnych przeglądów przez cały rok i trzy rejestry: terminów, zmian w systemie i uprawnień. Tydzień przed kontrolą wystarcza wyłącznie na zebranie dokumentów, które już istnieją.

Spodziewacie się kontroli albo chcecie przejść przegląd wewnętrzny wcześniej? Napiszcie do nas.