Przeprowadzenie audytu IT – kompletna checklista dla menedżerów MŚP (2026)

Zanim zaczniesz audyt IT – przygotowanie i zakres

Większość audytów IT w małych i średnich firmach kończy się tak samo: ładny raport, 40 stron PDF, zero zmian. Dlaczego? Bo nikt nie ustalił na starcie, po co ten audyt w ogóle jest robiony. Poniższa checklista ma temu zapobiec.

To nie jest lista życzeń działu IT. To praktyczne przygotowanie, które decyduje o tym, czy przeprowadzenie audytu IT przyniesie realną wartość, czy tylko pochłonie czas i budżet.

Jak określić cel i zakres audytu IT

• Ustal konkretny cel audytu. Zgodność z przepisami, bezpieczeństwo, dostępność systemów, cięcie kosztów czy plan transformacji cyfrowej – każde z tych podejść wymaga innego zakresu i innych pytań. Audyt „wszystkiego po trochu" zwykle nie odpowiada na nic.
• Zdefiniuj granice. Wypisz lokalizacje, systemy on-premise, usługi chmurowe, urządzenia końcowe, dostawców zewnętrznych i procesy biznesowe objęte audytem. To, co zostaje poza zakresem, też warto zapisać – żeby później nikt nie miał pretensji.
• Wybierz wykonawcę świadomie. Wewnętrzny zespół zna firmę, ale bywa ślepy na własne nawyki. Zewnętrzny audytor widzi więcej, ale zostawia cię z rekomendacjami bez wykonawcy. Partner taki jak jetlark.pl łączy jedno z drugim – audyt z późniejszym wdrożeniem usprawnień, co w praktyce oszczędza mnóstwo czasu.
• Zapewnij sobie wsparcie zarządu. Bez podpisu prezesa i wyznaczonego właściciela audytu po stronie firmy rekomendacje wylądują w szufladzie. Dosłownie. Widziałem to dziesiątki razy.
• Podpisz NDA i ustal zasady dostępu. Audytor dotknie danych osobowych, finansowych i systemów produkcyjnych. Zasady dostępu, okna czasowe i sposób logowania zdarzeń trzeba ustalić przed startem, nie w trakcie.

Kogo zaangażować po stronie biznesu i IT

Audyt IT to nie projekt działu IT. Jeśli w rozmowach nie uczestniczy księgowość, sprzedaż i HR, to pół obrazu firmy zostanie niewidoczne. Kluczowy jest właściciel procesu biznesowego, który powie, co realnie boli – a nie tylko administrator, który odpowie na pytania techniczne.

Inwentaryzacja zasobów – co dokładnie masz w firmie

Nie da się zabezpieczyć czegoś, czego się nie zna. A w większości MŚP lista zasobów istnieje wyłącznie w głowach dwóch osób – i to nieaktualna.

Sprzęt, systemy i licencje

• Spisz wszystkie urządzenia końcowe, serwery i sprzęt sieciowy. Laptopy, stacje robocze, drukarki, switch'e, routery – z lokalizacją, rokiem zakupu i osobą odpowiedzialną. Bez tego nie policzysz kosztów wymiany ani nie wykryjesz urządzeń widmo.
• Zinwentaryzuj aplikacje i systemy. ERP, CRM, program księgowy, poczta, narzędzia branżowe – z wersjami, typem licencji i datą końca wsparcia. System bez wsparcia producenta to tykająca bomba.
• Sprawdź faktyczne wykorzystanie licencji. Regularnie znajdujemy w firmach opłacane moduły, z których nikt nie korzysta od dwóch lat. To często kilkanaście tysięcy złotych rocznie wyrzuconych w błoto.

Dane, dostępy i zależności zewnętrzne

• Zmapuj przepływ danych osobowych i krytycznych dla biznesu. Gdzie powstają, gdzie są przechowywane, kto ma do nich dostęp – lokalnie, w chmurze czy u dostawcy. Bez tej mapy zgodność z RODO jest fikcją.
• Zbierz umowy z dostawcami IT i operatorami. Przejrzyj SLA, koszty, okresy wypowiedzenia i kary umowne. Zdarza się, że firma płaci za usługę, której nikt nie używa, bo umowa automatycznie się odnowiła.
• Zidentyfikuj konta uprzywilejowane, współdzielone i byłych pracowników. Aktywne konto osoby, która odeszła rok temu, to jedno z najczęstszych i najgroźniejszych znalezisk podczas audytu.

Bezpieczeństwo i ciągłość działania – punkty krytyczne

Ochrona przed cyberzagrożeniami

• Sprawdź aktualność systemów i politykę haseł. Łaty bezpieczeństwa, wymuszanie złożoności haseł, uwierzytelnianie wieloskładnikowe (MFA) – szczególnie przy dostępie zdalnym i do poczty. Brak MFA to dziś najprostsza droga do włamania.
• Zweryfikuj konfigurację zapory, segmentację sieci i VPN. Czy sieć gościnna jest oddzielona od produkcyjnej? Czy VPN ma ograniczenia dostępu? Odpowiedzi na te pytania często zaskakują samych administratorów.
• Oceń gotowość na incydent. Procedura zgłaszania, kontakt do zespołu reagowania, gotowe szablony komunikacji kryzysowej. W momencie ataku nie ma czasu na wymyślanie procesu.

Backup, odtwarzanie i dostępność

• Przetestuj kopie zapasowe w praktyce. Nie chodzi o to, czy backup istnieje, ale czy da się z niego realnie odtworzyć dane i ile to zajmie. Kopia, której nikt nie testował, to tylko nadzieja.
• Sprawdź szyfrowanie i kompletność kopii. Czy backup obejmuje wszystkie krytyczne systemy? Czy jest zaszyfrowany? Czy znajduje się w innej lokalizacji niż dane produkcyjne?
• Oceń plan ciągłości działania (BCP) i plan odtworzenia po awarii (DRP). Czy są aktualne, czy uwzględniają obecną infrastrukturę i czy ktokolwiek je testował w ciągu ostatniego roku?

Procesy, ludzie i zgodność z przepisami

Polityki, procedury i szkolenia

• Przejrzyj politykę bezpieczeństwa informacji. Polityka haseł, zasady korzystania z urządzeń służbowych, procedura offboardingu. Dokument, którego nikt nie czytał, nie chroni przed niczym.
• Sprawdź, czy pracownicy przeszli szkolenia z cyberbezpieczeństwa. I nie chodzi o podpis na liście obecności. Chodzi o to, czy ktoś potrafi rozpoznać phishing. Najprostszy test: wyślij kontrolny mail i zobacz, ile osób kliknie.
• Zweryfikuj aktualność dokumentacji IT. Diagramy sieci, instrukcje, rejestry – ktoś musi być za nie odpowiedzialny. Dokumentacja sprzed trzech lat jest gorsza niż jej brak, bo wprowadza w błąd.

RODO, NIS2 i wymogi branżowe

• Sprawdź zgodność z RODO. Rejestr czynności przetwarzania, umowy powierzenia z dostawcami, procedura zgłaszania naruszeń. To nie jest temat „na kiedyś" – kary są realne.
• Oceń gotowość na NIS2. Jeśli działasz w sektorze objętym dyrektywą, brak zgodności oznacza nie tylko kary, ale też utratę kontraktów z większymi klientami, którzy wymagają potwierdzenia bezpieczeństwa łańcucha dostaw.
• Uwzględnij wymogi branżowe. Finanse, ochrona zdrowia, logistyka – każda z tych branż ma dodatkowe regulacje, które trzeba wziąć pod uwagę przy planowaniu audytu.

Analiza kosztów, wydajności i dojrzałości cyfrowej

Budżet IT i wykorzystanie zasobów

• Zestaw wydatki na IT z ich realnym wykorzystaniem. Licencje, sprzęt, usługi, chmura – znajdź przepłacone i niewykorzystane zasoby. To zwykle najszybszy sposób na zwrot kosztu audytu.
• Oceń wydajność kluczowych systemów. Wąskie gardła blokują pracę zespołów, nawet jeśli nikt tego głośno nie mówi. Warto zapytać pracowników, co ich najbardziej spowalnia – odpowiedzi bywają odkrywcze.
• Porównaj wyniki z benchmarkami branżowymi. Wydatki na IT jako procent przychodu, liczba incydentów, czas niedostępności systemów. Twarde dane pomagają uzasadnić inwestycje przed zarządem.

Luki i szanse na automatyzację

• Zidentyfikuj powtarzalne, ręczne procesy. Przepisywanie danych między systemami, ręczne raporty, obieg dokumentów. To właśnie tam automatyzacja procesów daje najszybszy efekt.
• Sprawdź możliwości integracji systemów. ERP, CRM i program księgowy, które ze sobą nie rozmawiają, generują koszty ukryte – w godzinach pracy i błędach ludzkich. Integracja systemów często rozwiązuje więcej problemów niż wymiana oprogramowania.
• Oceń poziom dojrzałości cyfrowej w skali 1–5. To pozwala ustalić priorytety zamiast działać chaotycznie. Bez tej oceny każda inicjatywa wygląda równie pilnie – czyli żadna nie jest.
• Rozważ wdrożenie AI tam, gdzie ma sens. Sztuczna inteligencja w firmie sprawdza się dziś w obsłudze zapytań, analizie dokumentów czy prognozowaniu. Ale wdrożenie AI bez uporządkowanych danych i procesów to wyrzucanie pieniędzy.

Raport z audytu i plan działania – jak nie zmarnować wyników

Co powinien zawierać raport

Dobry raport z audytu IT nie jest dziełem literackim. Ma być narzędziem decyzyjnym.

Od rekomendacji do wdrożenia

• Ustal priorytety według ryzyka i wpływu na biznes. Najpierw rzeczy krytyczne – luki w bezpieczeństwie, brak testowanych backupów, nieaktywne konta. Dopiero potem usprawnienia rozwojowe.
• Zdefiniuj właścicieli działań, terminy i mierniki (KPI). Bez osoby odpowiedzialnej i daty rekomendacja to tylko sugestia. Audyt bez planu działania kończy się na prezentacji.
• Rozważ wsparcie partnera wdrożeniowego. Przełożenie rekomendacji na konkretny plan transformacji cyfrowej wymaga kompetencji, których zwykle nie ma w małej firmie. Partner taki jak jetlark.pl pomaga ułożyć to w sensowną roadmapę i zrealizować ją etapami.
• Zaplanuj audyt kontrolny po 6–12 miesiącach. To jedyny sposób, żeby potwierdzić, że zmiany faktycznie zostały wdrożone i działają. Bez tego cały cykl wraca do punktu wyjścia.

Audyt IT, który nie kończy się listą zadań z właścicielami i terminami, jest kosztownym sposobem na potwierdzenie tego, co już wiesz.

Od czego zacząć w praktyce

Nie musisz robić wszystkiego naraz. Zacznij od trzech rzeczy: ustal cel audytu, zabezpiecz wsparcie zarządu i wybierz wykonawcę, który poprowadzi cię od diagnozy do wdrożenia. Reszta to konsekwencja tych decyzji.

I jeszcze jedno. Przeprowadzenie audytu IT nie jest jednorazowym projektem. To cykl – diagnoza, plan, wdrożenie, kontrola. Firmy, które traktują go właśnie tak, po dwóch latach mają niższe koszty IT, mniej incydentów i realnie szybsze procesy. Reszta wciąż szuka pliku z raportem sprzed trzech lat.