Tri procesa usklađenosti, jedna metoda s jasnom odgovornošću
Tri svakodnevna procesa usklađenosti: odobravanje novih dokumenata, upravljanje incidentima i osposobljavanje zaposlenika. Svaki najbolje funkcionira s jasnim koracima, imenovanim vlasnicima i evidencijama – a asistenti UI mogu pomoći u čitanju, uspoređivanju i pripremi nacrta, dok ljudi odlučuju, odobravaju i potpisuju.
Odobravanje dokumenata: nove politike, postupci i promjene procesa
Svaki novi ili izmijenjeni dokument prolazi istih sedam faza. Prve četiri čine pregled; posljednje tri zatvaraju krug do odobrenog, objavljenog i potvrđenog dokumenta.
Vođenje zbirke pravila
Odobreni izvori s verzijama
Predaja dokumenta
Vlasnik, verzija, područje primjene; bez osobnih podataka
Pregled s navođenjem izvora
Ocjene, težine, prijedlozi ispravki
Službenik potvrđuje
Potvrđuje, mijenja ili odbacuje; potpisuje
Ispravka i ponovni pregled
Vlasnik ispravlja; ponovni pregled
Odobrenje
Odobrava nadležno tijelo
Objava i potvrda
Zaposlenici potvrđuju; osposobljavanje
| Faza | Tko | Što se događa | Rezultat |
|---|---|---|---|
| 1. Vođenje zbirke pravila | Administrator zbirke pravila; provjerava drugi službenik za usklađenost | Pravo EU i nacionalno pravo, smjernice nadzornih tijela, interne politike i registar zahtjeva koji svaki izvor razlaže na pojedinačne obveze. Svaki dokument ima vlasnika, verziju, datum stupanja na snagu i status; buduća pravila su označena; stare verzije se arhiviraju, nikada ne prepisuju. | Numerirana verzija zbirke pravila, navedena u svakom pregledu |
| 2. Predaja dokumenta | Vlasnik procesa | Nacrt ili izmijenjeni dokument s vlasnikom, verzijom, datumom i područjem primjene. Podaci o klijentima i povjerljivi osobni podaci prethodno se uklanjaju. | Prihvaćena predaja |
| 3. Pregled s navođenjem izvora | Pregledavač za usklađenost, po potrebi uz podršku asistenta UI | Povezuje svaki korak s primjenjivim zahtjevima, ocjenjuje svaki od njih, provjerava kvalitetu kontrola (vlasnik, kontrola, dokaz, rok, eskalacija), označava sukobe između izvora, navodi „nije pokriveno“ tamo gdje pravilo ne postoji i priprema zamjenski tekst za kritične i značajne nalaze. | Izvješće u fiksnoj strukturi, s izvorom za svaki nalaz |
| 4. Službenik potvrđuje | Imenovani službenik za usklađenost; drugi pregledavač za svaku ocjenu „neusklađeno“ | Provjerava navode u odnosu na izvorni tekst i svaki nalaz potvrđuje, mijenja ili odbacuje uz obrazloženje. Određuje konačnu težinu. | Potpisana evidencija pregleda |
| 5. Ispravka i ponovni pregled | Vlasnik procesa; pregledavač | Vlasnik ispravlja dokument u roku određenom za svaku težinu. Ispravljena verzija ponovno se pregleda prema istoj ili novijoj verziji zbirke pravila. | Nalazi zatvoreni ili prihvaćeni uz obrazloženje |
| 6. Odobrenje | Tijelo određeno pravilima organizacije (npr. uprava, rukovoditelj organizacijske jedinice) | Odobrava dokument na temelju potpisanog pregleda. Kritični nalazi zaustavljaju uvođenje dok se ne otklone. | Odobrena verzija s datumom i odobravateljem |
| 7. Objava i potvrda | Vlasnik dokumenta; zaposlenici | Odobrena verzija objavljuje se osobama na koje se odnosi, a one potvrđuju da su je pročitale i razumjele; može se dodijeliti kratki tečaj ili kviz (vidi Osposobljavanje). | Evidencije potvrda i osposobljavanja |
Ocjene zahtjeva
| Ocjena | Značenje |
|---|---|
| Usklađeno | Proces ispunjava zahtjev |
| Djelomično usklađeno | Zahtjev je obrađen, ali s nedostacima |
| Neusklađeno | Proces naizgled ne ispunjava zahtjev; potvrđuje drugi pregledavač |
| Nije primjenjivo | Zahtjev se ne odnosi na ovaj proces |
| Nije moguće ocijeniti | Tekst ne omogućuje zaključak; potrebno je više informacija |
Težina nalaza
| Težina | Značenje | Tipična mjera* |
|---|---|---|
| Kritično | Zakonski zahtjev ili ključna kontrola naizgled nisu ispunjeni, uz neposredan rizik (npr. šteta za klijente, izloženost pranju novca, nevažeći uvjeti, nema razdvajanja dužnosti) | Zaustavlja uvođenje; eskalira se rukovoditelju funkcije usklađenosti |
| Značajno | Zakonski zahtjev ili ključni parametar politike naizgled nisu ispunjeni, bez neposrednog kritičnog utjecaja | Otklanja se prije uvođenja ili prema odobrenom planu |
| Manje | Nedostatak u dokumentaciji, rokovima ili čuvanju s ograničenim utjecajem | Otklanja se u dogovorenom roku |
| Zapažanje | Prijedlog poboljšanja bez kršenja | Razmatra se pri sljedećem pregledu |
* Rokove eskalacije svaka organizacija određuje u svojoj politici klasifikacije nalaza.
Primjer nalaza (ilustrativno)
Upravljanje incidentima: jedan ulaz, više regulatornih rokova
Jedan incident – na primjer kibernetički napad na kreditni sustav – može istodobno pokrenuti obveze prijave prema više zakona, svaku s vlastitim rokom i nadležnim tijelom. Jasan proces osigurava da se ništa ne propusti.
Otkrivanje i dojava
Svatko može prijaviti; bilježi se trenutak saznanja
Trijaža i klasifikacija
Vrsta, utjecaj, težina
Procjena obveza prijave
Koji zakoni, koji rokovi
Obuzdavanje i otklanjanje
Ograničiti štetu, uspostaviti uslugu
Obavješćivanje
Nadležna tijela, klijenti, partneri
Osnovni uzrok i pouke
Otkloniti uzroke, ažurirati dokumente
| Faza | Što se događa | Kako mogu pomoći alati i UI |
|---|---|---|
| 1. Otkrivanje i dojava | Zaposlenici, sustavi, dobavljači ili klijenti prijavljuju mogući incident preko jedne ulazne točke. Bilježi se trenutak kada je organizacija saznala za incident – od njega teče većina rokova. | Vođeni obrazac za prijavu; postavlja pitanja potrebna za klasifikaciju; označava moguću uključenost osobnih podataka, IKT ili UI. |
| 2. Trijaža i klasifikacija | Vlasnik incidenta procjenjuje vrstu i utjecaj: povreda osobnih podataka, značajan incident prema NIS2, veći incident povezan s IKT prema DORA, ozbiljan incident u vezi s visokorizičnim sustavom UI. | Prikazuje kriterije klasifikacije iz zbirke pravila s izvorima; predlaže klasifikaciju koju vlasnik potvrđuje. |
| 3. Procjena obveza prijave | Službenik za usklađenost odlučuje koje su prijave potrebne, kojem tijelu i do kada. | Izračunava rokove od trenutka saznanja ili klasifikacije i drži ih stalno vidljivima. |
| 4. Obuzdavanje i otklanjanje | IT, sigurnosni i poslovni timovi ograničavaju štetu, čuvaju dokaze i ponovno uspostavljaju usluge. | Kontrolni popis iz postupka za incidente; bilježi radnje s vremenskim oznakama. |
| 5. Obavješćivanje | Ovlaštene osobe podnose prijave i, gdje je potrebno, obavješćuju pogođene osobe. | Priprema nacrte prijava prema predlošcima i provjerava njihovu potpunost. Podnose ih samo ovlaštene osobe. |
| 6. Osnovni uzrok i naučene lekcije | Analiza osnovnog uzroka, završna izvješća, korektivne mjere i ažuriranje politika, postupaka i programa osposobljavanja. | Povezuje korektivne mjere s procesima odobravanja dokumenata i osposobljavanja; čuva potpunu evidenciju za audit. |
Rokovi za prijavu na jednom mjestu
| Režim | Što se mora prijaviti | Rokovi | Kome / napomene |
|---|---|---|---|
| GDPR Uredba (EU) 2016/679, čl. 33.–34. | Povreda osobnih podataka, osim ako nije vjerojatno da će prouzročiti rizik za pojedince | Nadzornom tijelu bez nepotrebnog odgađanja i, ako je izvodivo, najkasnije 72 sata nakon saznanja; kasnije prijave moraju biti obrazložene. Informacije se mogu dostavljati postupno. Pogođenim pojedincima: bez nepotrebnog odgađanja ako je vjerojatno da će povreda prouzročiti visok rizik. Izvršitelji obrade obavješćuju voditelja obrade bez nepotrebnog odgađanja. | U Sloveniji: Informacijski pooblaščenec (Povjerenik za informacije). Svaka povreda dokumentira se interno, čak i ako nije prijavljena. |
| NIS2 / ZInfV-1 Direktiva (EU) 2022/2555, čl. 23.; ZInfV-1, čl. 29.–30. | Značajan incident ključnog ili važnog subjekta | Rano upozorenje u roku od 24 sata od saznanja; obavijest o incidentu u roku od 72 sata; privremeno izvješće na zahtjev; završno izvješće u roku od mjesec dana nakon obavijesti (izvješće o napretku ako incident još traje). | Nadležni CSIRT prema ZInfV-1. Provjerite nacionalne postupke i obrasce. |
| DORA Uredba (EU) 2022/2554, čl. 19.; Delegirana uredba (EU) 2025/301, čl. 5. | Veći incident povezan s IKT u financijskom subjektu | Početna obavijest u roku od 4 sata od klasifikacije incidenta kao većeg i najkasnije 24 sata nakon saznanja za njega; privremeno izvješće u roku od 72 sata od početne obavijesti (ažurira se kada se redovne aktivnosti uspostave); završno izvješće najkasnije mjesec dana nakon posljednjeg privremenog izvješća. Ako je incident kasnije klasificiran kao veći, početna obavijest dospijeva u roku od 4 sata od klasifikacije. Za vikende i praznike važe posebna pravila. | Nadležno tijelo (za banke u Sloveniji: Banka Slovenije; izvješća značajnih banaka prosljeđuju se ECB-u). Klijenti se obavješćuju bez nepotrebnog odgađanja ako su pogođeni njihovi financijski interesi. Za financijske subjekte DORA u pravilu ima prednost pred prijavom prema NIS2. |
| Akt o UI Uredba (EU) 2024/1689, čl. 73. | Ozbiljan incident u vezi s visokorizičnim sustavom UI | Dobavljači prijavljuju odmah nakon utvrđivanja uzročne veze (ili njezine razumne vjerojatnosti), a najkasnije 15 dana nakon saznanja; 2 dana kod raširenog kršenja ili ozbiljnog poremećaja kritične infrastrukture; 10 dana u slučaju smrti osobe. Nakon nepotpunog početnog izvješća može uslijediti potpuno. | Tijelo za nadzor tržišta. Subjekti koji uvode sustav obavješćuju dobavljača. Datum primjene nije siguran: Digitalni omnibus iz 2026. odgodio je pravila za visokorizične sustave do 2. 12. 2027. (Prilog III) i 2. 8. 2028. (Prilog I); provjerite od kada se čl. 73. primjenjuje na Vaš sustav. |
Rokovi su sažeti prema službenim tekstovima, stanje u listopadu 2026. Sektorska pravila (na primjer za platne usluge, medicinske proizvode ili prijavu događaja u zrakoplovstvu) mogu dodati nove obveze. Uvijek ih provjerite prema važećim službenim tekstovima i uputama svog nadležnog tijela.
Podržano u demo verziji Compliance Bot. Upravljanje incidentima je podržano: jedan registar za IKT, sigurnosne incidente, incidente zaštite podataka i incidente usklađenosti, pomoćnik za klasifikaciju većih incidenata prema DORA (predlaže; odlučuje osoba), odbrojavanje rokova prema DORA i Općoj uredbi o zaštiti podataka navedenih gore, korektivne mjere s vlasnicima i rokovima te zatvaranje uz potpis dviju osoba s potpunim zapisnikom aktivnosti.
Osposobljavanje i certifikacija zaposlenika
Pravila funkcioniraju samo kada ih ljudi poznaju. Dobar program osposobljavanja pokriva i zakone – od pismenosti u području UI do zaštite podataka i kibernetičke sigurnosti – i vlastite politike organizacije te čuva dokaze o tome tko je što i kada naučio.
Dodjela prema ulozi
Programi učenja po ulogama ili odjelima
Učenje
Kratki tečajevi o pravilima i politikama
Kviz
Kontrolna pitanja s objašnjenjima
Certifikat
Izdaje se nakon uspješnog završetka
Dokazi
Evidencija osposobljavanja za svaku osobu
Obnova
Periodično ili kada se pravila promijene
Tečajevi i kvizovi
Tečajevi po propisima i ulogama – za zaposlenike, rukovoditelje, upravljačko tijelo, IT, zaštitu podataka – i za vlastite politike organizacije, svaki s kratkim kontrolnim pitanjima.
Programi učenja prema ulogama
Obvezni programi po ulogama ili odjelima, s rokovima i podsjetnicima, tako da svaka osoba nauči ono što se odnosi na njezin posao.
Certifikati i obnove
Certifikati nakon uspješnog završetka, s rokom važenja i ponovnom certifikacijom kada istekne ili kada se zakon ili politika promijene.
Dokazi o pismenosti u području UI
Čl. 4. Akta o UI od dobavljača i subjekata koji uvode sustave UI zahtijeva mjere u vezi s pismenošću u području UI. Od Digitalnog omnibusa iz 2026. obveza je poduzeti mjere za podršku razvoju pismenosti osoblja u području UI, bez jamčenja određene razine. Dokumentirana evidencija osposobljavanja prema ulogama praktičan je način da se te mjere dokažu.
Potvrda upoznavanja s politikama
Kada se dokument odobri i objavi, zaposlenici potvrđuju da su ga pročitali i razumjeli, po potrebi uz kratki kviz. Time se zatvara faza 7 odobravanja dokumenata.
Osposobljavanje za rukovodstvo
NIS2 od članova upravljačkih tijela zahtijeva pohađanje osposobljavanja o kibernetičkoj sigurnosti, a DORA očekuje da rukovodstvo održava dovoljno znanja o IKT rizicima. Evidencije osposobljavanja pokazuju tko je što i kada završio.
Alati pomažu; ljudi odlučuju
Uvijek rade ljudi
- Odobravaju izvore u zbirci pravila
- Potvrđuju ili mijenjaju svaki nalaz i određuju konačnu težinu
- Tumače zakon zajedno s pravnom službom
- Odobravaju dokumente ili ih vraćaju na doradu
- Klasificiraju incidente, odlučuju o prijavama i podnose ih
- Odobravaju programe osposobljavanja i certifikate
Nikada se ne prepušta alatu UI
- Odluke o pojedinačnim klijentima ili zahtjevima za kredit
- Pravni savjet ili konačno tumačenje zakona
- Podnošenje izvješća nadležnim tijelima
- Rad s podacima o klijentima ili povjerljivim osobnim podacima u pregledu
- Korištenje izvora koji nisu odobreni, datirani i verzionirani
Razgovarajmo o Vašim potrebama u području usklađenosti
Javite nam se za razgovor o odobravanju dokumenata, upravljanju incidentima ili osposobljavanju zaposlenika u Vašoj organizaciji. Navedite svoj sektor (banka ili financijska institucija, tijelo javnog sektora ili MSP) i propise s kojima radite.
Kontakt
E-pošta: tadej.drmaz@comp-consulting.eu
Molimo Vas da nam e-poštom ne šaljete podatke o klijentima ni povjerljive dokumente.