Plan zarządzania systemami – jak tworzyć rejestr systemów IT, określać odpowiedzialność i harmonogram roczny

Plan zarządzania systemem opisuje, w jaki sposób system informatyczny ma być obsługiwany, rozwijany, kontrolowany oraz ostatecznie wycofywany z eksploatacji. Rejestr systemów IT to zbiorcze zestawienie systemów w firmie, ich właścicieli, dostawców, zawartości informacyjnej oraz kluczowych zależności. Razem ułatwiają one podział odpowiedzialności, ustalanie priorytetów działań oraz uzyskanie kontroli nad krajobrazem systemowym.

Co powinna zawierać plan zarządzania systemem?

Użyteczny plan zarządzania łączy potrzeby operacyjne firmy z bieżącą obsługą informatyczną. Powinien być możliwy do monitorowania bez przekształcania się w obszerny raport, z którego nikt nie korzysta. Treść może różnić się między małą firmą korzystającą z dziesięciu usług SaaS a przedsiębiorstwem posiadającym własne systemy biznesowe.

Kim jest właściciel systemu – i czym różni się od zarządcy systemu?

Właściciel systemu to zazwyczaj rola wyznaczona przez organizację w celu podejmowania decyzji dotyczących celów, priorytetów i zasobów dla danego systemu. Zarządca systemu zazwyczaj koordynuje praktyczną pracę, dokumentację i działania kontrolne. Dział IT obsługuje zadania techniczne zgodnie z podziałem odpowiedzialności obowiązującym w organizacji lub u dostawcy.

Są to role organizacyjne, a nie uniwersalny podział prawny. Mniejsza firma może łączyć kilka zadań u jednej osoby, ale decyzje, praktyczne wykonanie i kontrola powinny nadal być wyraźnie rozdzielone. W przypadku przetwarzania danych osobowych ważne jest również odróżnienie wewnętrznie wyznaczonego właściciela systemu od prawnej roli administratora danych osobowych zgodnie z RODO.

Stwórz rejestr systemów IT krok po kroku

1. Przeprowadź inwentaryzację faktycznie używanych systemów

Uwzględnij systemy biznesowe, finansowe, narzędzia HR, subskrypcje SaaS, platformy integracyjne oraz systemy używane przez poszczególne zespoły. Wyszukaj duplikaty oraz usługi, które nie mają jasno określonego zleceniodawcy. Zarejestruj również systemy, które są w trakcie wycofywania.

2. Udokumentuj dane podstawowe

Wpisz nazwę systemu, cel, główny proces, dostawcę, właściciela systemu, głównych użytkowników, właściciela umowy, koszt, czas trwania umowy oraz sposób kontaktu w razie incydentów. Warto wskazać, gdzie przechowywane są powiązane umowy i dokumentacja techniczna, bez zapisywania haseł lub innych tajemnic w rejestrze.

3. Zidentyfikuj informacje i zależności

Zanotuj, jakie zbiory informacji przetwarza system, ważne integracje, przepływy danych i krytyczne procesy biznesowe. Monitoruj poufność, integralność i dostępność. Inwentaryzacja staje się szczególnie cenna, gdy te same dane można wykorzystać w ocenach ryzyka i planowaniu ciągłości działania.

4. Podziel odpowiedzialność za pomocą prostej macierzy RACI

Zdefiniuj, kto jest odpowiedzialny za decyzje, kto wykonuje daną czynność, z kim należy się konsultować, a kogo należy informować. Przypisz role, na przykład do zatwierdzania zmian, kontroli uprawnień, obsługi incydentów i odnawiania umów z dostawcami.

5. Ustal priorytety ryzyk i ulepszeń

Oceń konsekwencje i prawdopodobieństwo wystąpienia istotnych zakłóceń. Udokumentuj właściciela ryzyka, środki zaradcze, decyzje i daty działań kontrolnych. Unikaj używania jednej liczby jako automatycznego zastępstwa dla oceny biznesowej.

6. Stwórz harmonogram roczny

Zaplanuj regularne kontrole uprawnień użytkowników, zdolności przywracania danych, wyników pracy dostawców, kosztów, licencji, zgłoszeń wsparcia oraz wdrożonych ulepszeń. Dostosuj częstotliwość do znaczenia i profilu ryzyka każdego systemu.

7. Przeglądaj cykl życia i wycofanie

Kiedy system ma zostać wymieniony, konieczne są jasne decyzje dotyczące eksportu danych, migracji, zamknięcia uprawnień, usuwania, archiwizacji i zakończenia umowy. Sprawdź zwłaszcza, czy dane osobowe i informacje księgowe są obsługiwane zgodnie z odpowiednimi przepisami.

Przykład: trzy systemy w mniejszej firmie

Załóżmy, że firma korzysta z systemu finansowego, systemu kadrowego i zewnętrznego helpdesku. Dyrektor finansowy może zostać wyznaczony na właściciela systemu finansowego, dyrektor HR na właściciela systemu kadrowego, a osoba odpowiedzialna za IT na właściciela helpdesku. Dział IT może jednocześnie wykonywać wspólne kontrole techniczne. Dla każdego systemu rejestruje się dostawcę, odnowienie umowy, klasyfikację informacji, najważniejsze ryzyko i datę kolejnej kontroli.

Przykład pokazuje, dlaczego rejestr systemów i plan zarządzania pełnią różne funkcje: rejestr pokazuje co istnieje, podczas gdy plan opisuje co należy zrobić, przez kogo i kiedy.

Czy rejestr systemów IT to to samo co rejestr czynności przetwarzania RODO?

Nie. Rejestr systemów IT opisuje systemy oraz zasoby techniczne lub organizacyjne. Przepisy art. 30 RODO dotyczą natomiast rejestru czynności przetwarzania danych osobowych i wymagają określonych danych, m.in. celu, kategorii osób, których dane dotyczą, oraz odbiorców, jeśli mają zastosowanie. System IT może wspierać kilka procesów przetwarzania danych osobowych, a jeden proces może obejmować wiele systemów. Rejestr czynności przetwarzania musi być zatem oceniany oddzielnie.

Zapoznaj się z naszym poradnikiem dotyczącym rejestru czynności przetwarzania zgodnie z art. 30 RODO, aby poznać wymagania dotyczące tego dokumentu.

Lista kontrolna dla zarządzania systemem

• Wszystkie ważne systemy IT są ujęte w rejestrze.
• Właściciel systemu, osoba odpowiedzialna operacyjnie i dostawca zostali zidentyfikowani.
• Cel systemu, zależności i zbiory informacji zostały opisane.
• Ryzyka, zmiany i decyzje zostały udokumentowane.
• Wyznaczono osoby odpowiedzialne za przegląd uprawnień i procedury incydentów.
• Daty licencji i umów są monitorowane.
• Harmonogram roczny i wyniki kontroli są na bieżąco analizowane.
• Wycofanie z eksploatacji i eksport danych są zaplanowane dla systemów, które mają zostać wymienione.

Typowe błędy, których należy unikać

• Systemy bez właściciela: Nikt nie ma uprawnień do ustalania priorytetów ulepszeń.
• Rejestr bez procedury aktualizacji: Informacje szybko stają się nieaktualne.
• Mieszanie ról: Zakłada się, że wsparcie IT automatycznie przejmuje całą odpowiedzialność za biznes i ochronę danych.
• Zapomniane usługi SaaS: Pomija się koszty, integracje i zewnętrzne miejsca przechowywania danych.
• Brak planu wyjścia (exit-plan): Nie jest jasne, w jaki sposób przenieść lub usunąć dane po zakończeniu umowy.

Często zadawane pytania dotyczące planu zarządzania systemem

Czy każda firma musi mieć plan zarządzania systemem?

Nie istnieje ogólny wymóg prawny nakazujący każdej firmie posiadanie dokumentu o nazwie "plan zarządzania systemem". Niektóre działalności mogą jednak podlegać innym wiążącym wymogom dotyczącym zarządzania, bezpieczeństwa, dokumentacji i kontroli. Plan ten jest zatem praktycznym narzędziem zarządzania, które może pomóc organizacji w wypełnianiu odpowiednich obowiązków.

Jaka jest różnica między rejestrem systemów IT a rejestrem licencji?

Rejestr systemów opisuje cel systemu, właściciela, obsługę informacji i cykl życia. Rejestr licencji skupia się na subskrypcjach, liczbie licencji, kosztach i datach odnowienia. Rejestry te można ze sobą powiązać.

Jak często należy aktualizować plan zarządzania systemem?

Ustal regularne przeglądy w oparciu o ryzyko i tempo zmian. Aktualizuj również po większych wymianach systemów, incydentach, zmianach organizacyjnych i istotnych zmianach po stronie dostawcy.

Czy ta sama osoba może być właścicielem systemu i zarządcą systemu?

Tak, w mniejszych organizacjach role te można łączyć. Mimo to należy jasno dokumentować, kto podejmuje decyzje, wykonuje kontrole i odpowiada za usuwanie braków.

Powiązane poradniki i szablony

Pogłęb swoją wiedzę dzięki naszym poradnikom dotyczącym klasyfikacji informacji, przeglądu uprawnień, planu obsługi incydentów oraz wyjścia z SaaS i migracji danych. Sprawdź również szablony umów IT i usług cyfrowych.

Źródła i dalsza lektura

• IMY: Prowadzenie rejestru czynności przetwarzania danych osobowych
• IMY: Obsługa danych osobowych w firmach
• Informationssäkerhet.se: Wsparcie metodyczne dla systematycznej pracy nad bezpieczeństwem informacji

Ostatnia weryfikacja faktów: 13 października 2026 r. Artykuł zawiera ogólne wskazówki operacyjne i nie stanowi porady prawnej. Zweryfikuj, czy Twoja działalność podlega szczególnym wymogom sektorowym, umowom lub przepisom.