Polityka Zarządzania Aktywami (Polska)

Zakres i klasy aktywów

Polityka obejmuje środki trwałe, wyposażenie, urządzenia IT, licencje, konta, domeny, dane, dokumenty, pojazdy, leasing i aktywa projektowe.

Dla każdej klasy określa się minimalne pola rejestru i właściciela procesu.

Role: finanse, IT, HR, zakupy i zarząd

Finanse odpowiadają za wartość i dowody, IT za dostęp i bezpieczeństwo, HR za zwrot przy odejściu, zakupy za warunki dostawcy, a zarząd za wyjątki.

W małej firmie jedna osoba może mieć kilka ról, ale polityka wymaga śladu kontroli.

Progi i akceptacje

Polityka wskazuje, od jakiej wartości aktywo trafia do rejestru, kiedy potrzebna jest zgoda zarządu, kiedy zakup wymaga porównania ofert i kiedy trzeba sprawdzić licencję.

Wyjątki są zapisywane z uzasadnieniem.

Nośniki danych i RODO

Laptopy, telefony, dyski, konta cloud i backupy wymagają silniejszego procesu: szyfrowania, haseł, MDM, blokady, wipe i oceny naruszenia.

UODO wymaga procedury pozwalającej szybko stwierdzić i ocenić naruszenie.

Inwentaryzacja i działania korygujące

Polityka ustala cykl inwentaryzacji, próby, raport, właścicieli działań i terminy zamknięcia odchyleń.

Brak aktywa, brak licencji, brak wipe albo nieaktualna polisa są zadaniami, nie komentarzem.

Polska ścieżka wdrożenia

Ewidencja aktywów powinna być przydatna dla finansów i dla operacji. Dlatego identyfikator księgowy, numer seryjny, lokalizacja, użytkownik, polisa, umowa serwisowa, licencja, dostęp administratora i status danych są prowadzone razem.

Dla małej spółki z o.o. największe ryzyka często nie dotyczą maszyn, lecz laptopów, telefonów, chmury, domen, kont reklamowych i baz klientów. Polityka i rejestr muszą obejmować również te elementy.

Wycofanie aktywa jest pełnoprawnym zdarzeniem: sprzedaż, złomowanie, darowizna, kradzież, zwrot leasingu, utrata nośnika albo migracja licencji wymagają daty, zgody, dowodu i księgowego następstwa.

Praktyczna kontrola dokumentu

Polityka powinna uwzględniać realny model pracy. Jeżeli pracownicy używają sprzętu w domu, korzystają z prywatnego Internetu albo pracują na wspólnych kontach SaaS, dokument musi wskazać zasady przechowywania, blokady, zgłoszenia utraty, rozdzielenia kont i zwrotu przy odejściu.

W małej spółce najważniejsza jest kontrola wyjątków. Gdy jedna osoba kupuje, odbiera, księguje i używa aktywa, polityka wymaga drugiego potwierdzenia przy aktywach wysokiej wartości, nośnikach danych, kontach administratora i sprzedaży majątku.

Audyt powinien kończyć się listą działań, nie komentarzem. Brak dowodu zakupu, niezgodny użytkownik, nieaktywna polisa, konto byłego pracownika, brak licencji albo brak protokołu wipe dostają właściciela, termin i status zamknięcia.

Kontrola prawna i dowodowa

Polska organizacja zwykle potrzebuje dwóch poziomów kontroli: księgowego i operacyjnego. Księgowość widzi wartość, dokument, amortyzację i retencję, a operacje widzą użytkownika, lokalizację, dostęp, serwis, polisę i faktyczne ryzyko utraty. Wzór łączy oba poziomy w jednym rejestrze lub polityce.

Nośniki danych powinny mieć ostrzejsze reguły niż zwykłe wyposażenie. Telefon, laptop, pendrive, konto chmurowe, backup albo baza klientów wymagają klasy danych, osoby uprawnionej, szyfrowania, procedury utraty, blokady kont i protokołu usunięcia.

Licencje i usługi SaaS nie zachowują się jak rzeczy. Przeniesienie konta, zmiana administratora, rozwiązanie umowy, eksport danych i usunięcie kopii zależą od regulaminu dostawcy oraz od tego, kto jest administratorem danych i właścicielem treści.

Ubezpieczenie wymaga zgodności rejestru z rzeczywistością. Jeśli polisa obejmuje sprzęt w biurze, a sprzęt faktycznie jest w pracy zdalnej albo w podróży, rejestr powinien wskazywać tę lokalizację i warunki zabezpieczenia.

Wycofanie aktywa jest momentem największego ryzyka dowodowego: sprzedaż bez dokumentu, kasowanie danych bez protokołu, brak zgody na utylizację albo pozostawione konto administratora może być później większym problemem niż sam brak przedmiotu.

Źródła, założenia i granice

Polskie dokumenty aktywów muszą łączyć ewidencję operacyjną z księgowością, ubezpieczeniem, bezpieczeństwem informacji i likwidacją. Rzecz, licencja, domena, laptop, baza danych i umowa leasingu wymagają innych pól, nawet jeśli w potocznej rozmowie wszystkie są “majątkiem”.

Wersja końcowa powinna wskazać właściciela procesu, numer środka trwałego albo identyfikator aktywa, wartość, dokument nabycia, lokalizację, użytkownika, klasę danych, gwarancję, polisę, serwis, datę przeglądu i sposób wycofania.

Jeżeli aktywo zawiera dane osobowe, wzór wymaga odrębnego śladu: kto ma dostęp, czy nośnik jest szyfrowany, jak wykonuje się kopię, kiedy następuje blokada, czy potrzebny jest wipe, i kiedy zdarzenie może być naruszeniem zgłaszanym do UODO.

Szablon nie twierdzi, że został zatwierdzony przez sąd, notariusza, UODO, KRS, urząd skarbowy albo samorząd zawodowy. Jest roboczą strukturą dokumentu i listą kontrolną źródeł, które użytkownik powinien zweryfikować przed podpisaniem lub zgłoszeniem.

Źródła publiczne zmieniają się przez teksty jednolite, nowelizacje, formularze systemowe i praktykę elektronicznych rejestrów. Dlatego w aktach należy zapisać datę pobrania, numer aktu, wersję formularza, osobę sprawdzającą oraz pytania zostawione do doradcy.

Jeżeli dokument ma być użyty w sporze, transakcji o dużej wartości, wobec konsumenta, pracownika, urzędu albo inwestora, wymaga dodatkowej weryfikacji zawodowej.

Przed finalizacją trzeba porównać treść z załącznikami: nazwami stron, numerami KRS/NIP/REGON, datami, kwotami, zgodami, pełnomocnictwami, listą danych, adresem doręczeń, wersją językową i właściwym systemem elektronicznym. Brak jednego załącznika często zmienia skutek całego dokumentu.

Dobrą praktyką jest pozostawienie w aktach wersji roboczej, wersji podpisanej, potwierdzeń wysyłki, źródeł prawnych, decyzji o RODO, potwierdzenia płatności albo zgłoszenia oraz listy osób, które miały dostęp do dokumentu. Ułatwia to późniejszy audyt, likwidację, transakcję albo odpowiedź kontrahentowi.

Jeżeli strony korzystają z obcych wzorów grupowych, należy dopisać mapę różnic: które postanowienia wynikają z polskiego prawa, które są tylko standardem korporacyjnym, które wymagają zgody osoby trzeciej i które nie powinny znaleźć się w dokumencie składanym do rejestru lub urzędu.

Przewodnik po klauzulach

Zakres

Kategorie aktywów objęte polityką.

Role

Finanse, IT, HR, zakupy, ochrona danych i zarząd.

Progi

Limity wartości, zgody i wyjątki.

Rejestr

Pola, aktualizacja, inwentaryzacja i dowody.

RODO

Nośniki, konta, incydenty i UODO.

Audyt

Próby, raport, właściciel i korekta.

Polska lista kontrolna

• Określić retencję

  Art. 74 ustawy o rachunkowości wymaga przechowywania określonych ksiąg i dowodów przez minimalne okresy.

  Ustawa o rachunkowości

• Wprowadzić proces naruszeń

  UODO wskazuje, że administrator powinien mieć procedurę zgłaszania naruszeń i oceny ryzyka.

  UODO - zgłaszanie naruszeń

• Zabezpieczyć pracę zdalną

  Urządzenia poza biurem wymagają zwrotu, szyfrowania, backupu i potwierdzenia usunięcia danych.

• Zarządzać licencjami

  Licencje i SaaS mogą być nieprzenoszalne lub przypisane do konta.

• Ustalić role przy odejściu pracownika

  HR, IT i przełożony powinni wspólnie zamknąć sprzęt, konta i dane.

• Raportować odchylenia

  Audyt powinien kończyć się działaniami z właścicielem i terminem.

Jak wypełnić wzór

1. Określić zakres. Wskazać klasy aktywów i minimalne pola rejestru.
2. Przypisać role. Finanse, IT, HR, zakupy, zarząd i ochrona danych.
3. Dodać dowody. Faktury, numery, lokalizacje, użytkownicy, polisy i licencje.
4. Oznaczyć dane. Klasa danych, dostęp, szyfrowanie, backup, wipe i UODO.
5. Zaplanować audyt. Inwentaryzacja, odchylenia, terminy i działania korygujące.

Najczęstsze pytania

Podobne wzory

• Rejestr Aktywów (Polska)
• Umowa Sprzedaży Aktywów (Polska)