U savremenom poslovnom okruženju, gdje se podaci smatraju jednim od najvrijednijih poslovnih resursa, pitanja standardizacije procesa, informacione sigurnosti i usklađenosti sa zakonodavnim okvirima više nisu izbor, već potreba.
ISO standardi, GDPR, sigurnost podataka – riječi koje su u poslovnom svijetu odavno postale dio svakodnevnog rječnika. Ali pitanje koje rijetko dobije iskren odgovor glasi: koliko se sve to zaista živi u kompanijama, a koliko ostaje na papiru?
U Kodeksu, ovi principi nisu formalni zahtjev niti “slovo na papiru”, nego dio svakodnevnog načina poslovanja. Kroz implementaciju ISO standarda, jasno definisane procedure i kontinuirano unapređenje sistema, Kodeks gradi organizaciju koja je stabilna, sigurna i spremna na sve kompleksnije zahtjeve tržišta. Pritom, zaštita podataka ovdje ne znači samo usklađenost sa Zakonom o zaštiti ličnih podataka – znači zaštitu svega što ima vrijednost: poslovnih, tehničkih i operativnih informacija koje su osnova svakog sistema.
U ovom razgovoru, kroz iskustva Mirele Čeljo (Head of Business Operations and HR u Kodeksu) i Mirele Ćato (direktorica GO Ahead), pričamo o tome kako se standardi uvode u praksu, šta znači njihova stvarna primjena – i zašto zaštita podataka odavno nije samo pravna obaveza.
Njihova iskustva, iznesena u nastavku, govore o tome bolje nego bilo koja statistika.
Mirela Čeljo, Kodeks
Pitanje 1: Kako je izgledao Kodeks prije ISO standarda – i koji je bio trenutak kad ste shvatili da bez toga više ne možete?
Prije uvođenja ISO standarda, Kodeks je funkcionisao kao većina rastućih IT kompanija, procesi su postojali, ali su bili neformalni, uglavnom preneseni kroz iskustvo i usmenu komunikaciju. Svako je radio po svom najboljem nahođenju, što je u manjim timovima funkcionisalo. Međutim, kako je kompanija rasla, počeli su se javljati izazovi poput neusklađenosti u načinu rada, različita tumačenja odgovornosti, nedostatak dokumentovanih procedura.
Trenutak kada smo shvatili da bez standardizacije više ne možemo bio je kada smo počeli raditi s većim klijentima koji su tražili dokaze o kvalitetu naših procesa i sigurnosti informacija. Tada je postalo jasno da nije dovoljno znati da radimo dobro, moramo to i moći dokazati, na strukturiran i međunarodno priznat način. ISO 9001 je bio logičan prvi korak.
Pitanje 2: Procedure su jedna stvar na papiru, a sasvim druga u svakodnevnom radu. Šta vam je najteže palo u tom prelazu – i sjećate li se trenutka kad ste osjetili da sistem više ne morate “gurati”, nego da on sam diše?
Najteži dio nije bilo pisanje procedura, to je zapravo bila i najlakša faza. Pravi izazov bio je promjena načina razmišljanja kod ljudi. Uvjeriti tim da procedure nisu birokratska prepreka nego alat koji olakšava svakodnevni rad zahtijevalo je strpljenje, komunikaciju i iskreno, mnogo primjera iz prakse.
Posebno se sjećam perioda uvođenja ISO 27001 u 2021. godini, kada smo radili na politikama informacijske sigurnosti. Tada je bilo i otpora i skepticizma. No, s vremenom, kada smo imali prvi realni sigurnosni incident koji smo riješili brzo i strukturirano upravo zahvaljujući definisanim procedurama, tim je sam osjetio razliku. To je bio trenutak kada je sistem počeo “disati” sam od sebe i kada su kolege same počele pitati “imamo li proceduru za ovo?” umjesto da čekaju da im kažemo šta da rade.
Pitanje 3: Kad se priča o zaštiti podataka, najčešće se misli samo na lične podatke i GDPR. Kako vi to gledate u Kodeksu – gdje su granice tog pojma, i kako se isti pristup prenosi i na rješenja koja gradite kod klijenata?
U Kodeksu smo od samog početka imali širi pogled na zaštitu podataka od pukog usklađivanja s GDPR-om. Zaštita podataka za nas znači zaštitu povjerljivosti, integriteta i dostupnosti svih informacija, i internih i onih koje nam klijenti povjeravaju. ISO 27001 nam je dao okvir za upravljanje informacijskom sigurnošću, a uvođenjem ISO 27701 u 2025. godini proširili smo taj okvir specifično na upravljanje privatnošću, što je prirodna nadgradnja.
Granice tog pojma za nas su jasne: štitimo sve što ima vrijednost, poslovne podatke, tehničku dokumentaciju, podatke o klijentima, interne procese. Certifikacija interne osobe za zaštitu ličnih podataka i GDPR bila je logičan korak kako bismo odgovorili i na zakonske zahtjeve na državnom nivou, ali i kako bismo klijentima mogli ponuditi konkretnu stručnost, a ne samo usklađenost.
Kada gradimo rješenja za klijente, isti princip prenosimo dalje. Sigurnost i privatnost nisu “add-on” na kraju projekta, nego su ugrađene od samog početka, tzv. “Privacy by design” i “security by design” pristup.
Pitanje 4: Nedavne izmjene Zakona o zaštiti ličnih podataka donijele su novi talas pitanja u poslovnom svijetu. Kako to izgleda iz pozicije kompanije koja taj sistem već ima izgrađen?
Iz naše pozicije, izmjene Zakona o zaštiti ličnih podataka nisu bile šok niti nešto što je izazvalo paniku jer smo sistem gradili godinama i svaki novi zahtjev je za nas uglavnom prilagodba, a ne izgradnja od nule. To je, iskreno, jedna od najvećih vrijednosti sistemskog pristupa: kada imate izgrađenu infrastrukturu usklađenosti, nove zakonske obaveze ne znače haos, nego redovni “update” sistema.
Međutim, ono što vidimo u poslovnom okruženju jeste da mnoge kompanije tek sada, pod pritiskom zakonskih izmjena, počinju shvaćati koliko je važno imati strukturiran pristup zaštiti podataka. I tu Kodeks može pomoći, ne samo kao kompanija koja je prošla taj put, nego i kao partner koji razumije i tehničku i procesnu i zakonsku stranu problema. Naša preporuka uvijek je ista: ne čekajte na zakon, izgradite sistem koji će vas zaštititi i prije nego što zakon postane obavezan.
Kroz prethodne projekte i saradnje, Kodeks je imao priliku raditi sa profesionalcima koji danas aktivno oblikuju oblast usklađenosti, standardizacije i zaštite podataka. Jedna od njih je i Mirela Ćato, s kojom se poslovni putevi Kodeksa ukrštaju još kroz ranije profesionalne angažmane i zajednički rad na uspostavljanju poslovnih procesa i sistema.
Danas, kao direktorica GO Ahead-a, pomaže drugim organizacijama da svoje poslovanje usklade sa zakonskim zahtjevima i najboljim praksama. Ono što je nekada bila saradnja između partnera i klijenta, danas je razgovor dvije strane koje na različite načine grade kulturu odgovornog poslovanja.
Mirela Ćato, GO Ahead
Pitanje 5: Vi ste svoje prve standarde postavljali zajedno sa Kodeksom – u trenutku kad su temelji tadašnje firme tek pravljeni. Kako se sjećate tog perioda i koliko vas je to iskustvo oblikovalo kao konsultanticu danas?
Kompanija koju sam tada vodila bila je u fazi izgradnje prvih standarda IT sigurnosti. Upravo kroz saradnju s Kodeksom prvi put sam zaista zaronila u tu oblast, bez luksuza gotovih rješenja, gradeći sve od temelja. Svaka odluka je imala težinu jer znaš da postaje temelj za sve što dolazi poslije. Ono što me je tada zaista obilježilo je svijest o tome koliko je IT sigurnost, posebno u radu s osjetljivim podacima, pitanje odgovornosti prema klijentima, prema zaposlenicima, prema samoj sebi kao direktoru. To nije stvar propisa, to je stvar integriteta.
Pitanje 6: Sada Vi savjetujete druge kompanije kako da urede procese i zaštite podatke. Šta je najčešća zabluda sa kojom dolaze na sastanak – i šta kompanije obično otkriju tek kad zaista zarone u to?
Najčešća zabluda je da je zaštita podataka zadatak za pravnika ili IT odjel, a ne za cijelu kompaniju. Klijenti dolaze misleći da im treba administrativna usklađenost koja će zadovoljiti inspekciju ili partnera koji to traži. A ono što zapravo otkriju jest da zaštita podataka otvara pitanja koja nikad nisu postavili: o procesima, o odgovornostima, o ranjivostima koje su bile tu cijelo vrijeme. Usklađenost nije papir, ona je IT sigurnost, monitoring i kultura, sve zajedno. I upravo tada klijent prestaje tražiti procedure i počinje graditi sistem koji daje sigurnost. Ovo jednako vrijedi i za firmu sa pet zaposlenih i za onu sa sto pedeset. Razlika je samo u obimu, ne u principu.
Pitanje 7: Iz Vašeg iskustva, gdje je stvarna granica između “imati papir” i “imati sistem”? Kako to prepoznajete kad uđete u novu kompaniju?
Granicu prepoznam već u prvom razgovoru. Ako mi direktor kaže “imam sve papire”, to je gotovo uvijek signal da nemaju sistem. Sistem prepoznajem po drugačijim znacima: da li zaposleni znaju kome se obratiti ako primijete incident? Da li postoji procedura ili samo dobra volja? Da li su ugovori s dobavljačima zaista usklađeni ili su prekopirani predlošci? Papir je statičan, sistem je živ. Kompanija koja ima sistem može mi opisati što se dešava s podacima klijenta od trenutka kad ih prikupi do trenutka kad ih uništi. Kad čujem taj odgovor, znam da razgovaramo o sistemu, a ne o papiru.
Iza svakog dobrog sistema stoje ljudi koji u njega vjeruju
Ono što su Mirela Čeljo i Mirela Ćato podijelile u ovom razgovoru teško je svesti na jednu pouku. Kodeks je taj put prošao iznutra, kroz vlastite procedure, standarde i situacije koje su sistem samo učvrstile. Mirela je kao direktor sistem gradila od nule, u trenutku kad je svaka odluka postavljala temelje za sve što dolazi poslije.
Obje priče govore isto. Kompanije koje sistem izgrade prije nego ih okolnosti natjeraju, imaju prednost kad se okolnosti promijene. Nova regulativa, sigurnosni incident ili zahtjevan klijent uvijek dođu. Pitanje je samo da li vas zateknu s izgrađenim sistemom ili bez njega.
Kodeks taj pristup ne čuva samo za interno poslovanje. Isti standardi koji uređuju naše procese postaju polazna tačka u svakom projektu koji radimo s klijentima, bilo da se radi o integraciji sistema, održavanju IT infrastrukture ili zaštiti podataka.
Ako se prepoznajete u pitanju gdje početi, naš tim stoji na raspolaganju za razgovor o tome gdje se vaša kompanija trenutno nalazi.
