Realizacja audytów KRI dla Miejskich Jednostek Organizacyjnych w 2026 r

Obiektywną przesłanką wprowadzenia warunku jest skala i sposób realizacji zamówienia: audyt obejmuje 250 rozproszonych jednostek, musi zostać przeprowadzony w krótkim czasie i wymaga nie tylko wiedzy audytowej, lecz także sprawnej koordynacji terminów, komunikacji, zbierania uwag oraz przygotowania odrębnych raportów. Zamawiający wymaga doświadczenia obejmującego co najmniej 150 jednostek w ramach jednej umowy, ponieważ takie doświadczenie najlepiej potwierdza, że Wykonawca potrafi samodzielnie zaplanować, skoordynować i zakończyć przedsięwzięcie o podobnej skali organizacyjnej. Doświadczenie zdobyte w kilku odrębnych umowach może potwierdzać znajomość przedmiotu audytu, ale nie potwierdza zdolności do jednoczesnego zarządzania dużą liczbą jednostek, harmonogramów, kontaktów i raportów w ramach jednego zintegrowanego zadania. Na podstawie § 19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (dalej KRI), jednostki objęte zamówieniem muszą zapewnić okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok. Ze względu na obowiązek wykonania audytu dla 250 jednostek w jednym roku, ich rozproszenie lokalizacyjne oraz konieczność sporządzenia jednostkowych raportów, Zamawiający musi mieć pewność, że Wykonawca posiada doświadczenie w koordynacji zadania o porównywalnej skali i złożoności. Przy takiej liczbie jednostek, istotne jest nie tylko przeprowadzenie badania audytowego, lecz także zaplanowanie terminów spotkań, obsługa zmian w harmonogramie, zbieranie i weryfikowanie uwag dyrektorów, wprowadzanie korekt do raportów oraz bieżąca komunikacja z audytowanymi. Zamawiający wymaga więc doświadczenia w stosowaniu narzędzi organizacyjnych pozwalających efektywnie obsłużyć dużą liczbę kontaktów, pytań i dokumentów w krótkim czasie. Zamawiający uznaje, że skala zadania wymaga od Wykonawcy posiadania sprawdzonych procedur organizacyjnych, pozwalających efektywnie obsłużyć dużą liczbę kontaktów, pytań, dokumentów, uwag i korekt w krótkim czasie. Zamawiający nie może oprzeć realizacji zadania na wielu równoległych umowach, ponieważ zwiększałoby to ryzyko niespójnej organizacji pracy, rozproszenia odpowiedzialności oraz dodatkowego obciążenia koordynacyjnego po stronie Zamawiającego. Doświadczenie Wykonawcy w realizacji jednej umowy obejmującej znaczną liczbę jednostek daje Zamawiającemu większe prawdopodobieństwo, że zadanie zostanie wykonane terminowo, spójnie i bez nadmiernego obciążenia organizacyjnego po stronie Zamawiającego, a jednostki zrealizują obowiązek wynikający z przepisów prawa w danym roku. Ze względu na ograniczone zasoby kadrowe oraz inne zadania operacyjne, Zamawiający nie może przenosić na siebie ciężaru koordynacji wielu równoległych Wykonawców lub odrębnych zamówień dotyczących tego samego…

Realizacja audytu w ramach jednej umowy potwierdza, że Wykonawca miał doświadczenie w prowadzeniu jednego, spójnego przedsięwzięcia o dużej skali, a nie jedynie w wykonywaniu podobnych czynności w mniejszych, rozproszonych projektach. Dla Zamawiającego istotne są ryzyka organizacyjne: brak sprawnego harmonogramowania audytów, trudności w równoległej komunikacji z wieloma jednostkami, opóźnienia w pozyskiwaniu danych, niespójność raportów oraz brak przygotowanych narzędzi do obsługi dużej liczby kontaktów, uwag i korekt. Wymóg jednej umowy ma więc eliminować ryzyko, że Wykonawca zna przedmiot audytu, ale nie ma doświadczenia w zarządzaniu przedsięwzięciem o porównywalnej skali operacyjnej. Do kluczowych ryzyk należą w szczególności: a) brak doświadczenia Wykonawcy w realizacji audytów obejmujących dużą liczbę jednostek; b) brak skutecznego skoordynowania terminów z dużą liczbą audytowanych jednostek, co mogłoby zagrozić terminowej realizacji zadania; c) nieuwzględnienie przez Wykonawcę czynności organizacyjnych poprzedzających i towarzyszących audytowi, takich jak przygotowanie komunikacji, obsługa pytań, zbieranie uwag i korekta raportów; d) trudności logistyczne związane z przemieszczaniem się między rozproszonymi jednostkami w dużym mieście; e) ryzyko komunikacyjne związane z obsługą dużej liczby telefonów i wiadomości, koordynacją bieżących ustaleń oraz wsparciem jednostek o różnym poziomie przygotowania cyfrowego; f) brak doświadczenia przy dużych audytach realizowanych w krótkim czasie może powodować niedoszacowanie nakładu pracy na poszczególne etapy zamówienia.

Zamawiający zapewnia równy dostęp rynku poprzez prowadzenie postępowania w trybie konkurencyjnym oraz określenie warunku udziału w sposób odnoszący się do rzeczywistej skali i ryzyk zamówienia. Warunek nie został oparty na wcześniejszych zamówieniach Zamawiającego, lecz dotyczy bieżącego zamówienia, z którym jest i wy łącznie może być powiązany. Z analizy rynku i wiedzy Zamawiającego wynika, że na rynku funkcjonują Wykonawcy realizujący podobne zadania dla dużych struktur publicznych, w szczególności dla jednostek obsługiwanych przez centra usług wspólnych. Wykazanie się przez Wykonawców wymaganym doświadczeniem nie może ograniczać się do zamówień realizowanych na rzecz Zamawiającego. Publiczny charakter ogłoszenia o zamówieniu zapewnia Wykonawcom dostęp do informacji o postępowaniu. Zamawiający, realizując obowiązek wynikający z przepisów, określił warunki udziału proporcjonalnie do zamówienia, w taki sposób, by odzwierciedlały skalę, złożoność i ryzyka organizacyjne dla niego właściwe. Wykonawcy mogą zdobywać wymagane doświadczenie przy podobnych audytach realizowanych dla innych dużych miast, zwłaszcza takich, w których funkcjonują centra usług wspólnych obsługujące obszary IT lub cyberbezpieczeństwa. Takie centra często konsolidują obsługę kilkudziesięciu albo kilkuset miejskich jednostek organizacyjnych, co tworzy porównywalne warunki organizacyjne do zamówienia objętego postępowaniem.

Zamawiający określając warunki udziału w postępowaniu, w żaden sposób nie uprzywilejował dotychczasowego Wykonawcy podobnych audytów. Wymóg doświadczenia dotyczy realizacji audytów o określonej skali organizacyjnej. Warunek może zostać spełniony przez Wykonawców, którzy wykonywali podobne usługi dla innych dużych jednostek sektora publicznego lub struktur obsługujących wiele jednostek organizacyjnych. Zamawiający nie wymaga znajomości wcześniejszych audytów prowadzonych w Poznaniu ani doświadczenia uzyskanego w ramach konkretnych umów z lat 2024–2025. W 2024 r., ze względu na istotne kwestie związane z podatnościami w obszarze bezpieczeństwa infrastruktury teleinformatycznej jednostek, przeprowadzono audyt, który wykazał dodatkowe zagadnienia z obszaru cyberbezpieczeństwa. Ze względu na newralgiczny charakter informacji istotnych dla funkcjonowania infrastruktury IT Miasta Zamawiający nie może udzielić szerszych informacji. W 2025 r. zlecenie reaudytu temu samemu Wykonawcy było związane z potrzebą zachowania ciągłości działań naprawczych oraz ograniczenia ryzyka ujawnienia wrażliwych danych.

Audyt przeprowadzany w dużych i złożonych organizacjach, które zazwyczaj dysponują wyspecjalizowaną kadrą informatyczną oraz wyższym poziomem wiedzy w zakresie bezpieczeństwa informacji, różni się istotnie od audytu wielu mniejszych jednostek. W dużych organizacjach zwykle łatwiej ustalić osoby odpowiedzialne za udzielanie informacji audytowych, wskazać elementy infrastruktury oraz uzyskiwać odpowiedzi na bieżąco. Z tego względu, mimo większej złożoności architektury informatycznej, taki audyt może wymagać innych kompetencji organizacyjnych niż audyt rozproszonej sieci mniejszych jednostek. Audyt dużej organizacji może być łatwiejszy pod względem organizacyjnym, nawet jeżeli wymaga głębszej analizy rozbudowanej infrastruktury informatycznej. Audyt w mniejszych jednostkach ma odmienny charakter organizacyjny. Znaczna część pracy polega na komunikacji z jednostką, kilkukrotnym ustalaniu terminów spotkań, koordynowaniu udziału zewnętrznych podmiotów obsługujących jednostkę informatycznie oraz wyjaśnianiu zakresu i celu audytu osobom, dla których informatyka i cyberbezpieczeństwo nie są podstawowym obszarem działalności. Wymaga to stosowania dodatkowych narzędzi organizacyjnych, takich jak komunikatory, portale, ankiety elektroniczne, dyżury telefoniczne, obsługa poczty elektronicznej, a niekiedy także dokumentacji papierowej. Wykonawca musi również uwzględnić, że część jednostek może nie posiadać pełnej wiedzy o lokalizacji poszczególnych elementów infrastruktury. Powyższe okoliczności wynikają z praktycznych doświadczeń związanych z audytowaniem jednostek o niższym poziomie specjalizacji w zakresie informatyzacji i cyberbezpieczeństwa, w których znaczna część nakładu pracy dotyczy organizacji kontaktu, wyjaśniania zakresu audytu i pozyskiwania informacji. Dlatego tak istotny jest aspekt możliwości operacyjnych Wykonawców i ich świadomości z czym mogą się zmierzyć wykonując specyficzny audyt w środowisku oświatowym czy pomocy społecznej. Istotnym elementem zamówienia jest również logistyka. Poznań jest dużym miastem, a jednostki objęte audytem są rozproszone terytorialnie, dlatego Wykonawca powinien posiadać doświadczenie w planowaniu tras, harmonogramów i reakcji na zmiany organizacyjne. Brak takich procedur może zagrozić terminowemu wykonaniu audytu i narazić jednostki miejskie na niewykonanie obowiązku wynikającego z przepisów prawa. W związku z powyższym, doświadczenie opisane w pytaniu nie potwierdza doświadczenia wymaganego przez Zamawiającego.