Trije procesi skladnosti, ena metoda z jasno odgovornostjo
Trije vsakodnevni procesi skladnosti: odobritev novih dokumentov, upravljanje incidentov in usposabljanje zaposlenih. Vsak najbolje deluje z jasnimi koraki, imenovanimi lastniki in evidencami – pomočniki UI pa lahko pomagajo pri branju, primerjanju in pripravi osnutkov, medtem ko ljudje odločajo, odobrijo in podpišejo.
Odobritev dokumentov: nove politike, postopki in spremembe procesov
Vsak nov ali spremenjen dokument gre skozi istih sedem faz. Prve štiri sestavljajo pregled; zadnje tri zaključijo krog do odobrenega, objavljenega dokumenta, s katerim so zaposleni seznanjeni.
Vodenje zbirke pravil
Odobreni viri z različicami
Predložitev dokumenta
Lastnik, različica, področje; brez osebnih podatkov
Pregled z navedbo virov
Ocene, resnost, predlogi popravkov
Potrditev pooblaščenca
Potrdi, spremeni ali zavrne; podpiše
Popravek in ponovni pregled
Lastnik popravi; ponovni pregled
Odobritev
Odobri pristojni organ
Objava in seznanitev
Zaposleni potrdijo; usposabljanje
| Faza | Kdo | Kaj se zgodi | Rezultat |
|---|---|---|---|
| 1. Vodenje zbirke pravil | Administrator zbirke pravil; preveri drugi pooblaščenec za skladnost | Pravo EU in nacionalno pravo, smernice nadzornikov, notranje politike in register zahtev, ki vsak vir razčleni na posamezne obveznosti. Vsak dokument ima lastnika, različico, datum začetka veljavnosti in status; prihajajoča pravila so označena; stare različice se arhivirajo, nikoli prepišejo. | Oštevilčena različica zbirke pravil, navedena v vsakem pregledu |
| 2. Predložitev dokumenta | Lastnik procesa | Osnutek ali spremenjen dokument z lastnikom, različico, datumom in področjem uporabe. Podatki o strankah in zaupni osebni podatki se predhodno odstranijo. | Sprejeta predložitev |
| 3. Pregled z navedbo virov | Pregledovalec skladnosti, po potrebi s podporo pomočnika UI | Vsak korak poveže z veljavnimi zahtevami, vsako oceni, preveri kakovost kontrol (lastnik, kontrola, dokazilo, rok, eskalacija), opozori na neskladja med viri, navede »ni pokrito«, kjer pravilo ne obstaja, in za kritične in pomembne ugotovitve pripravi predlog nadomestnega besedila. | Poročilo v enotni strukturi, z navedbo vira za vsako ugotovitev |
| 4. Potrditev pooblaščenca | Imenovani pooblaščenec za skladnost; drugi pregledovalec pri vsaki oceni »neskladno« | Navedbe preveri v izvirnem viru ter vsako ugotovitev z obrazložitvijo potrdi, spremeni ali zavrne. Določi končno resnost. | Podpisan zapis o pregledu |
| 5. Popravek in ponovni pregled | Lastnik procesa; pregledovalec | Lastnik dokument popravi v roku, določenem za posamezno stopnjo resnosti. Popravljena različica se ponovno pregleda glede na isto ali novejšo različico zbirke pravil. | Ugotovitve zaprte ali sprejete z obrazložitvijo |
| 6. Odobritev | Organ, določen v pravilih organizacije (npr. uprava, vodja enote) | Dokument odobri na podlagi podpisanega pregleda. Kritične ugotovitve ustavijo uvedbo, dokler niso odpravljene. | Odobrena različica z datumom in odobriteljem |
| 7. Objava in seznanitev | Lastnik dokumenta; zaposleni | Odobrena različica se objavi osebam, za katere velja; te potrdijo, da so jo prebrale in razumele; dodeli se lahko kratek tečaj ali preizkus znanja (glejte Usposabljanje). | Evidence seznanitve in usposabljanja |
Ocene zahtev
| Ocena | Pomen |
|---|---|
| Skladno | Proces izpolnjuje zahtevo |
| Delno skladno | Zahteva je obravnavana, vendar z vrzelmi |
| Neskladno | Proces zahteve očitno ne izpolnjuje; potrdi drugi pregledovalec |
| Se ne uporablja | Zahteva za ta proces ne velja |
| Ni mogoče oceniti | Besedilo ne omogoča sklepa; potrebnih je več informacij |
Resnost ugotovitev
| Resnost | Pomen | Tipičen ukrep* |
|---|---|---|
| Kritična | Zakonska zahteva ali ključna kontrola očitno ni izpolnjena, z neposrednim tveganjem (npr. škoda za stranke, izpostavljenost pranju denarja, neveljavni pogoji, ni ločevanja dolžnosti) | Ustavi uvedbo; eskalacija vodji skladnosti |
| Pomembna | Zakonska zahteva ali ključni parameter politike očitno ni izpolnjen, brez takojšnjega kritičnega učinka | Odpravi se pred uvedbo ali po odobrenem načrtu |
| Manjša | Vrzel v dokumentaciji, rokih ali hrambi z omejenim učinkom | Odpravi se v dogovorjenem roku |
| Opažanje | Možnost izboljšave brez kršitve | Upošteva se pri naslednjem pregledu |
* Roke za eskalacijo vsaka organizacija določi v svoji politiki razvrščanja ugotovitev.
Primer ugotovitve (ponazoritev)
Upravljanje incidentov: en vnos, več regulativnih rokov
En sam incident – na primer kibernetski napad na kreditni sistem – lahko hkrati sproži obveznosti poročanja po več zakonih, vsak s svojim rokom in pristojnim organom. Jasen proces zagotovi, da nič ne ostane spregledano.
Zaznava in prijava
Prijavi lahko vsak; zabeleži se čas seznanitve
Triaža in razvrstitev
Vrsta, učinek, resnost
Ocena obveznosti poročanja
Kateri zakoni, kateri roki
Omejitev in odprava
Omejitev škode, obnova storitev
Obveščanje
Organi, stranke, partnerji
Vzroki in lekcije
Odprava vzrokov, posodobitev dokumentov
| Faza | Kaj se zgodi | Kako lahko pomagajo orodja in UI |
|---|---|---|
| 1. Zaznava in prijava | Zaposleni, sistemi, dobavitelji ali stranke prijavijo morebiten incident prek ene vstopne točke. Zabeleži se čas, ko se je organizacija seznanila z incidentom – od tega trenutka teče večina rokov. | Voden obrazec za prijavo; postavi vprašanja, potrebna za razvrstitev; opozori na morebitno vpletenost osebnih podatkov, IKT ali UI. |
| 2. Triaža in razvrstitev | Lastnik incidenta oceni vrsto in učinek: kršitev varstva osebnih podatkov, pomemben incident po NIS2, večji incident, povezan z IKT, po DORA, resen incident, povezan z visokotveganim sistemom UI. | Prikaže merila za razvrstitev iz zbirke pravil z navedbo virov; predlaga razvrstitev, ki jo potrdi lastnik. |
| 3. Ocena obveznosti poročanja | Pooblaščenec za skladnost odloči, katera poročila so potrebna, kateremu organu in do kdaj. | Izračuna roke od časa seznanitve ali razvrstitve in roke ves čas prikazuje. |
| 4. Omejitev in odprava | Ekipe za IT, varnost in poslovanje omejijo škodo, zavarujejo dokaze in obnovijo storitve. | Kontrolni seznam iz postopka za incidente; beleži ukrepe s časovnimi žigi. |
| 5. Obveščanje | Pooblaščene osebe oddajo obvestila in, kjer je to potrebno, obvestijo prizadete osebe. | Pripravi osnutke obvestil iz predlog in preveri njihovo popolnost. Oddajo jih samo pooblaščene osebe. |
| 6. Vzroki in naučene lekcije | Analiza temeljnih vzrokov, končna poročila, korektivni ukrepi ter posodobitve politik, postopkov in usposabljanj. | Korektivne ukrepe poveže s procesoma odobritve dokumentov in usposabljanja; hrani celoten zapis za revizijo. |
Roki za poročanje na prvi pogled
| Ureditev | Kaj je treba sporočiti | Roki | Komu / opombe |
|---|---|---|---|
| Splošna uredba o varstvu podatkov (GDPR) Uredba (EU) 2016/679, 33. in 34. člen | Kršitev varstva osebnih podatkov, razen če ni verjetno, da bi povzročila tveganje za posameznike | Nadzornemu organu brez nepotrebnega odlašanja in, če je izvedljivo, najpozneje v 72 urah po seznanitvi; poznejša uradna obvestila morajo biti obrazložena. Informacije se lahko posredujejo postopoma. Prizadeti posamezniki: brez nepotrebnega odlašanja, če je verjetno, da bo kršitev povzročila veliko tveganje. Obdelovalci upravljavca obvestijo brez nepotrebnega odlašanja. | V Sloveniji: Informacijski pooblaščenec. Vsaka kršitev se interno dokumentira, tudi če ni sporočena. |
| NIS2 / ZInfV-1 Direktiva (EU) 2022/2555, 23. člen; ZInfV-1, 29. in 30. člen | Pomemben incident bistvenega ali pomembnega subjekta | Zgodnje opozorilo v 24 urah po seznanitvi; obvestilo o incidentu v 72 urah; vmesno poročilo na zahtevo; končno poročilo v enem mesecu po obvestilu (poročilo o napredku, če incident še traja). | Pristojni CSIRT po ZInfV-1. Preverite nacionalne postopke in obrazce. |
| DORA Uredba (EU) 2022/2554, 19. člen; Delegirana uredba (EU) 2025/301, 5. člen | Večji incident finančnega subjekta, povezan z IKT | Začetno obvestilo v 4 urah po razvrstitvi incidenta kot večjega in najpozneje v 24 urah po seznanitvi z njim; vmesno poročilo v 72 urah po začetnem obvestilu (posodobljeno, ko se redne dejavnosti obnovijo); končno poročilo najpozneje en mesec po zadnjem vmesnem poročilu. Če je incident kot večji razvrščen pozneje, je začetno obvestilo treba oddati v 4 urah po razvrstitvi. Za vikende in praznike veljajo posebna pravila. | Pristojni organ (za banke v Sloveniji: Banka Slovenije; poročila pomembnih bank se posredujejo ECB). Stranke se obvestijo brez nepotrebnega odlašanja, kadar so prizadeti njihovi finančni interesi. Za finančne subjekte ima DORA pri poročanju praviloma prednost pred NIS2. |
| Akt o umetni inteligenci Uredba (EU) 2024/1689, 73. člen | Resen incident, povezan z visokotveganim sistemom UI | Ponudniki poročajo takoj, ko ugotovijo vzročno zvezo (ali njeno razumno verjetnost), in najpozneje v 15 dneh po seznanitvi; v 2 dneh pri obsežni kršitvi ali resni motnji kritične infrastrukture; v 10 dneh v primeru smrti osebe. Nepopolnemu začetnemu poročilu lahko sledi popolno. | Organ za nadzor trga. Uvajalci obvestijo ponudnika. Datum začetka uporabe ni gotov: digitalni omnibus 2026 je pravila za visokotvegane sisteme odložil na 2. december 2027 (Priloga III) in 2. avgust 2028 (Priloga I); preverite, kdaj se 73. člen uporablja za vaš sistem. |
Roki so povzeti po uradnih besedilih, veljavnih oktobra 2026. Sektorska pravila (na primer za plačilne storitve, medicinske pripomočke ali poročanje o dogodkih v letalstvu) lahko določajo dodatne obveznosti. Vedno preverite veljavna uradna besedila in navodila svojega organa.
Podprto v demu Compliance Bot. Upravljanje incidentov je podprto: en register za incidente IKT, varnostne incidente, incidente varstva podatkov in incidente skladnosti, pomočnik za razvrščanje večjih incidentov po DORA (predlaga; odloči človek), odštevanje rokov po DORA in Splošni uredbi o varstvu podatkov, navedenih zgoraj, korektivni ukrepi z lastniki in roki ter zaključna odobritev dveh oseb s popolnim dnevnikom aktivnosti.
Usposabljanje in certificiranje zaposlenih
Pravila delujejo le, če jih ljudje poznajo. Dober program usposabljanja pokriva zakonodajo – od pismenosti na področju UI do varstva podatkov in kibernetske varnosti – in lastne politike organizacije ter hrani dokazila o tem, kdo se je kaj naučil in kdaj.
Dodelitev po vlogah
Učne poti po vlogah ali oddelkih
Učenje
Kratki tečaji o pravilih in politikah
Preizkus znanja
Kontrolna vprašanja s pojasnili
Certifikat
Izdan ob uspešnem zaključku
Dokazila
Evidenca usposabljanja za vsako osebo
Obnova
Redno ali ob spremembi pravil
Tečaji in preizkusi znanja
Tečaji po predpisih in vlogah – zaposleni, vodje, upravljalni organ, IT, varstvo podatkov – ter lastne politike organizacije, vsak s kratkimi kontrolnimi vprašanji.
Učne poti po vlogah
Obvezni učni načrti po vlogah ali oddelkih, z roki in opomniki, da se vsaka oseba nauči tisto, kar velja za njeno delo.
Certifikati in obnove
Certifikati ob uspešnem zaključku, z obdobjem veljavnosti in ponovnim certificiranjem ob izteku ali ob spremembi zakona ali politike.
Dokazila o pismenosti na področju UI
4. člen Akta o UI od ponudnikov in uvajalcev sistemov UI zahteva ukrepe glede pismenosti na področju UI. Od digitalnega omnibusa 2026 je obveznost sprejeti ukrepe za podporo razvoju pismenosti osebja na področju UI, brez zagotavljanja določene ravni. Dokumentirana evidenca usposabljanja po vlogah je praktičen način za izkazovanje teh ukrepov.
Seznanitev s politikami
Ko je dokument odobren in objavljen, zaposleni potrdijo, da so ga prebrali in razumeli, po potrebi s kratkim preizkusom znanja. S tem se zaključi 7. faza odobritve dokumentov.
Usposabljanje vodstva
NIS2 od članov upravljalnih organov zahteva usposabljanje s področja kibernetske varnosti, DORA pa pričakuje, da vodstvo ohranja zadostno znanje o tveganjih IKT. Evidence usposabljanja kažejo, kdo je kaj opravil in kdaj.
Orodja podpirajo, ljudje odločajo
Vedno naredijo ljudje
- Odobrijo vire v zbirki pravil
- Potrdijo ali spremenijo vsako ugotovitev in določijo končno resnost
- Razlagajo zakonodajo skupaj s pravno službo
- Odobrijo dokumente ali jih vrnejo v dopolnitev
- Razvrstijo incidente ter odločijo o obvestilih in jih oddajo
- Odobrijo programe usposabljanja in certifikate
Nikoli prepuščeno orodju UI
- Odločitve o posameznih strankah ali kreditnih vlogah
- Pravni nasvet ali končna pravna razlaga
- Oddaja poročil organom
- Delo s podatki o strankah ali zaupnimi osebnimi podatki pri pregledu
- Uporaba virov, ki niso odobreni, datirani in opremljeni z različico
Pogovorimo se o vaših potrebah na področju skladnosti
Pišite nam za pogovor o odobritvi dokumentov, upravljanju incidentov ali usposabljanju zaposlenih v vaši organizaciji. Povejte nam, v katerem sektorju delujete (banka ali finančna institucija, organ javnega sektorja ali MSP) in s katerimi predpisi delate.
Kontakt
E-pošta: tadej.drmaz@comp-consulting.eu
Po e-pošti nam ne pošiljajte podatkov o strankah ali zaupnih dokumentov.