Audyt QA w sektorze regulowanym: co pokazuje case PKO BP

Audyt procesów QA w banku wygląda inaczej niż w software housie, i to nie dlatego, że bankowość jest bardziej wymagająca technicznie. Różnica leży gdzie indziej: w banku audyt musi odpowiedzieć nie tylko na pytanie „czy proces jakości działa”, ale też „czy potraficie to udowodnić komuś z zewnątrz, kto przyjdzie to sprawdzić”. Ten artykuł pokazuje, czym różni się audyt QA w sektorze regulowanym od audytu w zwykłej firmie produktowej, na przykładzie współpracy z PKO BP.

Jeśli szukacie ogólnego opisu, co wchodzi w zakres audytu procesów QA, jak wygląda krok po kroku i ile to kosztuje niezależnie od branży, mamy osobny artykuł z pełnym przebiegiem audytu. Tu skupiamy się na tym, co zmienia się konkretnie, gdy klientem jest instytucja finansowa.

Dlaczego audyt w banku to inna gra niż audyt w software housie

W firmie produktowej audyt QA odpowiada głównie przed zarządem i klientami: czy jakość jest wystarczająca, żeby produkt się sprzedawał i nie generował kosztownych awarii. W banku dochodzi trzeci odbiorca, którego software house zwykle nie ma: nadzorca regulacyjny. Instytucje finansowe w Polsce działają pod nadzorem Komisji Nadzoru Finansowego, która obejmuje też sposób zarządzania ryzykiem operacyjnym i jakością systemów IT. To nie zmienia samej metodyki testowania, ale zmienia to, czego audyt musi dopilnować dodatkowo: śladu dokumentacyjnego, powtarzalności decyzji i możliwości wykazania, że proces działał tak samo trzy miesiące temu jak dziś.

Ta presja nie jest teoretyczna. Według raportu ENISA Threat Landscape: Finance Sector z 2025 roku w europejskim sektorze finansowym odnotowano 488 publicznie zgłoszonych incydentów cyberbezpieczeństwa między styczniem 2023 a czerwcem 2024, a 46 procent z nich celowało w banki. Ten sam raport ENISA pokazuje, że 58 procent ataków DDoS w sektorze uderzało właśnie w banki, więc nadzorca ma powody, żeby pytać nie tylko o to, czy testujecie, ale czy umiecie to udokumentować.

Praktyczny skutek: audyt w banku rzadko kończy się na diagnozie procesu testowego. Obejmuje też to, czy organizacja potrafi odtworzyć decyzję o wydaniu sprzed pół roku, kto ją podjął i na jakiej podstawie. W software housie taki wymóg pojawia się rzadko, chyba że firma sama sprzedaje do klientów regulowanych i przejmuje część ich obowiązków dowodowych.

Które przepisy stoją za audytem QA w instytucji finansowej

Audyt QA w banku rzadko jest inicjatywą samego działu jakości. Zwykle stoi za nim konkretny przepis, a od tego, który to przepis, zależy zakres pracy i to, komu trzeba pokazać wynik. Rozporządzenie DORA, stosowane bezpośrednio we wszystkich państwach Unii od 17 stycznia 2025 roku, wymaga od podmiotów finansowych prowadzenia programu testowania operacyjnej odporności cyfrowej i przeprowadzania testów przez niezależne strony, wewnętrzne albo zewnętrzne, bez konfliktu interesów. Systemy wspierające funkcje krytyczne testuje się co najmniej raz w roku, a podmioty wskazane przez nadzór przechodzą dodatkowo testy penetracyjne ukierunkowane przez analizę zagrożeń, nie rzadziej niż raz na trzy lata.

Drugie źródło to Rekomendacja D Komisji Nadzoru Finansowego, która nie mówi o zewnętrznych testerach, tylko o rozdziale ról: oddzieleniu funkcji tworzenia i modyfikowania systemów od ich testowania oraz o metodyce testowania zapewniającej możliwie wysoki stopień niezależności weryfikacji. Trzecie, jeśli instytucja jest podmiotem kluczowym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, to audyt bezpieczeństwa systemów informacyjnych co najmniej raz na trzy lata, przeprowadzany przez akredytowaną jednostkę oceniającą zgodność albo audytorów z wymaganymi kwalifikacjami, z wyłączeniem osób, które w ostatnim roku realizowały w tym podmiocie zadania z zakresu cyberbezpieczeństwa.

Dla zamawiającego audyt płynie z tego jeden praktyczny wniosek: warto wiedzieć, który z tych reżimów was obejmuje, zanim ustalicie zakres. Audyt zamawiany pod Rekomendację D sprawdza przede wszystkim rozdział ról i ślad decyzji, audyt pod DORA dokłada program testów i ich cykliczność, a audyt pod ustawę o KSC stawia dodatkowe wymagania samemu wykonawcy. Różnice między tymi reżimami rozpisaliśmy szczegółowo w artykule o tym, co naprawdę sprawdza kontroler, zanim podpiszecie umowę na audyt niezależny, na Strefie QA. To opis wymogów, nie porada prawna: zakres obowiązków dla konkretnej instytucji potwierdza jej dział compliance albo prawnik.

Co dodatkowo sprawdza audyt QA w instytucji finansowej

Pięć obszarów z ogólnego audytu QA (procesy, odpowiedzialności, komunikacja, kryteria release, kontrola ryzyka) zostaje, ale w banku dochodzą dwa kolejne, które w zwykłej firmie produktowej rzadko są formalnym punktem audytu.

Żaden z tych czterech punktów nie unieważnia pięciu obszarów ogólnego audytu QA, tylko je zaostrza. Kryteria release, które w zwykłej firmie mogą być nieformalne, w banku muszą być spisane i egzekwowane bez wyjątków, bo przy kontroli zewnętrznej „zwykle tak robimy” nie jest odpowiedzią, jaką przyjmuje nadzorca.

Case PKO BP: audyt jako punkt wyjścia do strategii, nie jednorazowy raport

Świadomie nie podajemy tu procentów ani liczb efektu, bo klient ich nie potwierdził, a my nie zmyślamy wyników. To, co ten case pokazuje najwyraźniej, to kolejność: audyt był punktem wyjścia do strategii jakości dla całej organizacji, nie osobnym, zamkniętym zleceniem. Z naszego doświadczenia w projektach dla sektora regulowanego wynika prosta zasada: w instytucji wielkości banku audyt bez decyzji, co dalej, jest diagnozą bez leczenia, a przy tej skali koszt braku decyzji jest wyższy niż w mniejszej firmie, bo dotyczy więcej zespołów naraz.

Kolejność miała też praktyczne znaczenie dla tempa. Strategia jakości oparta na wynikach audytu, a nie na ogólnych założeniach, pozwoliła priorytetyzować szkolenia i warsztaty tam, gdzie audyt pokazał największą lukę, zamiast szkolić wszystkie zespoły tym samym programem niezależnie od ich realnego punktu startu. Ten sam mechanizm działa poza bankowością: w projekcie dla Argos uporządkowanie procesów QA i automatyzacja skróciły regresję przed wydaniem z 5 dni do 10 godzin.

Ile trwa i ile kosztuje audyt w organizacji wielkości banku

Audyt jednego zespołu albo produktu trwa typowo dwa do trzech tygodni kalendarzowych. Audyt całej organizacji finansowej z wieloma zespołami i produktami to inna skala: zwykle od czterech do sześciu tygodni, bo liczba wywiadów rośnie, a wnioski trzeba zestawić między zespołami, żeby zobaczyć, gdzie te same problemy powtarzają się w kilku miejscach naraz. Case PKO BP dotyczył całej organizacji, więc czas i zakres były odpowiednio większe niż przy jednym projekcie czy produkcie.

Według cennika usług Quality Island z sierpnia 2026 audyt jednego zespołu zaczyna się od 15 500 zł, a audyt wielozespołowy od 23 000 zł. Organizacja wielkości banku niemal zawsze ląduje w ostatniej kategorii, bo liczba produktów, zespołów i lokalizacji sprawia, że wycena „z cennika” byłaby albo zaniżona, albo nieuczciwie zawyżona na wyrost. Praktyczna wskazówka: im dokładniej opiszecie, ile zespołów i systemów ma objąć audyt, tym szybciej i trafniej dostaniecie realną wycenę, zamiast szacunku „na oko” zakładającego najgorszy scenariusz zakresu.

Jak przygotować organizację do audytu, żeby nie wydłużać go bez potrzeby

W naszych projektach audytowych widzimy to regularnie: audyt QA w sektorze regulowanym wydłuża się najczęściej nie przez samą metodykę, tylko przez to, jak organizacja jest do niego przygotowana. Trzy rzeczy, zrobione przed pierwszym wywiadem, realnie skracają czas audytu, bo audytor nie traci go na odtwarzanie podstaw, które organizacja i tak zna. Dokumentacja testowa przypomina trochę gaśnicę: latami nikt na nią nie patrzy, a potem cały bank chce ją mieć w ręku w tej samej minucie.

• Skompletujcie dokumentację, która już istnieje. Strategie testowe, plany testów, raporty z ostatnich incydentów, konfigurację CI/CD, choćby niepełne i nieaktualne. Audytor i tak je poprosi jako pierwsze, a ich brak na starcie oznacza tydzień stracony na samo zebranie materiału.
• Wyznaczcie jedną osobę odpowiedzialną za koordynację wywiadów. W organizacji wielkości banku wywiady dotyczą kilkunastu, czasem kilkudziesięciu osób z różnych zespołów. Bez jednego koordynatora, który układa kalendarz, ten etap potrafi się rozciągnąć z dwóch tygodni na miesiąc, tylko przez logistykę spotkań.
• Powiedzcie zespołowi wprost, że audyt ocenia proces, nie ludzi. Zespoły, które słyszą o audycie jako o kontroli, odpowiadają na wywiadach obronnie, co wydłuża czas potrzebny na dotarcie do rzeczywistego obrazu procesu. Ta jedna rozmowa przed startem audytu bywa tańsza niż dodatkowy tydzień wywiadów weryfikacyjnych.

Żadna z tych trzech rzeczy nie skraca samego zakresu audytu ani nie obniża jego rzetelności. Skracają wyłącznie czas potrzebny na dotarcie do materiału, który i tak trzeba przejrzeć, więc to jest czysta oszczędność, nie kompromis jakości diagnozy. W przypadku PKO BP koordynacja wywiadów po stronie klienta była jednym z powodów, dla których audyt całej organizacji zmieścił się w typowym przedziale czasowym dla tej skali projektu, mimo liczby zaangażowanych zespołów.

Nasza perspektywa: co audyt w sektorze regulowanym uczy każdą firmę, nie tylko banki

Co to oznacza praktycznie dla waszej firmy

Zanim zamówicie audyt pod kątem sektora regulowanego, warto odpowiedzieć sobie na trzy pytania. Pierwsze: czy macie dziś jakikolwiek ślad dokumentacyjny decyzji o wydaniu, czy wiedza o tym, dlaczego wersja poszła na produkcję, siedzi wyłącznie w pamięci konkretnych osób. Drugie: czy ścieżki krytyczne dla klienta (płatności, autoryzacja, dane wrażliwe) mają dziś niezależną weryfikację, czy zatwierdza je ten sam zespół, który je zbudował. Trzecie: czy wasz plan testów w ogóle uwzględnia scenariusze awarii systemów krytycznych, czy tylko działanie w warunkach normalnych.

Jeśli na któreś z tych pytań odpowiedź brzmi „nie wiem” albo „raczej nie”, to sygnał, że warto zacząć rozmowę o audycie, zanim zrobi to za was kontrola zewnętrzna albo poważny incydent.

Powiązane na blogu Quality Island

• Audyt procesów QA: zakres, przebieg, ile to kosztuje
• Jak skrócić testy regresyjne z 5 dni do 10 godzin: case Argos
• „Wasze oprogramowanie jest zbyt specyficzne”: dlaczego to obiekcja, nie fakt

Pogłębiony materiał o tym, po czym poznać, że dostawca oprogramowania stracił kontrolę nad jakością, w tym te same dane z case Argos: 10 oznak braku kontroli przez Twojego dostawcę software’u na StrefieQA.

Pełna lista źródeł

• ENISA, Threat Landscape: Finance Sector, 2025, enisa.europa.eu. Stąd liczba 488 incydentów w europejskim sektorze finansowym, udział banków 46 procent i 58 procent ataków DDoS wymierzonych w banki
• Consortium for Information and Software Quality (CISQ), The Cost of Poor Software Quality in the US: A 2022 Report, 2022, it-cisq.org. Stąd koszt złej jakości oprogramowania 2,41 biliona dolarów i dług techniczny około 1,52 biliona dolarów
• EIOPA, Digital Operational Resilience Act (DORA), rozporządzenie 2022/2554, 2022, eiopa.europa.eu. Stąd potwierdzenie stosowania DORA od 17 stycznia 2025 i wymogu programu testowania operacyjnej odporności cyfrowej
• Komisja Nadzoru Finansowego, Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach, 2013, knf.gov.pl. Stąd wymóg rozdziału ról i niezależności weryfikacji testów
• Case study klienta Quality Island, sektor bankowy (PKO BP), zakres prac potwierdzony przez klienta, 2026. Stąd opis zakresu prac: strategia jakości, audyt procesów QA, szkolenia i warsztaty
• Cennik usług Quality Island, sierpień 2026. Stąd ceny audytów i konsultacji