### Co to je ISO?

Mezinárodní organizace pro normalizaci (International Organization for Standardization, ISO) sdružuje normalizační úřady a orgány z různých států.

**Normalizace a normalizační jsou v našich poměrech poměrně ošklivá, nebo spíše zdiskreditovaná slova**. Proto si upřesněme, že je používáme v technickém smyslu: Normalizace neboli **nastavení objektivních kritérií, standardů pro určitou činnost**.

Kvalita potravin, **ochrana informací**, ochrana životního prostředí, bezpečnost a zdraví při práci, ale třeba i **compliance systém**, **ochrana osobních údajů** nebo standardizované požadavky na některé druhy výrobků a ochranných prostředků. Ke všem těmto oblastem, a mnoha dalším, ISO vydává standardizované soubory požadavků a pravidel na zajištění kvality a spolehlivosti.

### Jak ISO standardy fungují?

ISO standardy definují obecně zavedené a uznávaní principy v určité oblasti, například nezávadnosti potravin nebo **protikorupčního systému**. Obsahují rovněž konkrétní požadavky, jak uplatnění těchto principů v činnosti organizace zajistit a doložit.

**V praxi lze k ISO standardům přistoupit dvěma způsoby**:

- **Postupy dle konkrétní ISO normy do praxe zavést** a tím zajistit, že to, co je pro organizaci klíčové, bude děláno správně a kvalitně. Ať už jde o výrobu konkrétního produktu, ochranu interních informací nebo zmenšování negativních dopadů činnosti na životní prostředí.

- Organizace se také může rozhodnout, že **požadavky ISO normy nejen zavede, ale že si jejich faktické a správné používání nechá certifikovat**. Nezávislá třetí strana posoudí, jestli je ISO norma skutečně prakticky aplikována. Pokud ano, potvrdí to obecně uznávaným certifikátem.

### Pro koho se ISO standardy hodí?

**ISO standardy lze využít opět dvěma způsoby: Dovnitř a navenek**.

Co to znamená, **použít ISO normu dovnitř?**

Vedení organizace se chce ujistit, že má své klíčové procesy pod kontrolou, vyrábí nezávadné produkty, **zajišťuje bezpečnost zaměstnanců** na pracovišti, má nastavený **kvalitní systém pro předcházení úplatkům**, plní **požadavky měnící se legislativy** atd. Proto využije osvědčené postupy a příklady best practise shrnuté v příslušné ISO normě a zavede je do svých procesů, postupů a interních směrnic. 

Pro řadu organizací je ale také důležité svůj **soulad s ISO normou demonstrovat navenek**. Být schopen svým zákazníkům, obchodním partnerům, mateřské společnosti, regulátorům a komukoliv dalšímu **jednoznačně a rychle doložit, že kvalitu výroby, ochranu informací nebo prevenci úplatků bere opravdu vážně**. Právě k tomu slouží certifikace. Nezávislé a důvěryhodné potvrzení, že se organizace vybranou ISO normou v praxi skutečně řídí.

### Norma ISO 27001:2022 a background check

ISO vydává standardy i pro **systém ochrany informací**.

**V říjnu tohoto roku vyšla nová verze příslušné normy, ISO 27001:2022**. Obsahuje **konkrétní požadavky a opatření k systémovému zajištění ochrany informací, kybernetické bezpečnosti a ochrany osobních údajů**.

Nejedná se o úplnou novinku, ale o aktualizaci soupisu požadavků vydaného v roce 2013. Požadavky na bezpečnostní opatření jsou v aktualizované normě jinak uspořádány (4 kategorie místo dřívějších 14), některé z požadavků a kontrol jsou sloučeny, dašlí upřesněny. Norma také zavádí **11 nových kontrol pro doložení toho, že organizace skutečně bere ochranu informací vážně**.

Jedním z požadavků, který v normě ISO 27001:2022 zůstal prakticky nezměněn, je **požadavek na ověřování a kontrolu uchazečů o zaměstnání**.

**ISO norma požaduje nastavení procesu pro background check**, tzn. ověření **profesní historie** a **důvěryhodnosti**, všech uchazečů před tím, než se stanou zaměstnanci. Norma **vyžaduje i pravidelné ověření zjištěných skutečností v průběhu trvání pracovního vztahu**. To vše samozřejmě s ohledem na konkrétní potřeby organizace, relevantní legislativu, které se její činnosti a pracovní pozice týká, a rizika, která jsou s pracovní pozicí spojena.

**Jinak řečeno, bez individualizovaného a organizaci přiměřeného procesu na ověření důvěryhodnosti uchazečů a zaměstnanců nelze dosáhnout souladu s normou ISO/IEC 27001:2022**. Procesy pro ochranu informací nebudou kompletní ani interně, dovnitř, ani nebudou moci být doloženy certifikací. 

### Další normy a předpisy

**Požadavek na ověření uchazečů o zaměstnání najdeme i v dalších normách**. A často je důležité, ne-li nezbytné, i pro zajištění souladu s obecně závaznými právními předpisy

**Několik příkladů za všechny**:

- **ISO 37001:2016**: Tato norma definuje požadavky na **systém pro předcházení korupčního jednání**. Jedním z klíčových prvků je **ověření nových zaměstnanců, s ohledem na předmět normy i ve vztahu na jejich předchozí chování, účast v úplatkářských kauzách, vazbách na veřejně činné osoby** atd. 

- **ISO 19600:2014**: Norma s tímto číslem definuje **požadavky na compliance management systém**. Interní proces zajištění souladu s právními a etickými požadavky kladenými na organizaci. I ona mezi kontrolami, které podporují dosažení stanoveného cíle, souladu s právními a etickými požadavky, **zahrnuje proces pro ověření uchazečů o zaměstnání v organizaci**. 

- **Kybernetická bezpečnost**: Zákon o kybernetické bezpečnosti řadě organizací soukromého i veřejného sektoru ukládá, aby zavedly **dostatečná technická a organizační opatření k ochraně důležitých informačních systémů**. Připravovaná **směrnice NIS2 rozšíří** jak záběr těchto opatření (i na další, podpůrné, informační systémy), tak řádově zvýší i počet organizací, na které tyto povinnosti dopadnou. V řadě případů bude i pro dosažení souladu se zákonem o kybernetické bezpečnosti, resp. jeho nový zněním po NIS2 úpravě, **zavést a dokumentovat proces pro ověření uchazečů o zaměstnání**. [Jste připraveni na novou regulaci kybernetické bezpečnosti NIS2? I při náboru zaměstnanců?](https://scaut.com/blog/jste-pripraveni-na-novou-regulaci-kyberneticke-bezpecnosti-i-pri-naboru-zamestnancu)

- **Ochrana osobních údajů aneb GDPR stále žije**: Pravidla pro **zpracování osobních údajů** by měla být nastavena jako proces, s vymezením odpovědností, definovaných postupů, rolí, bezpečnostních opatření a příslušnou dokumentací. Jinak nebude splněn požadavek GDPR na tzv. **doložitelnou odpovědnost správce či zpracovatele**. To samo o sobě může být deliktem, za který ve zvláště závažných případech **hrozí pokuta až 20 milionů euro nebo 4 % z celosvětového obratu** skupiny podniků, do které daný hříšník patří. A samozřejmě nedostatečně nastavená interní governance může vést ke ztrátě dat, jejich neoprávněnému zveřejnění, zneužití, protiprávní změně atd., se všemi negativními důsledky pro dotčené osoby i správce údajů jako takového. Nedílnou součástí **opatření pro ochranu zpracovávaných osobních a citlivých údajů** jsou i opatření personální. Pokud v organizaci dojde ke ztrátě či úniku dat nebo jinému bezpečnostnímu incidentu s dopadem na osobní údaje, je její povinností **doložit, jaká bezpečnostní opatření zavedla, jaká nezavedla a proč**. A **zdůvodnit naprostou absenci ověření důvěryhodnosti zaměstnanců**, kteří mají přímý přístup k citlivým osobním údajům a mohu z nedbalosti i úmyslně způsobit velký problém, nemusí být zcela snadné. 

- **Sektorová regulace**: Řadě organizací je sektorovými **předpisy uloženo řešit důvěryhodnost svých zaměstnanců**. Činí tak například **služební zákon pro státní zaměstnance**, **finanční regulace** pro pracovníky podílející se na nabízení a servisu některých finančních produktů (spotřebitelský úvěr, pojištění atd.) nebo třeba **regulace ochrany utajovaných informací**. 

### Jak to vyřešit?

Interní informace, osobní údaje, kybernetická bezpečnost, ochrana spotřebitele, důvěra trhu, požadavky mateřské společnosti, sektorová regulace… Pokud je pro vaši organizaci cokoliv z toho důležité, **background checku se nevyhnete**.

Anebo byste o něm měli alespoň důkladně přemýšlet a **být schopni odůvodnit, proč tuto důležitou kontrolu neprovádíte**. V tom lepším případě to budete odůvodňovat **při auditu, diskusi s mateřskou společností nebo obchodním partnerem**, v tom horším **při kontrole dozorového úřadu nebo u soudu**.

Ověřovat uchazeče o zaměstnání jen vlastními silami může být drahé, neefektivní a neúčinné. Proto je dobré vzít v úvahu, a třeba aspoň vyzkoušet, **specializovanou a profesionální službu**. Zvláště když je to snadné, ověřené a dostupné doslova na pár kliků. [Ověření zaměstnance rychle a levně? Ano, jde to!](https://scaut.com/blog/overeni-zamestnance-rychle-a-levne-ano-jde-to)


ISO-certification.png

Potřebujete ISO certifikaci? Bez background checku ji nezískáte!

Detail článku

Article Detail

Artikeldetail

Detail balíčku

Detail kontroly

Lorem ipsum dolor sit amet, consectetuer adipiscing elit. Neque porro quisquam est, qui dolorem ipsum quia dolor sit amet, consectetur, adipisci velit.

Potřebujete ISO certifikaci? Bez background checku ji nezískáte!

Další články

Ověřujte kandidáty. V souladu se zákony!

Zaměstnanci vše začíná i končí

Dva ze tří podvodů způsobí firmě její zaměstnanci

Potřebujete pomoc s rozjezdem?