Irányítási rendszerek és governance kis szervezetben

Egy egyéni vállalkozásként, néhány alvállalkozóval működő AI tanácsadó és szoftverfejlesztő cég ugyanazokat az ISO irányítási rendszereket építheti fel, mint egy nagyvállalat, csak más léptékben. A minőség, a környezet, a munkavédelem, az információbiztonság, az AI, a vesztegetés elleni fellépés, a compliance, az üzletmenet folytonosság és az IT szolgáltatásirányítás szabványa ugyanarra a közös vázra épül. Egy jól megtervezett integrált irányítási rendszer (IMS) ezért nem kilenc párhuzamos papírhalmaz, hanem egyetlen működési leírás, egy kockázatregiszter, egy auditprogram és egy vezetőségi átvizsgálás, amelyekhez szabványonként néhány kiegészítő elem társul. A kézikönyv ezt a vázat, a szabványok egyenkénti tartalmát egy egyszemélyes cégre fordítva, a tanúsítás menetét, az ütemezést és a governance réteget írja le.

A szabványok szövege jogvédett, ezért a követelmények lényege saját megfogalmazásban szerepel, a klauzulaszám csak a hivatkozást szolgálja, a konkrét előírást a megvásárolt szabványból kell ellenőrizni. Semmi sem minősül itt jogi tanácsnak, munkavédelmi szakvéleménynek vagy tanúsítási garanciának. A magyar jogszabályok említése a fejlesztői és vállalkozói kontrollok felé mutat, a tényleges hatályt és kötelezettséget jogász, munkavédelmi szakember vagy könyvelő állapítja meg. Tanúsítványt az akkreditált tanúsító szervezet ad ki a saját auditja alapján.

A kapcsolódó témák részletes kifejtése más kézikönyvekben található.

0. Alapállítás. Háromfajta szabvány, háromféle használat

A tárgyalt szabványok három csoportba esnek, és a csoport határozza meg, mit lehet velük kezdeni.

1. Irányítási rendszer követelményszabvány (MSS, type A). Kötelező követelményeket tartalmaz (a szövegben a shall igealak jelzi), és akkreditált tanúsító auditálhatja. Ide tartozik a 9001, 14001, 45001, 27001, 27701, 42001, 37001, 37301, 22301, 20000-1, 21001, 50001 és a 30401. Ezekből lehet tanúsítvány.
2. Útmutató (guidance, type B). Ajánlásokat ad, tanúsítani nem lehet, legfeljebb egy auditor önkéntes értékelést vagy szakértői véleményt ad róla. Ilyen a 31000, 27005, 27014, 37000, 37002, 38500, 38505-1, 10002, 26000 és a 19011. Hivatkozási alapként, módszertanként és az MSS követelmények kitöltéséhez hasznosak.
3. Megfelelőségértékelési szabvány. A tanúsítóra és az auditorra vonatkozik, nem a cégre. Az ISO/IEC 17021-1 a tanúsító szervezet követelményeit adja, a 27006-1 és a 42006 ezt egészíti ki szakterületre. Egy cég számára akkor hasznosak, amikor tanúsítót választ, vagy meg akarja érteni, miből számolódik az auditnap.

A besorolásból három gyakorlati következmény adódik.

• A tanúsítvány a szervezet irányítási rendszeréé, egy hatókörre. Szoftvert, tréninget vagy tanácsadói jelentést ezek a szabványok nem tanúsítanak. A 29993 kivétel, mert szolgáltatásra vonatkozik (3.12 pont).
• Az útmutató nem gyengébb, csak más a szerepe. Egy jól alkalmazott 31000 kockázatkezelési keret vagy egy 38500 szerinti döntési jogkörmátrix többet ér egy kis cégnél, mint egy rosszul fenntartott tanúsítvány. A kockázatregiszter és a governance gyakorlat ráadásul minden MSS auditon bizonyíték.
• A megfelelés kijelenthető tanúsítvány nélkül is. Ügyfélkérdőíven a „megfelelünk a szabványnak, tanúsítványunk nincs” válasz akkor hiteles, ha mögötte dokumentált, működő gyakorlat és lehetőleg egy független belső audit jelentése áll.

1. A szabványok állapota 2026 októberében

A verziók és az átállási határidők gyorsan változnak. Az alábbi táblázat a 2026. október 20-i webes ellenőrzés eredménye, a bizonytalan adatok ellenőrizendőként jelölve. Audit és ajánlatadás előtt az iso.org katalógusában, az IAF honlapján (iaf.nu, mandatory documents) és a választott tanúsítónál friss adatot kell kérni. Az átállási határidőt nem az ISO, hanem az IAF kötelező dokumentuma (MD) és az akkreditáló testület rögzíti.

A 2024-es klímamódosítások (Amd 1:2024) minden HS alapú MSS 4.1 és 4.2 pontjába ugyanazt a két mondatot illesztették. Eszerint a szervezet megítéli, releváns kérdés-e számára a klímaváltozás, és az érdekelt felek követelményei között is lehetnek klímával kapcsolatosak. Egy kis cégnél ez egy bekezdés a kontextusleírásban és egy sor az érdekelt felek táblájában, nem önálló projekt.

2. A Harmonized Structure és az integrált irányítási rendszer

2.1 Honnan jön a közös szerkezet

Az ISO 2012-ben vezette be az Annex SL néven ismert magas szintű struktúrát (HLS), amely minden új vagy revideált irányítási rendszer szabványnak azonos fejezetszerkezetet, azonos alapszöveget és közös fogalmakat írt elő. 2021-ben ennek továbbfejlesztett változata lett a Harmonized Structure (HS), amely néhány pontot tisztázott (például önálló 6.3 a változások tervezésére, a folyamatok és a kritériumok kifejezett említése a 4.4 és 8.1 pontban), 2024-ben pedig a klímaváltozás mérlegelése került bele. A közös szöveg az ISO/IEC Directives Part 1 konszolidált ISO kiegészítésének Annex SL függelékében található, ingyen letölthető. Egy IMS tervezéséhez ez a legolcsóbb kiindulópont, mert minden MSS ezt a vázat tölti ki a saját szakterületével.

A szerkezet tíz fejezet. Az 1-3. a hatály, a normatív hivatkozások és a fogalmak, auditálható követelményt nem tartalmaznak. A 4-10. fejezet a PDCA ciklus mentén épül. Tervezés a 4-7., működés a 8., ellenőrzés a 9., beavatkozás a 10. fejezet.

2.2 A közös klauzulák saját szavakkal

4. A szervezet környezete. A szervezet megérti, milyen belső és külső körülmények befolyásolják a céljai elérését (4.1), és megérti, mely érdekelt felek mit várnak tőle, ezek közül melyeket kezeli követelményként (4.2). 2024 óta a HS a klímaváltozás relevanciájának mérlegelését is ide sorolja. A 4.3 a hatókört rögzíti, a határokkal, az alkalmazhatósággal és a kizárások indoklásával, dokumentált információként. Végül a 4.4 azt kéri, hogy az irányítási rendszer folyamatai és azok kölcsönhatásai létezzenek és működjenek.

5. Vezetés. A felső vezetés (egyszemélyes cégnél a tulajdonos) bizonyíthatóan vállalja az irányítási rendszert, összehangolja az üzleti stratégiával, biztosítja az erőforrást, kommunikálja a fontosságát és a fejlesztést támogatja (5.1). Kiad egy politikát, amely a célok kereteit adja, elkötelezettséget tartalmaz a követelmények teljesítésére és a folyamatos fejlesztésre, és elérhető a releváns feleknek (5.2). Kijelöli a szerepeket, felelősségeket és jogköröket, beleértve azt, ki jelenti a rendszer teljesítményét a vezetésnek (5.3).

6. Tervezés. A 6.1 a kockázatok és lehetőségek azonosítását és a rájuk adott tervezett intézkedéseket kéri, hogy a rendszer elérje a kívánt eredményt, megelőzze a nem kívánt hatást és fejlődjön. Ezt követően a 6.2 mérhető (ahol lehet), nyomon követett, kommunikált és frissített célokat kér, mindegyikhez a mit, mivel, ki, mikorra és hogyan mérjük kérdésével. A 6.3 szerint a rendszert érintő változtatást tervezetten kell végrehajtani.

7. Támogatás. Erőforrás (7.1), kompetencia a teljesítményt befolyásoló személyeknél, igazolva oktatással, képzéssel vagy tapasztalattal (7.2), tudatosság a politikáról, a saját hozzájárulásról és a nem megfelelés következményeiről (7.3), tervezett belső és külső kommunikáció (7.4), és szabályozott dokumentált információ, létrehozással, frissítéssel, elérhetőséggel, védelemmel és megőrzéssel (7.5).

8. Működés. A 8.1 a folyamatok tervezését, a kritériumok meghatározását, a szabályozást, a tervezett változások kezelését és a külső forrásból származó folyamatok irányítását kéri. Ezen a ponton a HS rövid, a szakterületi szabványok ide teszik a legtöbb saját követelményt (9001 tervezés és fejlesztés, 14001 vészhelyzeti felkészülés, 27001 kockázatértékelés végrehajtása, 22301 BIA és folytonossági terv).

9. Teljesítményértékelés. Monitorozás, mérés, elemzés és értékelés, eldöntve, mit, hogyan, mikor és ki elemez (9.1). Belső audit tervezett időközönként, programmal, kritériumokkal, objektív és pártatlan auditorral, az eredmény jelentésével (9.2). Vezetőségi átvizsgálás tervezett időközönként, előírt bemenetekkel és kimenetekkel (9.3).

10. Fejlesztés. Folyamatos fejlesztés (10.1), valamint nem megfelelőség esetén reagálás, a következmények kezelése, az ok vizsgálata, helyesbítő intézkedés, a hatásosság ellenőrzése és a nyom megőrzése (10.2).

2.3 Az integrált mátrix

A táblázat a közös elemeket és a kilenc fő MSS szabványspecifikus kiegészítéseit mutatja. Ahol a cellában a közös szó áll, ott a HS szövegén túl nincs érdemi többlet, tehát az IMS közös dokumentuma kiszolgálja. A klauzulaszámok a jelenlegi kiadásokra vonatkoznak, a 9001:2026 és 14001:2026 számozását a megvásárolt szövegben kell ellenőrizni.

A 21 sorból körülbelül tizenöt egyetlen közös dokumentummal vagy nyilvántartással kiszolgálható, és a szabványok közti különbség nagyrészt a 6.1 és a 8. fejezetben koncentrálódik. Kiemelkedik a 45001 munkavállalói konzultációja (5.4), az egyetlen HS-en kívüli önálló vezetési pont. A 37001 és 37301 a megfelelési funkció függetlenségét és a bejelentési csatornát teszi hangsúlyossá.

2.4 Szabványspecifikus többletek, amelyeket a közös váz nem fed le

• 9001. Folyamatmegközelítés és folyamattérkép, ügyfélkommunikáció, tervezés és fejlesztés (8.3), külső szállítók értékelése (8.4), kiadás és nem megfelelő kimenet, ügyfélelégedettség mérése.
• 14001. Környezeti aspektusok és hatások életciklus szemlélettel, megfelelési kötelezettségek regisztere és értékelése, vészhelyzeti felkészülés, külső kommunikáció a kötelezettségek szerint.
• 45001. Munkavállalói konzultáció és részvétel, veszélyazonosítás proaktív és folyamatos módon, a kontrollhierarchia (kiküszöbölés, helyettesítés, műszaki, szervezési, egyéni védőeszköz), beszerzés és vállalkozók munkavédelmi követelményei, vészhelyzeti felkészülés, incidens vizsgálat.
• 27001. Kockázatértékelés és kockázatkezelés meghatározott módszerrel, alkalmazhatósági nyilatkozat (SoA), az A melléklet 93 kontrollja (ISO megfelelés és audit).
• 42001. AI kockázatértékelés, AI hatásvizsgálat, AI rendszer életciklus, adatkezelés, harmadik felek, az A melléklet kontrolljai (AI ISO szabványok).
• 37001. Vesztegetési kockázatértékelés, átvilágítás (due diligence) munkatársakra, projektekre és üzleti partnerekre, pénzügyi és nem pénzügyi kontrollok, ajándék, vendéglátás, adomány és szponzoráció szabályai, bejelentési csatorna, vizsgálat, megfelelési funkció.
• 37301. Compliance kötelezettségek azonosítása és nyilvántartása, compliance kockázatértékelés, compliance kultúra, bejelentés (speak up) és vizsgálat, a compliance funkció függetlensége.
• 22301. Üzleti hatáselemzés (BIA), folytonossági kockázatértékelés, stratégiák és megoldások, folytonossági tervek, gyakorlatok és tesztek, a dokumentáció és a képesség értékelése.
• 20000-1. Szolgáltatáskatalógus, szolgáltatásszint kezelés (SLA), kapacitás és rendelkezésre állás, incidenskezelés és kérelemkezelés, problémakezelés, változáskezelés és kiadáskezelés, konfigurációkezelés, szolgáltatás folytonosság, beszállítói és ügyfélkapcsolati kezelés, költségvetés és elszámolás.

2.5 Az IMS fizikai felépítése egy egyszemélyes cégnél

Egy kis szervezetnél az IMS legjobb formája egy git repó vagy egy verziókezelt dokumentumtár, amelyben minden dokumentum Markdown, a jóváhagyás PR vagy aláírt commit, és a bizonyíték dátumozott fájl. Ez a 7.5 pont minden követelményét lefedi (azonosítás, formátum, átvizsgálás, jóváhagyás, verzió, megőrzés), és a szöveges formátum miatt automatizálással, akár AI asszisztenssel is jól kezelhető. Egy bevált szerkezet az alábbi, a dokumentumok és a szabványok kapcsolatát a 8.2 pont táblázata részletezi.

ims/
  README.md                       # Az IMS térképe, a szabványok és a fájlok viszonya
  01-hatokor-kontextus.md         # 4.1, 4.3, 4.4 minden szabványra
  02-erdekelt-felek.md            # 4.2, kötelezettségek forrása
  03-politikak.md                 # Egy integrált politika vagy fejezetenként szabványonként
  04-celok.md                     # 6.2, egy táblázat szabványcímkével
  05-szerepek-felelossegek.md     # 5.3, RACI, külső auditor, helyettes
  06-kockazat-lehetoseg.md        # 6.1 közös regiszter, szabványcímke oszloppal
  07-jogszabalyi-kotelezettsegek.md
  08-kompetencia-kepzes.md
  09-kommunikacio.md
  10-dokumentum-nyilvantartas.md
  szakterulet/
    kornyezeti-aspektusok.md
    munkavedelmi-kockazatok.md
    vesztegetes-elleni-atvilagitas.md
    compliance-kotelezettsegek.md
    uzletmenet-folytonossag-bia.md
    it-szolgaltatas-katalogus.md
    ai-politika.md  ai-celok.md  ai-hatasvizsgalat.md
    panaszkezeles.md  kepzesi-szolgaltatas.md
  ertekeles/
    belso-audit-program.md
    vezetosegi-atvizsgalas.md
    nemmegfeleloseg-helyesbites.md
  bizonyitek/2026/                # Havi bizonyítékcsomagok, jegyzőkönyvek

Az egyetlen kockázatregiszter a legnagyobb megtakarítás. Minden sor kap egy szabvány oszlopot (például Q, E, OHS, IS, AI, AB, C, BC, ITSM), így ugyanaz a kockázat (az egyetlen ember kiesése) egyszerre 22301, 27001, 9001 és 45001 bejegyzés, egyszer értékelve, egy intézkedéssel. Az auditor szabványonként szűrve kapja meg.

Hasonló a helyzet a politikával. Egy integrált IMS politika, amely fejezetenként kimondja a minőségi, környezeti, munkavédelmi, információbiztonsági, AI, vesztegetés elleni és compliance elkötelezettséget, minden szabvány 5.2 pontját teljesíti, ha minden szabvány kötelező elemét tartalmazza (például a 14001 a szennyezés megelőzését, a 45001 a munkavállalói konzultációt és a veszélyek kiküszöbölését, a 37001 a vesztegetés tilalmát és a bejelentés védelmét). A 27001 és a 42001 politikája gyakran külön dokumentum marad, mert ügyfélkérésre önállóan kell átadni.

3. A szabványok egyenként, egy egyszemélyes AI tanácsadó és fejlesztő cégre fordítva

Minden pont ugyanazt a hat kérdést válaszolja meg. Tanúsítható-e, mit követel lényegében, mit jelent a cég méretében, milyen bizonyíték keletkezik, mennyit ér üzletileg, és milyen magyar jogszabályhoz kapcsolódik. A 27001 és a 42001 itt csak az integráció szempontjából szerepel, a tartalmuk az ISO megfelelés és audit és az AI ISO szabványok kézikönyvben van.

A mintacég a továbbiakban egy magyar egyéni vállalkozó (vagy egyszemélyes kft.), aki AI tanácsadást, AI bevezetési projekteket, egyedi szoftverfejlesztést (Supabase, Next.js, Vercel, LLM API) és vállalati tréningeket végez, otthoni irodából és ügyfélhelyszínen, két-három rendszeres alvállalkozóval.

3.1 ISO 9001:2026. Minőségirányítás

Állapot. Tanúsítható, a 2026. szeptember 16-án megjelent hatodik kiadás. A tanúsítók szerint a változás fokozatos. Megmaradt a folyamatszemlélet, a PDCA és a kockázatalapú gondolkodás, új hangsúlyt kapott a minőségkultúra és az etikus magatartás, a kockázat és a lehetőség külön kezelése, a klímaváltozás mérlegelése, és egy tájékoztató A melléklet magyarázza a fogalmakat. Új tanúsítás 2026 végén már a 2026-os kiadásra érdemes, mert a 2015-ös tanúsítvány három éven belül úgyis átállást igényel.

Mit követel lényegében. A HS vázon túl azt, hogy a szervezet következetesen az ügyfél és a jogszabály követelményeinek megfelelő terméket vagy szolgáltatást szállítson, és ezt mérje. Folyamatokat határoz meg a bemenettel, kimenettel, felelőssel, mutatóval. Tisztázza az ügyféllel a követelményt ajánlat és szerződés előtt, és változáskor. Szabályozza a tervezést és fejlesztést (bemenet, átvizsgálás, verifikáció, validáció, kimenet, változás). Értékeli a külső szállítókat. Kezeli a nem megfelelő kimenetet. Méri az ügyfélelégedettséget.

Az egyszemélyes cégnél. A hatókör jellemzően így szól. AI tanácsadás, AI megoldások és egyedi szoftver tervezése, fejlesztése és támogatása, valamint vállalati képzések tervezése és megtartása. Négy-öt fő folyamat elég. Értékesítés és ajánlatadás, tanácsadási projekt, szoftverfejlesztés és üzemeltetés, képzés, valamint egy támogató folyamat (beszerzés és alvállalkozók, pénzügy, IT). A 8.3 tervezés és fejlesztés a szoftverre és a tréninganyagra is vonatkozik, mert mindkettőt a cég maga tervezi. Kimenet a tanácsadási jelentés is, amelynek ellenőrzése (második olvasat, forrásellenőrzés, AI által generált tartalom emberi átvizsgálása) a 8.6 kiadás bizonyítéka.

Bizonyíték. Ajánlat és szerződés a követelmények tisztázásával, követelmény nyomonkövetési tábla (ISO megfelelés és audit), PR és review történet, tesztbizonyíték, átadási jegyzőkönyv, tréning utáni értékelő kérdőív, ügyfél NPS vagy elégedettségi kérdés a projekt végén, alvállalkozói értékelés évente, nem megfelelőség napló, panasznapló.

Üzleti érték. Magyar közbeszerzésen és nagyvállalati beszállítói minősítésnél a 9001 a leggyakrabban kért tanúsítvány, sok helyen alkalmassági feltétel vagy pontozott szempont, és a beszállítói kérdőívek első kérdései között szerepel. Önmagában ritkán dönt, de a hiánya kizáró lehet. A 27001 és a 42001 mellé hozzávéve a többletköltség kicsi, mert a HS elemek közösek.

Magyar jogszabályi kapcsolódás. Közvetlen jogszabályi kötelezettség nincs. A közbeszerzési törvény (2015. évi CXLIII. törvény) és végrehajtási rendeletei megengedik, hogy az ajánlatkérő minőségbiztosítási tanúsítványt vagy azzal egyenértékű bizonyítékot kérjen alkalmassági feltételként, ezért a tanúsítvány mellett az egyenértékű gyakorlat dokumentálása is számít. Kontrollra fordítva a cég egy közbeszerzési igazolás mappát vezet (tanúsítvány, hatókör angolul és magyarul, a tanúsító akkreditációs igazolása), az ajánlati sablonban pedig szerepel a tanúsítvány száma és érvényessége.

3.2 ISO 14001:2026. Környezetirányítás

Állapot. Tanúsítható, 2026. április 15-én jelent meg, hároméves átállással (a tanúsítók szerint 2029 tavaszáig). A tanúsítók összefoglalói szerint a 4.1 pont a klíma mellett a biodiverzitást, a szennyezettséget és a természeti erőforrások elérhetőségét is a kontextus részévé teszi, erősödik az életciklus szemlélet az aspektusoknál és a beszállítói láncban, új 6.3 pont kéri a változások tervezését, a vezetés elszámoltathatósága hangsúlyosabb, és a kiszervezett folyamatok helyett a külső forrásból származó folyamatok, termékek és szolgáltatások egészére vonatkozik a szabályozás. Egy forrás kötelező életciklus értékelést (LCA) említett, ezt a többi nem erősítette meg, a 2026 októberi állapot szerint ellenőrizendő.

Mit követel lényegében. A szervezet azonosítja tevékenységei, termékei és szolgáltatásai környezeti aspektusait (amivel a környezetre hat) és a hozzájuk tartozó hatásokat, életciklus szemlélettel, és meghatározza közülük a jelentőseket. Nyilvántartja a megfelelési kötelezettségeket (jogszabály, engedély, önként vállalt elvárás), és rendszeresen értékeli a teljesítésüket. Célokat tűz ki, operatív szabályozást vezet be, felkészül a környezeti vészhelyzetekre, és a kötelezettségeinek megfelelően kommunikál kifelé.

Az egyszemélyes cégnél. A közvetlen környezeti hatás kicsi, a jelentős aspektusok közvetettek. Jellemző lista.

• Felhő és számítási energia. Tárhely, adatbázis, serverless futás, és különösen az LLM API hívások és a modellfinomhangolás energiája. A cég ezt nem méri közvetlenül, de szolgáltatót választ (régió, megújuló energia nyilatkozat), modellt választ (kisebb modell, ha elég), és tervezési döntéseket hoz (gyorsítótár, batch feldolgozás, felesleges hívások kerülése, kontextus tömörítése). Ez az életciklus szemlélet szoftveres megfelelője.
• Utazás. Ügyfélhelyszíni tréning és workshop, autó, vonat, repülő. Kontroll a távoli tréning opciója, tömegközlekedés előnyben részesítése, kilométernapló.
• Elektronikai hulladék és eszközök. Laptop, telefon, monitor, kiegészítők élettartama, javíttatás, szakszerű leadás vagy felújításra adás, adattörlési jegyzőkönyvvel (ez egyben 27001 bizonyíték).
• Irodai energia és fogyóanyag. Otthoni iroda áramfogyasztása, nyomtatás, papír, tréningeken nyomtatott anyag.
• Szolgáltatás kimenetének hatása. Az AI bevezetés az ügyfélnél csökkentheti vagy növelheti az energiafelhasználást. Pozitív aspektusként is rögzíthető (papírmentes folyamat, kevesebb utazás).

Jelentős aspektus egy ilyen cégnél tipikusan az utazás és a számítási terhelés. A célok ehhez igazodnak, például a tréningek adott arányban távoli formában, vagy a fejlesztett AI funkciók tervezési kártyáján kötelező mező a modellválasztás és a hívásszám becslése.

Bizonyíték. Aspektus és hatás tábla jelentőségi értékeléssel, megfelelési kötelezettségek regisztere és éves értékelése, utazási napló, eszköznyilvántartás leadási igazolásokkal, felhőszolgáltatók környezeti nyilatkozatai a beszállítói nyilvántartásban, vészhelyzeti terv (otthoni irodában tűz, elektronikai eszköz akkumulátor), célok mérése.

Üzleti érték. Kis IT cégnél közepes. Nagyvállalati beszállítói kérdőívek (ESG, EcoVadis jellegű értékelések) kérdezik, és a CSRD alá tartozó nagyvállalatok a beszállítói láncuktól adatot kérnek. A tanúsítvány itt erős válasz, de egy jól dokumentált, nem tanúsított környezeti gyakorlat és egy egyszerű szénlábnyom becslés gyakran elég. Közbeszerzésen ritkán döntő IT szolgáltatásnál.

Magyar jogszabályi kapcsolódás. A környezet védelmének általános szabályairól szóló 1995. évi LIII. törvény az alap, a hulladékról szóló 2012. évi CLXXXV. törvény a hulladék szakszerű kezelésére, az elektromos és elektronikus berendezések hulladékára vonatkozó rendelkezések pedig az eszközök leadására vonatkoznak. Az EPR (kiterjesztett gyártói felelősség) rendszer és a környezetvédelmi termékdíj elsősorban annak szól, aki terméket hoz forgalomba. Egy szolgáltató cégnél jellemzően nem keletkezik kötelezettség, de ezt könyvelővel érdemes ellenőrizni, különösen ha a tréninghez nyomtatott vagy csomagolt anyagot ad. Kontrollra fordítva eszközleadás csak igazolással és adattörlési nyommal történik, a beszerzési szabályban szerepel a javíthatóság és az élettartam, a regiszterben pedig évente egy sor rögzíti a hatály felülvizsgálatát.

3.3 ISO 45001. Munkahelyi egészségvédelem és biztonság

Állapot. Tanúsítható, a 2018-as kiadás a 2024-es klímamódosítással érvényes. A revízió DIS szavazása 2026 szeptemberében zárult, a tanúsítók 2027 második felére várják a megjelenést. A várható hangsúlyok a pszichoszociális kockázat, a hibrid és digitális munka, a vezetés és a biztonsági kultúra, a beszállítói lánc. A szavazás eredménye a 2026 októberi állapot szerint ellenőrizendő.

Mit követel lényegében. A HS vázon túl a munkavállalók konzultációját és részvételét (5.4), folyamatos és proaktív veszélyazonosítást (a munka szervezése, a társas tényezők, a rutin és nem rutin tevékenységek, a vészhelyzetek, a látogatók és vállalkozók is), az OH&S kockázatok és lehetőségek értékelését, a jogi követelmények azonosítását és teljesítésük értékelését, a kontrollhierarchia alkalmazását, a változáskezelést, a beszerzés és a vállalkozók munkavédelmi követelményeit, a vészhelyzeti felkészülést és az incidensek kivizsgálását.

Az egyszemélyes cégnél. A szabvány munkavállalókban gondolkodik, egyszemélyes cégnél a tulajdonos maga a munkavállaló is, és a rendszeresen bevont alvállalkozók, valamint a tréningek résztvevői (az ügyfél helyszínén) is érintett felek. Jellemző veszélyek.

• Képernyő előtti munka. Testtartás, szem terhelése, mozgásszegény munka, monitor és szék ergonómiája, rendszeres szünet.
• Pszichoszociális kockázat. Túlterhelés, határidőnyomás, folyamatos elérhetőség, kiégés, döntési magány, az AI szakma tempója miatti folyamatos tanulási kényszer. Ide tartozik a munkaidő és pihenőidő szabályozása saját magunkra is.
• Egyedül végzett munka. Otthoni irodában baleset vagy rosszullét esetén senki nem észleli. Kontroll a napi bejelentkezés egy hozzátartozóval vagy partnerrel, vészhelyzeti kapcsolattartó, a telefon vészhelyzeti funkciója.
• Utazás és ügyfélhelyszín. Közúti közlekedés, idegen helyszín menekülési útvonala, tréningterem elektromos hálózata, kábelek botlásveszélye, hangterhelés hosszú tréningnapon.
• Elektromos eszközök. Töltők, elosztók, akkumulátorok.

A kontrollhierarchia itt is érvényes. Kiküszöbölés (felesleges utazás helyett távoli munka), műszaki intézkedés (állítható asztal, külső monitor, megfelelő szék), szervezési intézkedés (időblokkok, szünetek, határidőpuffer az ajánlatban, munkaidő vége utáni értesítéstiltás), egyéni eszköz (kékfény szűrő, fülvédő hangos helyszínen), és csak utolsóként a figyelmeztetés.

Bizonyíték. Munkavédelmi kockázatértékelés, a képernyős munkahely ellenőrzése, üzemorvosi alkalmassági vizsgálat igazolása, ha alkalmazott van, egyedül végzett munka eljárás, incidens és majdnem baleset napló, alvállalkozói munkavédelmi nyilatkozat ügyfélhelyszíni munkánál, éves konzultáció jegyzőkönyve a rendszeres partnerekkel.

Üzleti érték. Egyszemélyes IT cégnél alacsony. Ipari, gyártó, energetikai, építőipari nagyvállalati ügyfélnél a beszállítói minősítés kérdezi, és helyszíni munkához munkavédelmi oktatást, néha tanúsítványt kérnek. A legtöbb ilyen igényt a dokumentált kockázatértékelés és a helyszíni oktatás teljesíti. Valódi haszna a pszichoszociális résznek van, a saját munkabírás védelmében.

Magyar jogszabályi kapcsolódás. A munkavédelemről szóló 1993. évi XCIII. törvény (Mvt.) írja elő a munkáltató kockázatértékelési kötelezettségét és a munkavédelmi szervezés alapjait. Képernyős munkahelyre és szemvizsgálatra a képernyő előtti munkavégzés minimális egészségügyi és biztonsági követelményeiről szóló 50/1999. (XI. 3.) EüM rendelet vonatkozik. Hogy egy alkalmazott nélküli egyéni vállalkozóra a munkáltatói kötelezettségek milyen mértékben vonatkoznak, és alkalmazott felvételekor mi kötelező (kockázatértékelés, munkavédelmi szolgáltató, üzemorvosi ellátás), azt munkavédelmi szakemberrel kell tisztázni. Kontrollra fordítva az első alkalmazott vagy rendszeres helyszíni alvállalkozó előtt frissül a kockázatértékelés és bekapcsolódik egy munkavédelmi szakember, a regiszterben pedig évente egy sor rögzíti a hatály felülvizsgálatát.

3.4 ISO 37001:2025. Vesztegetés elleni irányítási rendszer

Állapot. Tanúsítható, a második kiadás 2025 februárjában jelent meg. Az IAF MD 30:2025 szerint a 2016-os kiadás szerinti tanúsítványok legkésőbb 2027. február 28-án megszűnnek, 2026. augusztus 31. után első tanúsítás és újratanúsítás csak a 2025-ös kiadásra végezhető. A tanúsítók összefoglalói szerint az új kiadás HS szerkezetű, klímamódosítást tartalmaz, és erősebben hangsúlyozza a vesztegetés elleni kultúrát, az összeférhetetlenség kezelését és a megfelelési funkció helyzetét.

Mit követel lényegében. A vesztegetés (adás és kapás, közvetlen és közvetett, köz és magánszféra) tilalmát politikában, vesztegetési kockázatértékelést, átvilágítást a kockázatos munkatársi pozíciókra, projektekre és üzleti partnerekre, pénzügyi kontrollokat (kifizetés jóváhagyása, kettős aláírás, indokolatlan díjak tiltása) és nem pénzügyi kontrollokat (beszerzés, szerződéses klauzulák), ajándék, vendéglátás, adomány és szponzoráció szabályozását, bejelentési csatornát megtorlás tilalmával, vizsgálati eljárást, és egy független megfelelési funkciót, amely közvetlenül eléri a vezetést.

Az egyszemélyes cégnél. A vesztegetési kockázat három helyen jelenik meg.

• Ajándék és vendéglátás. Ügyfélnek adott ajándék, tréning utáni vacsora, konferenciajegy, és fordítva, szoftver vagy AI szolgáltató partnerprogramjából kapott juttatás, ingyenes kredit, utazás. Kontroll az értékhatár, a nyilvántartás, a jóváhagyás (egyszemélyes cégnél a második jóváhagyó a külső compliance tanácsadó vagy a belső auditor utólagos ellenőrzése).
• Közbeszerzés és állami ügyfél. Uniós támogatású projekt, önkormányzati vagy állami tréning, digitalizációs pályázat. Itt a pályázatíró, közvetítő vagy tanácsadó díja, a sikerdíj, a beszerzési eljárás előtti kapcsolatfelvétel és a tényleges összeférhetetlenség a fő kockázat.
• Ügynökök, közvetítők, alvállalkozók. Aki ügyfelet hoz vagy a cég nevében tárgyal (értékesítési partner, white label viszonteladó, alvállalkozó fejlesztő), annak átvilágítása, szerződéses vesztegetés elleni klauzula, a díj arányosságának indoklása.

Bizonyíték. Vesztegetési kockázatértékelés, átvilágítási lap partnerenként (cégadat, tulajdonos, referencia, közszereplői kapcsolat, díjstruktúra, döntés), ajándéknapló, összeférhetetlenségi nyilatkozatok, szerződéses klauzulák, bejelentési csatorna leírása, éves képzés igazolása, megfelelési jelentés a vezetőségi átvizsgáláshoz.

Üzleti érték. Alacsony, kivéve ha a cég rendszeresen dolgozik állami, önkormányzati vagy uniós forrásból finanszírozott projekten, vagy multinacionális ügyfél beszállítói kódexe kifejezetten kéri. A kontrollok fele (ajándéknapló, átvilágítás, klauzula) tanúsítás nélkül is olcsón bevezethető, és a nagyvállalati beszállítói kérdőívekre jó válasz.

Magyar jogszabályi kapcsolódás. A Büntető Törvénykönyv (2012. évi C. törvény) a gazdasági és hivatali vesztegetést is bünteti, a közbeszerzési törvény az összeférhetetlenséget és a kizáró okokat szabályozza, és az uniós források felhasználásánál külön összeférhetetlenségi és csalás elleni szabályok érvényesek. Bejelentővédelmi keretet a 2023. évi XXV. törvény (panasztörvény) ad (3.6 pont). Jogi minősítést csak jogász adhat. Kontrollra fordítva a cég ajándék értékhatárt és naplót vezet, minden közvetítő előtt átvilágítja a partnert (ehhez a nyilvános cégadatok, a beszámolók és a NAV nyilvános listái jó kiindulópontot adnak), az alvállalkozói szerződésmintában pedig vesztegetés elleni klauzula szerepel.

3.5 ISO 37301:2021. Compliance irányítási rendszer

Állapot. Tanúsítható (type A), a 2021-es kiadás a 2024-es klímamódosítással. Revízióról nincs nyilvános információ.

Mit követel lényegében. A compliance kötelezettségek (jogszabály, szerződés, szabvány, belső szabály, önkéntes vállalás) azonosítását és naprakész nyilvántartását, a hozzájuk tartozó kockázatértékelést, compliance kultúrát, a compliance funkció függetlenségét és hatáskörét, bejelentési és vizsgálati eljárást, a kötelezettségek teljesítésének monitorozását és a nem megfelelés kezelését. Lényegében a 37001 ennek vesztegetésre szűkített, részletesebb változata, ezért a két szabvány egy rendszerben jól épül.

Az egyszemélyes cégnél. A 37301 értéke egy jó kötelezettségregiszter. Egy AI tanácsadó és fejlesztő cég kötelezettségei sokfélék. GDPR és Infotv., AI Act (szolgáltatóként és alkalmazóként), szerzői jog (generált tartalom, kódlicencek, tréninganyag), fogyasztóvédelem (ha magánszemélynek is ad el tréninget), számviteli és adózási kötelezettségek, elektronikus kereskedelmi szabályok (honlap, hírlevél), felnőttképzési szabályok (3.11), NIS2 és a magyar kiberbiztonsági szabályozás (ha ügyfele vagy szállítóként érintett), szerződéses kötelezettségek (titoktartás, SLA, adatfeldolgozói szerződés), és a szabványok saját követelményei. Mindez egy táblába kerül, felelőssel, forrással, felülvizsgálati dátummal. Ez a compliance kötelezettségregiszter egyben a 14001 megfelelési kötelezettségek regisztere, a 45001 jogi követelmény listája és a 27001 A.5.31 kontroll bizonyítéka.

Bizonyíték. Kötelezettségregiszter verziótörténettel, változásfigyelési napló (jogszabályfigyelés forrása, például a Magyar Közlöny és a szakmai hírlevelek), compliance kockázatértékelés, éves compliance jelentés a vezetőségi átvizsgáláshoz, bejelentési és vizsgálati nyilvántartás.

Üzleti érték. Tanúsítványként alacsony, Magyarországon ritkán kérik. Útmutatóként magas, mert a kötelezettségregiszter minden más audit gerince. Pénzügyi, egészségügyi vagy szabályozott ágazati ügyfélnél beszállítói kérdőíven hasznos hivatkozni rá.

Magyar jogszabályi kapcsolódás. Önmagában nem kötelező, de a felsorolt jogszabályok együttese adja a tartalmát. Kontrollra fordítva negyedéves jogszabályfigyelés fut, minden új projekt indításakor bekerülnek a projektspecifikus kötelezettségek, és projektenként rögzítjük az AI Act szerinti szerepkört (AI ISO szabványok).

3.6 ISO 37002:2021. Bejelentővédelmi (whistleblowing) irányítási rendszer útmutató

Állapot. Útmutató, nem tanúsítható. A HS szerkezetet követi, így egy IMS-be könnyen beilleszthető.

Mit ajánl lényegében. A bejelentések fogadását, értékelését, kezelését és lezárását, a bejelentő és az érintettek védelmét, a bizalom, a pártatlanság és a megtorlásmentesség elvét, és a rendszer teljesítményének mérését. Négy lépésben gondolkodik. Fogadás, értékelés, kezelés, lezárás.

Az egyszemélyes cégnél. Belső bejelentő nincs, de külső bejelentő lehet. Egy alvállalkozó, egy tréning résztvevő, egy ügyfél munkatársa jelezheti, hogy a cég nevében valaki szabálytalanul járt el, vagy hogy egy AI rendszer kárt okoz. A minimum egy elkülönített csatorna (külön email cím vagy űrlap), egy rövid eljárás (visszaigazolás, kivizsgálás, válasz, nyilvántartás), és a megtorlás tilalmának kimondása. Ez egyben a 37001, a 37301 és a 42001 (érintetti visszajelzés) bejelentési elvárását is teljesíti.

Bizonyíték. A csatorna leírása a honlapon vagy az ÁSZF-ben, bejelentési napló (akkor is, ha üres, dátumozott felülvizsgálattal), eljárásleírás.

Üzleti érték. Közvetlenül alacsony, a 37001 és 37301 tanúsításnál viszont a bejelentési csatorna kötelező elem.

Magyar jogszabályi kapcsolódás. A panaszokról, a közérdekű bejelentésekről, valamint a visszaélések bejelentésével összefüggő szabályokról szóló 2023. évi XXV. törvény a legalább 50 munkavállalót foglalkoztató munkáltatóknak írja elő a visszaélések bejelentésére szolgáló belső rendszer működtetését. Egy egyszemélyes cég erre nem kötelezett, a rendszer önkéntes. Ha mégis működteti, a törvény szabályait (határidők, bizalmas kezelés, adatkezelés) érdemes követni, ezt jogásszal kell egyeztetni. A törvény panasz és közérdekű bejelentés része az állami és önkormányzati szervekhez benyújtott bejelentésekre vonatkozik. Kontrollra fordítva, ha a cég 50 főnél nagyobb ügyfélnek fejleszt belső bejelentési szoftvert, a törvény határidői és adatkezelési szabályai funkcionális követelményként kerülnek a specifikációba (bizalmas tárolás, hozzáférés szűkítése, határidőfigyelés, naplózás, törlési idő).

3.7 ISO 22301:2019. Üzletmenet folytonosság

Állapot. Tanúsítható, a 2019-es kiadás a 2024-es klímamódosítással. Teljes revízióról nincs nyilvános információ.

Mit követel lényegében. Üzleti hatáselemzést (BIA) a tevékenységek prioritására és a tűrhető kiesésre, folytonossági kockázatértékelést, stratégiát és megoldásokat, dokumentált folytonossági terveket és reagálási struktúrát, rendszeres gyakorlatot és tesztet, és a folytonossági képesség értékelését. A BIA, RTO és RPO fogalmait az ISO megfelelés és audit kézikönyv 7.6 pontja írja le.

Az egyszemélyes cégnél. A legnagyobb folytonossági kockázat maga a tulajdonos. Betegség, baleset, kiégés, vagy egy olyan hét, amikor két ügyfél egyszerre ég. Egyetlen ember cégénél ezt nem lehet kiküszöbölni, csak kezelni. Jellemző elemek.

• Helyettesítési megállapodás. Egy megbízható partner (alvállalkozó vagy egy másik egyéni vállalkozó), aki rendkívüli esetben átveszi az üzemeltetési ügyeletet vagy lemondja és átütemezi a tréningeket, előre aláírt titoktartással és dokumentált hozzáférési eljárással.
• Vészhelyzeti hozzáférés. Jelszókezelő vészhelyzeti hozzáférése, a domain, DNS, felhőszolgáltató és bank fiókjainak helyreállítási útja, és az egyetlen telefonhoz kötött MFA kiváltása hardverkulccsal és tartalékkóddal.
• Szolgáltatásszintű BIA. Az ügyfeleknek üzemeltetett rendszerek (SaaS, AI ügynök, automatizáció), a tréningek és a tanácsadási határidők külön sorban, mindegyikhez MTPD, RTO, RPO és kerülőút.
• Beszállítói függés. LLM szolgáltató kiesése vagy árváltozása, Supabase vagy Vercel régió kiesése, és a modell kivezetése (deprecation). Kerülőút egy második modellszolgáltató, egy degradált mód és egy dokumentált modellcsere eljárás.

Bizonyíték. BIA tábla, folytonossági terv, éves asztali gyakorlat jegyzőkönyve (például a tulajdonos két hétig elérhetetlen, mit csinál a helyettes), visszaállítási próba (ISO megfelelés és audit, 9.6 pont), helyettesítési megállapodás.

Üzleti érték. Tanúsítványként kis cégnél alacsony. Pénzügyi szektorbeli ügyfélnél (DORA alatt álló intézmény) és kritikus szolgáltatásnál a beszállítói kérdőív részletesen kérdezi, ilyenkor a dokumentált BIA, terv és tesztjegyzőkönyv többet ér a tanúsítványnál. A 27001 A.5.29, A.5.30 és A.8.13-8.14 kontrolljai a folytonosság nagy részét lefedik, ezért a 22301 tanúsítás a 27001 után kis többletmunka.

Magyar jogszabályi kapcsolódás. Közvetlen kötelezettség nincs. NIS2 alá tartozó ügyfélnél vagy DORA alatt álló pénzügyi intézménynél a szerződés hárítja át a folytonossági és tesztelési elvárásokat. Kontrollra fordítva az ügyfélszerződésben vállalt RTO és RPO egyezik a BIA-val és a tesztelt értékkel.

3.8 ISO/IEC 20000-1:2018. IT szolgáltatásirányítás

Állapot. Tanúsítható, a 2018-as kiadás a 2024-es klímamódosítással. Új kiadásról nincs megbízható nyilvános információ, a 2026 októberi állapot szerint ellenőrizendő.

Mit követel lényegében. Szolgáltatásirányítási rendszert (SMS) a HS vázán, és a 8. fejezetben a szolgáltatás teljes életciklusát. Szolgáltatásportfólió és katalógus, szolgáltatásszint megállapodás, kapacitás és rendelkezésre állás, szolgáltatás folytonosság, incidenskezelés, kérelemkezelés, problémakezelés, változáskezelés, kiadás és telepítés, konfigurációkezelés, beszállítókezelés, ügyfélkapcsolat, szolgáltatásriport, költségvetés és elszámolás, valamint az információbiztonság kezelése (ezt a 27001 kiválthatja). Fogalmilag közel áll az ITIL gyakorlathoz, de az ITIL módszertan, a 20000-1 auditálható követelmény.

Az egyszemélyes cégnél. Akkor releváns, ha a cég üzemeltetett szolgáltatást nyújt. Például SaaS terméket, menedzselt AI ügynököt, automatizációs platformot havidíjért, vagy támogatási szerződést SLA-val. Ha csak projektet szállít és átad, a 9001 elég. Az SMS egy kis cégnél egy szolgáltatáskatalógus a szolgáltatásokkal, SLA szintekkel, támogatási idővel, függőségekkel, és egy jegykezelő (GitHub Issues vagy Linear is megfelel), amelyben az incidens, a kérelem, a probléma és a változás külön címkét kap.

Bizonyíték. Katalógus, SLA dokumentumok, jegykezelő exportja (megoldási idők, SLA teljesülés), havi szolgáltatásriport az ügyfélnek, változásnapló (ISO megfelelés és audit), problémarekordok gyökérokkal, kapacitás és költségfigyelés (felhő és LLM API költség).

Üzleti érték. Kis cégnél alacsony vagy közepes. Nagyvállalati IT beszerzésnél és egyes közbeszerzéseknél pontot ér, de a beszállítók többsége ITIL gyakorlattal és 27001 tanúsítvánnyal felel meg. Ha a cég fő bevétele üzemeltetett szolgáltatás lesz, a harmadik hullámban érdemes megfontolni.

Magyar jogszabályi kapcsolódás. Közvetlen kötelezettség nincs. NIS2 alá tartozó ügyfélnél a menedzselt szolgáltató (MSP) szerep külön kötelezettséget hozhat, ezt az ISO megfelelés és audit kézikönyv 8.2 pontja tárgyalja. Kontrollra fordítva az SLA nem ígér többet, mint amit a felhőszolgáltató SLA-ja és a cég ügyeleti kapacitása lehetővé tesz.

3.9 ISO/IEC 27001 és 27701 az integrációban

A 27001 tartalma az ISO megfelelés és audit kézikönyvben van. Az IMS szempontjából három megjegyzés tartozik ide. A 27001 kockázatértékelése a legszigorúbb módszertani követelményű a családban (megismételhető, összehasonlítható eredmény, kockázatgazda), ezért érdemes az egész IMS közös kockázati módszerét erre szabni, és a többi szabvány kockázatait ugyanabban a skálában értékelni. Mintát ad a SoA szerkezete a 42001 alkalmazhatósági nyilatkozatához. A 27701:2025 önálló szabvány lett, így a PIMS a 27001-től függetlenül is tanúsítható, de egy IMS-ben a kettő együtt a legolcsóbb.

3.10 ISO/IEC 42001 az integrációban

A tartalom az AI ISO szabványok kézikönyvben van. Az IMS szempontjából a 42001 a HS vázra épül, az AI politika, az AI célok és az AI hatásvizsgálat külön dokumentum, minden más közös. Egy AI tanácsadó cégnél a 42001 hatókörébe a saját AI használat (AI asszisztensek és más eszközök a fejlesztésben és a tanácsadásban), az ügyfeleknek fejlesztett AI rendszerek és az AI tréningek tartalma is beletartozhat. Ezt a hatókör dokumentumban kifejezetten rögzíteni kell.

3.11 ISO 21001:2025. Oktatási szervezetek irányítási rendszere

Állapot. Tanúsítható, a 2025-ös kiadás a 2018-ast váltja, korlátozott revízióval (HS szerkezet, klíma beépítve). Az akkreditált tanúsítás országonként eltérő, Magyarországon az akkreditált tanúsítók listáját a NAH nyilvántartásában kell ellenőrizni. Hogy meddig tart az átállás, arról a források eltérnek, a tanúsítótól kell kérni.

Mit követel lényegében. A 9001 logikáját oktatási szolgáltatásra alkalmazza, de a tanulót és a többi kedvezményezettet (munkáltató, megrendelő) helyezi a középpontba. Társadalmi felelősség, hozzáférhetőség, sajátos igényű tanulók, a tanulási eredmények tervezése és értékelése, a tanulók és a munkatársak elégedettségének és jóllétének mérése, az oktatók kompetenciája, adatvédelem, panaszkezelés és fellebbezés. A mellékletek a korai gyermekkori oktatásra, az egészségügyi és biztonsági kérdésekre és a kommunikációra adnak kiegészítést.

Az egyszemélyes cégnél. A tréning tevékenység (egynapos vállalati AI tréningek, céges workshopok, nyílt előadások, online kurzusok) egy jól körülhatárolt hatókör. Fő elemei a tervezett tanulási eredmény (mit tud a résztvevő a nap végén), a bemeneti igényfelmérés a megrendelővel, a tananyag fejlesztése és verziókezelése, a tréner kompetenciája, az akadálymentesség (felirat a videóanyagon, olvasható dia, hozzáférhető online felület), az értékelés (kérdőív, gyakorlati feladat), a visszajelzés alapján történő fejlesztés és a panaszkezelés. A tananyag AI által segített előállítása (diák, videó, feladatok) külön ellenőrzési lépést kíván, ez egyben 42001 kontroll.

Bizonyíték. Képzési szolgáltatásleírás, tanulási eredmények és értékelési módszer tréningenként, igényfelmérő lap, tananyag verziótörténet, résztvevői kérdőívek összesítése, tréneri kompetencia (végzettség, tanúsítványok, referencialista), panaszkezelési napló, akadálymentességi ellenőrzés.

Üzleti érték. Közepes, ha a tréning bevétel jelentős. Nagyvállalati HR és L&D beszerzésnél, egyes uniós és hazai képzési pályázatoknál a minőségbiztosítás bizonyítéka. A 9001 mellett külön 21001 tanúsítás csak akkor éri meg, ha a megrendelők kifejezetten kérik, egyébként a 9001 hatókörébe a képzés is bevonható.

Magyar jogszabályi kapcsolódás. A felnőttképzésről szóló 2013. évi LXXVII. törvény és végrehajtási rendelete különbséget tesz az engedélyhez kötött és a bejelentéshez kötött felnőttképzési tevékenység között, és az engedélyes felnőttképzőtől minőségirányítási rendszer működtetését várja el. Hogy egy céges belső tréning, egy nyílt workshop vagy egy online kurzus melyik kategóriába esik, és van-e kivétel, azt a hatályos szabályozás és szükség esetén szakértő alapján kell megállapítani. Fogyasztónak (magánszemélynek) értékesített képzésnél a fogyasztóvédelmi szabályok (szerződéskötés, elállás, panaszkezelés) is érvényesek. Kontrollra fordítva minden új képzési formátum indításakor egy sor kerül a kötelezettségregiszterbe a felnőttképzési besorolásról, a jelentkezési felületen pedig elérhető az ÁSZF, az elállási tájékoztató és a panaszkezelési elérhetőség.

3.12 ISO 29993:2017. Formális oktatáson kívüli tanulási szolgáltatások

Állapot. Szolgáltatásszabvány, nem irányítási rendszer. A szolgáltatás megfelelősége értékelhető, egyes tanúsítók tanúsítást kínálnak, az akkreditált séma országonként eltérhet, ez a 2026 októberi állapot szerint ellenőrizendő. Revízióról nincs nyilvános információ.

Mit követel lényegében. A tanulási szolgáltatás minimális minőségi követelményeit, a szolgáltató szervezetétől függetlenül. Igényfelmérés, a tanulási eredmények és a tartalom tervezése, információ a tanulónak a szolgáltatás előtt (cél, módszer, időtartam, ár, értékelés, előfeltétel), a szolgáltatás nyújtása, a tanulás értékelése, a szolgáltatás monitorozása, a tréner kompetenciája és a pénzügyi feltételek átláthatósága.

Az egyszemélyes cégnél. A 21001-nél jóval könnyebb, mert nem kér irányítási rendszert, csak a tréning szolgáltatás minőségének bizonyítását. Egy egyéni tréner számára a 21001 és a 29993 közül a 29993 a reálisabb, ha a megrendelő külön bizonyítékot kér a képzés minőségére. A legtöbb elemet a képzési szolgáltatásleírás lefedi.

Bizonyíték. Tréning adatlap minden képzéshez, igényfelmérés, értékelés, kérdőív, tréneri profil.

Üzleti érték. Alacsony vagy közepes, főleg nemzetközi L&D beszerzésnél ismert. Magyarországon ritkán kérik.

Magyar jogszabályi kapcsolódás. Ugyanaz, mint a 21001-nél. A felnőttképzési adatszolgáltatási és tájékoztatási kötelezettségek tartalmilag átfednek a 29993 tájékoztatási elvárásaival.

3.13 ISO 10002:2018. Panaszkezelés

Állapot. Útmutató, nem tanúsítható. A 9001 ügyfélelégedettség családjába tartozik (10001 magatartási kódex, 10003 vitarendezés, 10004 elégedettség mérése).

Mit ajánl lényegében. Panaszkezelési elveket (láthatóság, hozzáférhetőség, gyors reagálás, objektivitás, díjmentesség, titoktartás, ügyfélközpontúság, elszámoltathatóság, folyamatos fejlesztés), egy panaszkezelési folyamatot (fogadás, nyomon követés, visszaigazolás, előzetes értékelés, kivizsgálás, válasz, lezárás), és a panaszadatok elemzését a fejlesztéshez.

Az egyszemélyes cégnél. A panasz forrása lehet tréning résztvevő, ügyfél projektvezető, szoftver felhasználó vagy egy AI rendszer által érintett harmadik fél. Egy csatorna, egy panasznapló, egy válaszhatáridő és egy gyökérok mező elég. A panaszadatok a 9001 9.1.2 ügyfélelégedettség, a 21001 és a 42001 érintetti visszajelzés bizonyítékai.

Üzleti érték. Tanúsítványt nem ad, de a 9001 és 21001 auditon a panaszkezelés működése a leggyakrabban vizsgált ügyfélfolyamat.

Magyar jogszabályi kapcsolódás. A fogyasztóvédelemről szóló 1997. évi CLV. törvény a fogyasztói panaszok kezelésére (szóbeli és írásbeli panasz, jegyzőkönyv, válaszhatáridő, megőrzés, békéltető testület tájékoztatás) ír elő szabályokat, ha a cég fogyasztónak is értékesít. Vállalkozások közötti szerződésnél a szerződés rendelkezik. Kontrollra fordítva fogyasztói értékesítésnél a panasznapló figyeli a törvényi határidőt, a válaszsablon tartalmazza a békéltető testületi tájékoztatást, a jogi részleteket pedig jogász ellenőrzi.

3.14 ISO 30401:2018. Tudásmenedzsment

Állapot. Követelményszabvány a 2022-es és a 2024-es (klíma) módosítással. Elvileg tanúsítható, akkreditált tanúsítás ritka.

Mit követel lényegében. A tudás azonosítását, megszerzését, megőrzését, megosztását, alkalmazását és megújítását a szervezet céljai érdekében, a tudásmenedzsment kultúrát és a hozzá szükséges szerepeket és eszközöket.

Az egyszemélyes cégnél. Az egyszemélyes cég tudása egy fejben van, ez folytonossági és skálázási kockázat. A tudásmenedzsment itt a jegyzetrendszer, a dokumentált munkautasítások és ellenőrzőlisták, a projektenkénti tanulságnapló, az ADR-ek és a tréninganyagok rendszerezése. Ugyanezt kéri a 9001 7.1.6 szervezeti tudás pontja és a 22301 helyettesítési képessége. Tanúsításra nem érdemes, útmutatóként a belső tudástár és a dokumentáció felépítésében hasznos.

Üzleti érték. Tanúsítványként szinte nincs. Tanácsadási termékként érdekes lehet, mert az AI bevezetési projektek gyakran tudásmenedzsment projektek.

3.15 ISO 50001:2018. Energiairányítás

Állapot. Tanúsítható, a 2024-es klímamódosítással.

Mit követel lényegében. Energetikai átvizsgálást, jelentős energiafelhasználások azonosítását, energiateljesítmény mutatókat és bázisvonalat, célokat, tervezést, beszerzést és mérést.

Az egyszemélyes cégnél. Tanúsításként nem releváns, az energiafogyasztás egy otthoni iroda és a felhőszolgáltatók hatásköre. A számítási energia kérdése a 14001 aspektusai között jobban kezelhető. Akkor kerülhet elő, ha a cég energiaintenzív ügyfélnél AI alapú energiaoptimalizálást fejleszt. Ilyenkor az ügyfél 50001 rendszerének mérési és bázisvonal követelményei a fejlesztett szoftver funkcionális követelményei lesznek.

Magyar jogszabályi kapcsolódás. Az energiahatékonysági szabályozás az energetikai auditot és az energetikai szakreferenst nagyobb vállalatokra írja elő, egy mikrovállalkozást ez jellemzően nem érint, de ügyfélprojektnél a megrendelő kötelezettsége lehet a követelmény forrása.

3.16 ISO 26000:2010. Társadalmi felelősségvállalás

Állapot. Útmutató, a szabvány maga kizárja a tanúsítást. Aki 26000 tanúsítványt kínál, félrevezető.

Mit ajánl lényegében. Hét alapelvet (elszámoltathatóság, átláthatóság, etikus magatartás, az érdekelt felek érdekeinek tisztelete, a jogállamiság tisztelete, a nemzetközi magatartási normák tisztelete, az emberi jogok tisztelete) és hét kulcsterületet (szervezeti irányítás, emberi jogok, munkaügyi gyakorlat, környezet, tisztességes működés, fogyasztói ügyek, közösségi részvétel és fejlődés).

Az egyszemélyes cégnél. Keretet ad egy rövid felelős működési nyilatkozathoz, amely ESG kérdőívekre, pályázatokra és honlapra is jó. A 37000 governance elvei és a 21001 társadalmi felelősség eleme ugyanezt a gondolatot viszi tovább. Az AI etikai kérdései (torzítás, átláthatóság, munkahelyekre gyakorolt hatás) itt a tisztességes működés és a fogyasztói ügyek alá esnek, de részletesen a 42001 és az AI ISO szabványok kézikönyv foglalkozik velük.

4. Governance és kockázatirányítás réteg

Az irányítási rendszer azt írja le, hogyan működik a szervezet egy szakterületen. A governance egy szinttel feljebb azt, ki dönt, milyen elvek alapján, kinek tartozik elszámolással, és hogyan felügyeli a vezetést az, aki felelős a szervezetért. Nagyvállalatnál ez az igazgatóság és a menedzsment viszonya. Egy egyszemélyes cégnél a kettő ugyanaz az ember, ezért a governance itt három dolgot jelent. Írásban rögzített döntési jogkörök (különösen az ügyfél és az alvállalkozó felé), egy kimondott kockázatétvágy, és rendszeres önellenőrzés, amelyet egy külső szem is lát.

4.1 ISO 37000:2021. Szervezeti governance

Mit ajánl. Elveket a szervezet irányításához. Középpontban a cél (purpose) áll, amelyből az értékteremtés, a stratégia és a felügyelet következik. Mellette az elszámoltathatóság, az érdekelt felek bevonása, a vezetés (leadership), az adat és döntés, a kockázat governance, a társadalmi felelősség és a fenntarthatóság, a felügyelet, a tájékozott döntés. Nem tanúsítható.

Az egyszemélyes cégnél. Egy oldalnyi governance nyilatkozat elég, amely kimondja a cég célját (milyen problémát old meg kinek), az értékeket (például emberi ellenőrzés minden AI kimenetnél, nyílt kommunikáció a korlátokról, a megrendelő adatainak tisztelete), a döntési jogköröket és a felügyelet módját (évente külső belső audit, negyedévente önértékelés, tanácsadó testület vagy mentor, ha van). A governance nyilatkozat a 9001, 27001, 42001 politikáinak közös bevezetője lehet, és a 26000 hét alapelvére is hivatkozhat.

4.2 ISO/IEC 38500:2024. Az IT governance-e

Mit ajánl. A 2024 februárjában megjelent harmadik kiadás a 37000-hez igazítja az IT governance modelljét. Ebben a governance testület három tevékenységgel irányítja az IT-t. Értékel (a jelenlegi és jövőbeli IT használatot), irányít (stratégiát, politikát ad, felelőst jelöl) és felügyel (monitorozza a teljesítményt és a megfelelést). Az elvek a 37000 elveit alkalmazzák IT-ra, köztük a felelősségi körök tisztázását, a stratégiai illeszkedést, a megalapozott beszerzést, a teljesítményt, a megfelelést és az emberi tényezőt.

Az egyszemélyes cégnél és a szoftverprojektekben. A 38500 legjobb haszna az ügyfélprojektekben jelenik meg. Egy AI bevezetési projektben az ügyfélnek kell a governance szerepet vinnie (ki dönt az AI használatáról, ki viseli a kockázatot, ki hagyja jóvá a modellcserét), a tanácsadó ezt a struktúrát segít felépíteni. Saját cégnél a három tevékenység egy negyedéves IT áttekintésként jelenik meg. Értékelés (eszközök, költségek, kockázatok, új AI eszközök), irányítás (döntés bevezetésről vagy kivezetésről, a döntés ADR formában), felügyelet (költség, incidens, licenc, hozzáférés). Ez a vezetőségi átvizsgálás egyik bemenete lehet.

4.3 ISO/IEC 38505-1:2017. Adat governance

Mit ajánl. A 38500 modelljét alkalmazza az adatra. Az adatot értékként, kockázatként és korlátként kezeli, és az adat életciklusára (gyűjtés, tárolás, feldolgozás, terjesztés, törlés) vonatkozó vezetői felelősséget írja le, az érték, a kockázat és a korlát (jogszabály, szerződés, etika) mentén. A 38505-2 a governance és a menedzsment közötti kapcsolatot részletezi.

Az egyszemélyes cégnél és a szoftverprojektekben. Adat governance egy kis cégnél négy döntés írásban.

1. Milyen adatot fogad el a cég ügyféltől, és milyen formában. Éles személyes adat fejlesztéshez csak indokolt esetben, anonimizálva vagy szintetikus adattal helyettesítve, az Adatbiztonság és adatvédelem kézikönyv szerint.
2. Milyen adat mehet LLM szolgáltatóhoz. Szolgáltatónként rögzítve az adatkezelési feltételek (tréning tiltás, megőrzés, régió), és az adatosztály szerinti tiltás vagy engedély.
3. Ki a döntéshozó egy adathasználati kérdésben. Ügyfélprojektnél az ügyfél adatgazdája, a cég mint adatfeldolgozó csak utasítás alapján.
4. Mikor és hogyan törlődik az adat a projekt végén. Törlési jegyzőkönyvvel.

Projektszinten ezt az adatkezelési hatásvizsgálat (DPIA) dokumentuma rögzíti, a fenyegetésmodell pedig egy adat governance szakasszal egészül ki (érték, kockázat, korlát, döntéshozó).

4.4 ISO/IEC 27014:2020. Az információbiztonság governance-e

Mit ajánl. Az információbiztonság governance-ét a vállalatirányítás részeként. Célja, hogy az információbiztonsági stratégia az üzleti célokhoz igazodjon, értéket teremtsen, a kockázat elfogadható szinten maradjon, és a vezetés felelőssége látható legyen. Elvei között szerepel a szervezetszintű megközelítés, a kockázatalapú döntés, a beruházási döntések iránya, a belső és külső követelményeknek való megfelelés, a pozitív biztonsági kultúra és a teljesítmény mérése. A governance folyamatai az értékelés, az irányítás, a felügyelet és a kommunikáció, valamint ezek kapcsolata a 27001 ISMS-sel.

Az egyszemélyes cégnél. A 27014 a 27001 5. fejezetét (vezetés) tölti ki tartalommal. Gyakorlati megjelenése a vezetőségi átvizsgálás információbiztonsági része, a kockázatétvágy nyilatkozat biztonsági sora és a beruházási döntés (például compliance platform, pentest, hardverkulcsok) indoklása. Az ISO megfelelés és audit kézikönyv 13. szakaszában leírt deploy előtti megfelelési kapu a governance elvárás technikai megvalósítása.

4.5 ISO/IEC 38507:2022. Az AI governance-e

A 38500 modelljének AI alkalmazása, részletesen az AI ISO szabványok kézikönyv tárgyalja. Az IMS szempontjából annyi tartozik ide, hogy az AI használatára vonatkozó döntési jogkörök (ki engedélyez új AI eszközt, ki dönt magas kockázatú alkalmazásról) ugyanabban a döntési jogkörmátrixban szerepeljenek, mint a többi governance döntés.

4.6 ISO 31000:2018. Kockázatirányítás

Mit ajánl. Három részt. Elveket (integrált, strukturált és átfogó, testreszabott, befogadó, dinamikus, a legjobb elérhető információra épülő, emberi és kulturális tényezőkre figyelő, folyamatosan fejlődő), keretrendszert (vezetés és elkötelezettség, integráció, tervezés, bevezetés, értékelés, fejlesztés) és folyamatot (kommunikáció és konzultáció, hatókör és kritériumok, kockázatazonosítás, elemzés, értékelés, kezelés, monitorozás és felülvizsgálat, rögzítés és jelentés). A kockázat a célokra gyakorolt bizonytalanság hatása, lehet negatív és pozitív is. Nem tanúsítható.

Az IMS közös kockázati módszere. A 31000 adja az egész IMS kockázatkezelési nyelvét, a 27005:2022 és a 42001 kockázati követelményei erre épülnek, a 9001 és 14001 6.1 pontja pedig nem ír elő módszert, így ugyanaz a módszer mindenhol használható. Egy kis cégnél a közös módszer egy oldal.

4.7 Kockázatétvágy nyilatkozat egy kis cégnél

A kockázatétvágy azt mondja ki, mennyi kockázatot hajlandó vállalni a cég a céljai érdekében, területenként. Egy AI tanácsadó és fejlesztő cégnél egy rövid tábla elég.

A nyilatkozat a vezetőségi átvizsgálás évente jóváhagyott dokumentuma, és minden kockázatelfogadási döntés erre hivatkozik.

4.8 Döntési jogkörök és governance a szoftverprojektekben

A governance projektszinten egy döntési jogkörmátrixként jelenik meg, amely kimondja, mit dönt a cég, mit az ügyfél, mit az alvállalkozó, és mit csak közösen lehet.

A mátrix minden nagyobb projekt indító dokumentumának része. Az ügyfél számára ez a 38500 szerinti governance megvalósulása, a cég számára a 9001 8.2 és 8.3 pontjának, a 27001 A.5.2 és A.5.3 kontrolljának, és a 42001 szerepköreinek bizonyítéka.

5. Integrált audit és tanúsítóválasztás

5.1 Kombinált és integrált audit

Kombinált audit (combined audit). Egy tanúsító ugyanabban az időben két vagy több szabvány szerint auditál, de a szabványokat részben külön vizsgálja. Az auditnapok kevéssé csökkennek, főleg az utazás és a nyitó, záró megbeszélés közös.

Integrált audit. A szervezet IMS-e valóban egy rendszer, közös dokumentációval, közös kockázatkezeléssel, közös belső audittal és közös vezetőségi átvizsgálással, és az auditor ezt egy vizsgálatként nézi meg. Az IAF MD 11 kötelező dokumentum szabályozza, hogyan számolja a tanúsító az auditidőt integrált rendszernél. Integrációs szinttől függően az összesített auditidő csökkenthető. A csökkentés mértékét a tanúsító határozza meg az integráció szintjének értékelése után. A gyakorlatban jellemzően 10-20 százalékos nagyságrendről beszélnek, de ez ellenőrizendő adat, az ajánlatkérésnél érdemes rákérdezni.

Az auditidő alapja szabványonként eltér. A 9001, 14001 és 45001 auditidejét az IAF MD 5, a 27001-ét az ISO/IEC 27006-1:2024, a 42001-ét az ISO/IEC 42006:2025, a 37001-ét az ISO/IEC TS 17021-9 és a hozzá tartozó szabályok, a 22301-ét és a 20000-1-ét a saját szakterületi kiegészítések adják. Közös jellemzőjük, hogy a legkisebb létszámsávban is van egy minimum, amely alá nem lehet menni, és hogy a 27001 és a 42001 alapideje magasabb, mint a 9001-é. Egy egyszemélyes cég első tanúsítása ezért szabványonként jellemzően egy-három auditornap (Stage 1 és Stage 2 együtt), a 27001-nél és a 42001-nél inkább a felső tartomány, a végleges számot a tanúsító ajánlata adja.

5.2 Az integrált audit előfeltételei

Az auditor akkor fogadja el a magas integrációs szintet, ha a következők valóban közösek.

1. Egy dokumentációs rendszer, egy dokumentumnyilvántartás.
2. Egy kockázatkezelési módszer és egy regiszter, szabványcímkékkel.
3. Egy belső audit program, amely minden szabványt lefed, és egy auditjelentés.
4. Egy vezetőségi átvizsgálás, amely minden szabvány kötelező bemenetét tárgyalja.
5. Egy nem megfelelőség és helyesbítő intézkedés nyilvántartás.
6. Integrált politika és célrendszer, vagy legalább egy közös célrendszer.
7. Egy felelős az IMS-ért.

Ha ezek közül több külön fut (például a 27001 egy compliance platformon, a 9001 egy mappában), a tanúsító a kombinált audit szerint számol.

5.3 Egy tanúsító, egy ciklus

Integrált rendszernél egyetlen tanúsító választása szinte mindig olcsóbb és egyszerűbb, mert egy auditcsapat, egy szerződés, egy ütemezés, egy ciklus (háromévente újratanúsítás, közte évente felügyeleti audit) van. Két szabvány eltérő időpontban történő tanúsítása után a tanúsító általában össze tudja hangolni a ciklusokat (például a második szabvány első tanúsítását az első felügyeleti auditjához igazítja, vagy rövidített első ciklust ad). Ezt az első ajánlatkéréskor kell tisztázni.

A választás szempontjai a következők.

• Akkreditáció minden kívánt szabványra. Nem minden tanúsító akkreditált minden szabványra. A 42001, 37001, 37301, 21001 és 20000-1 akkreditációja ritkább, mint a 9001, 14001, 45001 és 27001 akkreditációja.
• Akkreditáció a megfelelő területi kódra. Az IAF szakterületi kódjai közül egy AI tanácsadó és fejlesztő cégnél jellemzően a 33 (információtechnológia), a 35 (egyéb szolgáltatások, tanácsadás) és a 37 (oktatás) releváns. A tanúsítónak ezekre kell akkreditációt vagy kompetenciát igazolnia.
• Auditor kompetencia. Az auditorcsapatban legyen AI és szoftverfejlesztési kompetencia, különösen 42001 és 27001 esetén.
• Nyelv. Magyar nyelvű audit, angol nyelvű tanúsítvány (a nemzetközi ügyfelek miatt), vagy kétnyelvű tanúsítvány.
• Távoli audit lehetősége. Egy otthoni irodában működő, felhőalapú cégnél a távoli audit (IAF MD 4 szerint) jelentős költséget takarít meg. Az ISO 19011:2026 is hangsúlyosabban tárgyalja a távoli és virtuális helyszínt.
• Ár és feltételek. Napidíj, utazás, tanúsítvány kiállítási díj, éves díj, a felügyeleti auditok várható időtartama.

5.4 Akkreditáció ellenőrzése. NAH, IAF MLA, EA MLA

A tanúsítvány értéke azon múlik, hogy akkreditált tanúsító adta-e ki, az akkreditáció kiterjed-e az adott szabványra és szakterületre, és az akkreditáló testület tagja-e a kölcsönös elismerési megállapodásnak.

• NAH. Magyarországon a Nemzeti Akkreditáló Hatóság (NAH) akkreditálja a tanúsító szervezeteket, a 2015. évi CXXV. törvény alapján. A nah.gov.hu oldalon a nyilvántartás mutatja az akkreditált szervezeteket, az akkreditálási okiratot és a részletező okiratot (ez tartalmazza a szabványokat és a szakterületeket).
• EA MLA és IAF MLA. Az európai akkreditáló testületek az EA (European co-operation for Accreditation), világszinten az IAF kölcsönös elismerési megállapodásában vannak. Egy UKAS, DAkkS, RvA vagy más MLA tag által akkreditált tanúsító tanúsítványát a magyar ügyfél és ajánlatkérő is elfogadja, ezért nem kötelező magyar akkreditációjú tanúsítót választani.
• IAF CertSearch. Az IAF nyilvános adatbázisa (iafcertsearch.org) az akkreditált tanúsítványok ellenőrzésére szolgál. Nem minden tanúsító tölt fel, de a nagy tanúsítók igen, és egy beszállítói ellenőrzésnél egyre gyakrabban kérik.

Egy tanúsító kiválasztásánál az ellenőrzés négy lépésből áll.

1. A tanúsító neve és a kívánt szabvány alapján keresés az akkreditáló testület nyilvántartásában (NAH vagy a külföldi akkreditáló).
2. A részletező okiratban a szabvány és a kiadás ellenőrzése (például 37001:2025 vagy még csak 2016), és a szakterületi kód.
3. Az akkreditáló testület MLA tagságának ellenőrzése az IAF és az EA honlapján.
4. Nem akkreditált tanúsítvány (egyes cégek akkreditáció nélkül, vagy nem MLA tag, kétes akkreditálótól adnak ki tanúsítványt) beszállítói minősítésen és közbeszerzésen gyakran nem fogadható el. Gyanús jel a feltűnően alacsony ár, a garantált tanúsítás, a tanácsadás és tanúsítás egy kézben, és a szokatlan akkreditáló neve.

5.5 ISO/IEC 17021-1 és a tanúsító pártatlansága

A 17021-1 a tanúsító szervezetekre vonatkozó követelményeket adja. Két eleme közvetlenül érinti a tanúsítandó céget.

• A tanúsító nem nyújthat tanácsadást ugyanannak az ügyfélnek az irányítási rendszeréhez. Ha a tanúsító vagy a hozzá kapcsolódó cég segít a rendszer kiépítésében, az összeférhetetlenség. Tréning általános formában megengedett, testreszabott tanácsadás nem.
• Az auditor pártatlansága. Az auditor nem auditálhat olyan szervezetet, amellyel az elmúlt időszakban tanácsadói kapcsolatban állt (a gyakorlatban jellemzően két év).

A cég számára ebből az következik, hogy a tanácsadót, a belső auditort és a tanúsítót külön kell választani. Fordított irányban is érvényes. Ha a cég maga tanácsadóként segít ügyfeleknek 42001 vagy 27001 bevezetésében, nem lehet ugyanazoknál az ügyfeleknél belső auditor, és nem dolgozhat ugyanazon ügyfél tanúsítójának auditorként.

5.6 Belső audit az ISO 19011:2026 szerint egyedül dolgozónál

A 19011 az auditprogram irányítását és az audit lefolytatását írja le, az auditorok kompetenciájával és a hét auditálási elvvel (integritás, tisztességes bemutatás, kellő szakmai gondosság, titoktartás, függetlenség, bizonyítékon alapuló megközelítés, kockázatalapú megközelítés). Negyedik, 2026-os kiadása finomítja az auditprogram kezelését, a kommunikációt és az auditor kompetenciát, és hangsúlyosabban kezeli a távoli auditot és a digitális eszközöket. A HS 9.2 pontja objektív és pártatlan belső auditort kér, és a 19011 szerint az auditor ne auditálja a saját munkáját.

Egyszemélyes cégnél ez belülről nem teljesíthető, ezért a belső auditot ki kell szervezni. A megoldás menete a következő.

1. Független belső auditor szerződtetése. Olyan személy vagy cég, amely nem vett részt a rendszer kiépítésében, és nem a tanúsító auditora. Minősített vezető auditor (például IRCA vagy hasonló regisztráció a kívánt szabványokra) előny, és a 42001 és 27001 auditnál szoftveres háttér is szükséges.
2. Auditprogram éves szinten. Minden szabvány, minden klauzula és minden folyamat egy cikluson belül sorra kerül, a kockázatosabb területek gyakrabban. Integrált rendszernél egy éves audit, egy-két nap, minden szabványra.
3. Auditterv auditonként. Kritériumok, hatókör, időpont, módszer (távoli, helyszíni, mintavétel), a megvizsgálandó bizonyítékok.
4. Lefolytatás. Interjú a tulajdonossal, dokumentáció és nyilvántartás áttekintése, mintavétel (például három véletlen PR, két tréning, egy alvállalkozó, egy incidens), a technikai kontrollok megtekintése (a repó beállításai, a felhőfiókok MFA állapota).
5. Jelentés. Megállapítások (nem megfelelőség, megfigyelés, fejlesztési lehetőség), bizonyítékkal és klauzulahivatkozással.
6. Lezárás. Helyesbítő intézkedés a nem megfelelőség és helyesbítés nyilvántartás szerint, hatásosság ellenőrzés.

Kiegészítő gyakorlat egy AI asszisztenssel futtatott audit szimuláció (ISO megfelelés és audit, 13.4 pont), amely az auditor előtt önellenőrzésként szolgál. A független belső auditot nem helyettesíti, mert az eszköz a cég eszköze, és a cég nevében dolgozik.

5.7 Összeférhetetlenség, amit kezelni kell

6. Az egyszemélyes cég problémái és megoldásaik

Az irányítási rendszer szabványok nem írnak elő minimális létszámot, és a tanúsítók rendszeresen tanúsítanak egyéni vállalkozókat. Auditon azt vizsgálják, hogy a követelmény célja teljesül-e a szervezet méretéhez illő módon. A gondot azok a követelmények okozzák, amelyek szétválasztást, függetlenséget vagy több ember közötti kommunikációt feltételeznek.

A tanúsító auditor jellemzően két dolgot kérdez egy egyszemélyes cégnél. Hogyan biztosított a függetlenség a belső auditban, és mi történik, ha a tulajdonos kiesik. Erre a két kérdésre kész válasz kell, írásban.

7. Ütemterv, sorrend és költség

7.1 Melyik éri meg és melyik nem, őszintén

A legnagyobb hiba egy kis cégnél a tanúsítványgyűjtés. Minden tanúsítvány évente felügyeleti auditot, belső auditot, vezetőségi átvizsgálást és bizonyítékgyűjtést jelent. Egy rosszul fenntartott tanúsítvány (lejárt kockázatértékelés, el nem végzett belső audit) felügyeleti auditon súlyos nem megfelelőséghez, végső esetben felfüggesztéshez vezet, ami rosszabb, mint ha nem lenne. A reális cél egy egyszemélyes cégnél a 27001, a 42001 és a 9001 tanúsítása, a többi szabvány követelményeinek dokumentált teljesítése tanúsítás nélkül, és újabb tanúsítás csak akkor, ha egy konkrét ügyfél vagy tender megtérülést igazol.

7.2 Hullámok

Nulladik lépés (1-2 hónap). IMS váz a 8.2 pontban felsorolt dokumentumkészletből. Hatókör, érdekelt felek, integrált politika, közös kockázati módszer és regiszter, kötelezettségregiszter, kompetencia, dokumentum nyilvántartás. Ide tartozik a governance nyilatkozat, a kockázatétvágy és a döntési jogkörmátrix is. Ez minden későbbi tanúsításnak közös alapja, és tanúsítás nélkül is azonnal használható ügyfélkérdőívre.

Első hullám (6-9 hónap). 27001, 42001, 9001 integráltan. A 27001 és a 42001 kontrolljai, az SoA, az AI hatásvizsgálat, a 9001 folyamatleírásai és a tervezési, fejlesztési nyom. Legalább három hónap működési nyom, egy független belső audit, egy vezetőségi átvizsgálás, Stage 1 és Stage 2 egy tanúsítóval, integrált audittal. Ha a 9001 nem kell azonnal, kihagyható, és az első felügyeleti auditnál bevonható.

Második hullám (az első tanúsítás után 6-12 hónappal, igény esetén). 14001, 45001, esetleg 27701. A környezeti aspektusok és a munkavédelmi kockázatértékelés az első hullámban is elkészül tanúsítás nélkül, így a második hullámban főleg a működési nyom, a megfelelési kötelezettségek értékelése és a kiterjesztett audit a feladat. Erre a tanúsító a felügyeleti auditot kiterjesztheti, és összehangolhatja a ciklusokat.

Harmadik hullám (igény szerint). 21001 vagy 29993, 22301, 20000-1, 37001, 37301. Mindegyik csak konkrét üzleti igény esetén. A 22301 és a 37001 kontrolljai az első hullámban részben elkészülnek, a 21001 vagy 29993 a tréningbevétel arányától függ.

7.3 Becsült erőforrás és nagyságrendi költség

A számok nagyságrendi becslések 2026-ra, ellenőrizetlenek, ajánlat nélkül nem tervezhetők. Erősen függnek a tanúsítótól, a hatókörtől, a távoli audit arányától és attól, mennyi saját munkát visz a tulajdonos.

A költség megtérülését egy konkrét ügyfél vagy tender igazolja. A becslés egyszerű. Ha a 27001 és 42001 tanúsítvány egy év alatt egyetlen nagyvállalati vagy közbeszerzési megbízást hoz, amely egyébként elérhetetlen lenne, a tanúsítás jellemzően megtérült. Amíg ilyen igény nincs a pipeline-ban, a dokumentált megfelelés tanúsítás nélkül is elég lehet, és a tanúsítás egy évvel elhalasztható.

7.4 Az átállási határidők hatása az ütemezésre

• 9001. A 2026 végén induló tanúsítás közvetlenül a 2026-os kiadásra történjen. A 2015-ös kiadás szerinti első tanúsítás értelmetlen, mert három éven belül átállás kell.
• 14001. Ugyanígy, a 2026-os kiadásra.
• 45001. A revízió 2027-ben várható. Ha a második hullám 2027 második felére esik, érdemes megvárni az új kiadást, vagy a 2018-as kiadásra tanúsítani és az átállást a ciklusba tervezni.
• 37001. Csak a 2025-ös kiadásra lehetséges első tanúsítás.
• 21001. A 2025-ös kiadásra.
• 27001, 42001. A jelenlegi kiadásokra, az ISO megfelelés és audit és az AI ISO szabványok kézikönyvben jelzett állapottal.

8. A gyakorlatban

8.1 Szabályok

1. Egy IMS, nem kilenc rendszer. Ha bármelyik irányítási rendszer szabványhoz új dokumentum kell, a csapat a közös IMS dokumentumot frissíti, és csak a szabványspecifikus többlet kerül külön fájlba. Párhuzamos kockázatregiszter, politika vagy auditprogram nem készül.
2. Állandó dokumentumforma. Az IMS dokumentumai egy rögzített sablonkészletből indulnak (a 2.5 pontban leírt ims/ mappaszerkezetben), és a szerkezetük évről évre változatlan marad, hogy az auditor minden évben ugyanazt a formát lássa.
3. Szabványcímke minden soron. Minden kockázat, cél, kötelezettség és nem megfelelőség sorában szerepel, mely szabványhoz tartozik (Q, E, OHS, IS, PIMS, AI, AB, C, BC, ITSM, EDU).
4. Verzió és határidő csak forrásból. Tanúsítási döntés előtt a kiadást és az átállási dátumot az 1. szakasz táblázatát frissítve, aktuális forrásból (iso.org, iaf.nu, a tanúsító) ellenőrizzük, az ellenőrizetlen adatot jelöljük.
5. Jogi kérdést nem a csapat dönt el. A magyar jogszabályi kapcsolódást kontrollra fordítjuk, és ha a hatály bizonytalan (munkavédelmi kötelezettség egyéni vállalkozóként, felnőttképzési besorolás, panasztörvény, EPR), a tétel jogászi ellenőrzésre váró állapottal kerül a kötelezettségregiszterbe.
6. A függetlenség nem helyettesíthető. Az AI asszisztenssel futtatott audit szimuláció önellenőrzés. A HS 9.2 szerinti belső auditot független személy végzi el.
7. Őszinte üzleti értékelés. Újabb tanúsítás tervezésekor a 7.1 tábla alapján megnevezzük, melyik ügyfél vagy tender kéri, és számba vesszük a fenntartási terhet.
8. Szoftverprojektben a governance a projekt része. Új ügyfélprojekt indításakor a projekt indító dokumentumába bekerül a döntési jogkörmátrix (4.8) és az adat governance négy döntése (4.3), a projekt kockázatai pedig a közös regiszter formátumában szerepelnek.
9. Bizonyíték a munka melléktermékeként. Minden olyan munkánál, amely IMS bizonyítékot termel (tréning értékelés, projekt átadás, alvállalkozói értékelés, incidens, változás), a bejegyzés azonnal a megfelelő nyilvántartásba kerül.
10. Nyelv és stílus. Az IMS dokumentumok magyarul készülnek, a hivatalos szabványcímek angolul maradnak, és a tanúsítvány hatóköre kétnyelvű.

8.2 A dokumentumok és a szabványok kapcsolata

A klauzulaszámok a jelenlegi kiadások szerint tájékoztató jellegűek, a 9001:2026 és a 14001:2026 számozását a megvásárolt szövegben kell ellenőrizni.

8.3 Visszatérő munkafolyamatok

• IMS indítás. Az alapadatok (tevékenységek, helyszínek, alvállalkozók, ügyféltípusok, célzott tanúsítások) összegyűjtése után a hatókör, az érdekelt felek, a politika, a kockázat, a kötelezettség és a szerepek dokumentuma vázlat állapotban készül el, a tulajdonos jóváhagyására. Ezt a lépést egy AI asszisztens is jól támogatja, a jóváhagyás viszont emberi döntés marad.
• Negyedéves IMS kör. Kockázatregiszter felülvizsgálat, kötelezettségregiszter frissítés (jogszabályfigyelés), célok mérése, a havi bizonyítékcsomagok ellenőrzése, a nyitott helyesbítő intézkedések állapota. Kimenete egy rövid negyedéves jelentés, amely a vezetőségi átvizsgálás bemenete.
• Vezetőségi átvizsgálás előkészítése. Szabványonként összegyűjtjük a kötelező bemeneteket (az előző átvizsgálás intézkedései, belső és külső változások, teljesítmény, auditeredmények, ügyfél és érdekelt fél visszajelzés, kockázatok, erőforrás, fejlesztési lehetőségek, a szabványspecifikus bemenetek a 2.3 mátrixból), és a jegyzőkönyv vázlatában a döntések helye üresen marad.
• Belső audit előkészítése a független auditornak. Bizonyítékjegyzék, mintavételi lista, a korábbi megállapítások lezárásának állapota.
• Tender és beszállítói kérdőív. A kérdőív kérdéseit a tanúsítványokhoz, a dokumentált gyakorlathoz és a hiányokhoz rendeljük, és jelöljük, ahol a válasz csak tanúsítás nélküli megfelelés.
• Tanúsító kiválasztása. Elkészül az ajánlatkérő levél (szabványok, kiadások, létszám, helyszínek, távoli audit igény, integrált audit kérése az IAF MD 11 szerint, nyelv), és az 5.4 pont ellenőrzési lépései lefutnak minden jelöltre.

8.4 Amit minden érintett helyzetben kimondunk

• Tanúsítási célnál rögzítjük, hogy a tanúsítvány a szervezet irányítási rendszeréé, és hogy a 26000, 31000, 37000, 38500, 27014, 37002 és 10002 nem tanúsítható.
• Közeli átállási határidőt (a 37001:2016 tanúsítványoknál 2027. február 28.) mindig jelzünk.
• Ha a belső auditor, a tanácsadó és a tanúsító szerepe összecsúszik, az összeférhetetlenséget nevesítjük.
• Gyanús ár vagy ígéret esetén (garantált tanúsítás, akkreditáció nélküli tanúsító, tanácsadás és tanúsítás egy kézben) figyelmeztetünk, és az 5.4 pont szerinti ellenőrzést javasoljuk.
• A jogszabályi hatályt jogász, a munkavédelmi kötelezettséget munkavédelmi szakember, a tanúsítási részleteket a tanúsító erősíti meg.

Források

A szabványok szövegét nem másoltuk, a követelmények lényege saját megfogalmazás. Az állapotadatok a következő nyilvános forrásokból származnak (ellenőrzés 2026. október 20.), audit előtt frissíteni kell őket.

• ISO hírközlemény a 9001:2026 megjelenéséről, iso.org/news/2026/09/ISO9001-2026, és a DNV és SGS átállási tájékoztatói (hároméves átállás, 2029 szeptember).
• DEKRA, DNV, Amtivo és BSI tájékoztatók az ISO 14001:2026 megjelenéséről (2026. április 15.) és változásairól.
• DNV, LRQA és SQS tájékoztatók az ISO 45001 revíziójáról (DIS szavazás 2026. június 16. és szeptember 8. között, megjelenés 2027-re várható).
• IAF MD 30:2025, UKAS, SCC és DQS tájékoztatók az ISO 37001:2025 átállásáról (2027. február 28.).
• CQI és IRCA összefoglaló, Austrian Standards adatlap az ISO 19011:2026 megjelenéséről (2026. május 27.).
• TÜV Austria Hellas, SQS és AFNOR adatlapok az ISO 21001:2025-ről.
• ISO/IEC JTC 1/SC 40 közleménye az ISO/IEC 38500:2024-ről.
• UKAS közlemény az ISO/IEC 17021-1 megerősítéséről.
• Az ISO katalógus és nemzeti szabványügyi adatlapok a 30401 Amd 2:2024, 37301 Amd 1:2024, 22301 Amd 1:2024 és 45001 Amd 1:2024 módosításokról.
• A 2023. évi XXV. törvény ötven munkavállalós küszöbéről szóló hazai szakmai összefoglalók (Deloitte, KPMG, adózóna).

A 2026 októberi állapot szerint a következő pontok ellenőrizendők, döntés előtt friss forrásból érdemes megerősíteni őket.

• Az ISO/IEC 20000-1 esetleges revíziója.
• Az ISO 45001 DIS szavazásának eredménye és a megjelenés dátuma.
• Az ISO 21001:2025 átállásának végdátuma.
• Az ISO 29993 akkreditált tanúsítási sémája Magyarországon.
• Az IAF MD 11 szerinti integrált auditidő csökkentés mértéke.
• Az auditnapok és a napidíjak.
• A felnőttképzési törvény alkalmazása céges tréningekre.
• A munkavédelmi kötelezettségek terjedelme alkalmazott nélküli egyéni vállalkozónál.

Állapot 2026 októberében. A szöveg szakmai összefoglaló, nem jogi tanácsadás, a szabványok és jogszabályok aktuális szövegét a kiadótól érdemes ellenőrizni.