ORGANIZACJA I AUTOMATYZACJA PRACY

Jak usprawnić pracę działu ofertowego przy wielu przetargach?

Aktualna dokumentacja, kompletne wyceny, uzgodnienia techniczne i akceptacja ceny muszą spotkać się przed jednym terminem. Jak zorganizować przygotowanie ofert, ograniczyć ponowne ustalenia i świadomie wykorzystać automatyzację?

Stanisław ForowiczOrganizacja pracy wykonawcyokoło 15 minut czytania

Dział ofertowy rzadko pracuje nad jednym postępowaniem od początku do końca bez przerwy. Zwykle jednocześnie zamyka kalkulację do jednej oferty, oczekuje na potwierdzenie parametrów do drugiej, analizuje wyjaśnienia do trzeciej i kompletuje dokumenty do kolejnej. Każda sprawa jest na innym etapie, angażuje inne osoby i ma odrębny zestaw warunków, od których zależy jej zakończenie.

W takim środowisku sprawność nie wynika wyłącznie z tempa przygotowywania dokumentów. Zależy również od tego, czy po powrocie do postępowania można bez dodatkowych ustaleń określić: na jakiej wersji wymagań pracujemy, co zostało potwierdzone, czego jeszcze brakuje i kto powinien wykonać następną czynność. Jeżeli odpowiedź wymaga przeglądania korespondencji i rozmowy z kilkoma osobami, zespół za każdym razem ponownie odtwarza stan sprawy.

Jak usprawnić pracę działu ofertowego w takich warunkach? Poniższe opracowanie dotyczy organizacji pracy wykonawcy od decyzji o udziale do potwierdzenia złożenia oferty. Nie opisuje wyszukiwania przetargów ani metody kalkulowania ceny. Koncentruje się na koordynacji analizy wymagań, pozyskiwania informacji, przygotowania dokumentów i kontroli terminów — oraz na miejscach, w których uzasadnione jest zastosowanie automatyzacji.

Obciążenie działu ofertowego nie wynika wyłącznie z liczby postępowań

Dwie oferty z tym samym terminem złożenia mogą wymagać zupełnie innego nakładu pracy. Powtarzalna dostawa, dla której firma ma aktualne dane produktowe i potwierdzone ceny, nie obciąża zespołu tak samo jak zamówienie podzielone na części, z próbkami, kilkoma dostawcami i koniecznością uzgodnienia zakresu usług dodatkowych. Sama liczba pozycji w rejestrze nie pokazuje tych różnic.

Znaczenie ma przede wszystkim liczba nierozstrzygniętych zależności. Czy kalkulacja czeka na koszt montażu? Czy zaoferowany model spełnia parametr zmieniony w wyjaśnieniach? Czy dostawca potwierdził termin realizacji dla całej ilości, czy jedynie dostępność części asortymentu? Czy osoba akceptująca cenę otrzymała już komplet założeń?

W zestawieniu wszystkie te oferty mogą mieć status „w przygotowaniu”. Organizacyjnie są jednak w różnych sytuacjach. Nad jedną można pracować od razu. Druga wymaga odpowiedzi z zewnątrz. Trzecia jest gotowa do decyzji, ale nie została przekazana do akceptacji. Brak takiego rozróżnienia utrudnia zarówno planowanie dnia specjalisty, jak i ocenę obciążenia całego zespołu.

Przegląd portfela postępowań powinien więc obejmować nie tylko termin i etap, lecz także otwarte kwestie: brakującą informację, oczekiwaną decyzję albo czynność blokującą dalszą pracę. Taki zapis pozwala odróżnić rzeczywisty postęp od samej aktywności wokół sprawy.

Analiza dokumentacji powinna kończyć się planem przygotowania oferty

Po decyzji o udziale dokumentacja trafia do analizy formalnej, technicznej i cenowej. Problem pojawia się wtedy, gdy wyniki tych analiz pozostają w osobnych notatkach, oznaczeniach w PDF i wiadomościach. Poszczególne osoby wiedzą, co ustaliły, ale nie powstaje wspólny obraz tego, co firma musi jeszcze zrobić.

Pomaga zwięzłe zestawienie wymagań i działań. Nie chodzi o przepisywanie specyfikacji warunków zamówienia (SWZ). Warto wyodrębnić przede wszystkim pozycje wymagające przygotowania dokumentu, uzyskania potwierdzenia, podjęcia decyzji lub wykonania czynności w określonym terminie. Przy każdej istotnej pozycji potrzebne są: odniesienie do źródła, oczekiwany rezultat, osoba odpowiedzialna i termin wewnętrzny.

Zapis „uzyskać dokumenty od producenta” jest zbyt ogólny, żeby jednoznacznie ocenić jego wykonanie. Bardziej użyteczne będzie wskazanie, jakiego modelu i części zamówienia dotyczy dokument oraz jaki parametr ma potwierdzać. Przy wycenie usług analogicznie trzeba określić zakres, lokalizacje, założenia dotyczące obsady i elementy wliczone w cenę.

Szczególnej uwagi wymagają zamówienia podzielone na części. Potwierdzenie dostępności produktu dla jednej części nie zamyka tej kwestii w całej ofercie. Akceptacja kalkulacji jednego zakresu nie oznacza zatwierdzenia pozostałych. Informacje wspólne można prowadzić razem, ale ustalenia i braki specyficzne dla części powinny pozostać rozróżnialne.

Warto również oddzielić dokumenty potrzebne do złożenia oferty od materiałów zbieranych na późniejsze etapy. O tym, co jest wymagane i kiedy, rozstrzygają właściwe przepisy oraz dokumentacja danego postępowania. Organizacyjnie istotne jest, aby zbiorcza lista nie sugerowała, że każdy zebrany dokument musi znaleźć się w zestawie wysyłanym wraz z ofertą.

Kontrola terminów przetargów wymaga planowania wstecz

Termin składania ofert wyznacza granicę zewnętrzną. Nie jest jednak wystarczającą podstawą do rozplanowania przygotowań. Przed nim musi nastąpić kontrola zestawu dokumentów, wcześniej ich przygotowanie i podpisanie w wymaganej formie, a jeszcze wcześniej zatwierdzenie ceny oraz zamknięcie uzgodnień technicznych. Kolejność i zakres tych działań zależą od konkretnej oferty.

Jeżeli kalkulacja ma być zatwierdzona w czwartek rano, a koszt podwykonawcy jest do niej niezbędny, termin uzyskania tej wyceny powinien przypadać wcześniej. Przypomnienie o złożeniu oferty w piątek nie rozwiąże opóźnienia, które powstało we wtorek. Podobnie przy próbkach: datą wymagającą zarządzania może być nie tylko termin ich dostarczenia, ale też potwierdzenie modelu, przygotowanie i wysyłka.

Punkt kontroliZależność do zaplanowania wcześniej
Zatwierdzenie cenyKomplet wycen, potwierdzony zakres i dostępność osoby podejmującej decyzję.
Próbki, jeżeli wymaganeWybór właściwego wariantu, przygotowanie oznaczeń, transport i potwierdzenie dostarczenia.
Wadium, jeżeli wymaganeUzgodnienie formy, wykonanie czynności z odpowiednim wyprzedzeniem i sprawdzenie ich wyniku.
Złożenie ofertyAktualny zestaw plików, sprawdzenie podpisów i sposobu reprezentacji, dostęp do platformy oraz czas na reakcję na problem techniczny.

Bufor powinien odpowiadać realnym zależnościom. Kilka godzin może nie wystarczyć na ponowne uzyskanie dokumentu od zagranicznego producenta. Jednocześnie jednakowo duży bufor dla każdej czynności może prowadzić do sytuacji, w której terminy wewnętrzne przestają być traktowane poważnie. Potrzebne są daty możliwe do dotrzymania i powiązane z konkretnym rezultatem.

W rejestrze należy rozróżniać termin składania ofert, datę otwarcia i terminy poszczególnych czynności. Zastąpienie ich jednym polem „termin przetargu” upraszcza widok, ale zaciera znaczenie dat. Priorytet dzisiejszej pracy powinien wynikać z najbliższej czynności, której opóźnienie wpływa na całą ofertę, a nie wyłącznie z kolejności otwarcia postępowań.

Gotowość oferty to wynik kontroli, nie procent wykonanych zadań

Dziewięć zakończonych czynności i jedna otwarta nie oznaczają automatycznie, że oferta jest gotowa w dziewięćdziesięciu procentach. Ostatnią pozycją może być czynność pomocnicza, ale równie dobrze potwierdzenie zgodności oferowanego rozwiązania, akceptacja ceny lub uzyskanie dokumentu niezbędnego przy składaniu oferty.

Wspólne statusy mają sens dopiero wtedy, gdy zespół podobnie rozumie ich znaczenie. „Do wysłania” nie powinno dla jednej osoby oznaczać kompletnego i sprawdzonego zestawu, a dla innej — zakończenia pracy merytorycznej, bez weryfikacji formalnej. Rozbieżność staje się szczególnie istotna, gdy przygotowanie i wysłanie oferty wykonują różne osoby.

Warto ustalić kryteria przekazania do końcowej kontroli: czy zakres i cena są zatwierdzone, czy uwzględniono aktualne wyjaśnienia, czy formularze są właściwe oraz czy zidentyfikowano wszystkie wymagane elementy zestawu do złożenia. Nie musi to oznaczać rozbudowanego obiegu akceptacji. Ważne, aby osoba przejmująca sprawę nie musiała domyślać się zakresu wykonanego sprawdzenia.

Samo umieszczenie plików na platformie również nie powinno być wewnętrznym kryterium zakończenia pracy. Potrzebne jest sprawdzenie, czy wykonano właściwą czynność złożenia, oraz zachowanie dostępnego potwierdzenia. Sposób postępowania zależy od platformy; pomocne są jej aktualne instrukcje, na przykład instrukcje składania ofert w e-Zamówieniach.

Rozdzielenie przygotowania, kontroli i potwierdzenia złożenia pozwala precyzyjnie wskazać, gdzie kończy się odpowiedzialność za dany etap. Ogranicza również ryzyko zmiany statusu na podstawie niepełnej informacji.

Zarządzanie dokumentacją przetargową: istotny jest wpływ zmiany

Wyjaśnienia lub zmiana SWZ mogą pojawić się wtedy, gdy kalkulacja jest już przygotowana, dokumenty od dostawcy zebrane, a formularz cenowy wypełniony. Zapisanie nowego pliku w katalogu nie zamyka obsługi takiej zmiany. Trzeba jeszcze ustalić, które wcześniejsze uzgodnienia i materiały wymagają ponownego sprawdzenia.

Zmiana parametru produktu może oznaczać wybór innego modelu, korektę ceny i wymianę dokumentacji technicznej. Zmiana ilości lub zakresu usługi może wpływać na wycenę podwykonawcy i założenia realizacyjne. Przesunięcie terminu składania nie rozstrzyga samo w sobie, czy trzeba wrócić do uzgodnień dotyczących dostępności, ważności wyceny lub innych powiązanych terminów.

Dobrą praktyką organizacyjną jest krótki zapis skutku zmiany: źródło i data, element oferty, którego dotyczy, działania do ponowienia oraz osoba odpowiedzialna za ich zamknięcie. Dzięki temu zespół nie musi ponownie analizować całego dokumentu, aby ustalić konsekwencje dla swojej części pracy. Taki zapis nie zastępuje źródła, lecz łączy je z przygotowywaną ofertą.

Odrębnej zasady wymaga przechowywanie wersji. Dokumenty źródłowe, pliki robocze i zatwierdzony zestaw do złożenia powinny być rozróżnialne. Nazwa „ostateczny_poprawiony” nie zapewnia kontroli wersji, jeżeli dwie osoby nadal mogą wysłać różne komplety. Przy każdej zmianie po akceptacji musi być jasne, kto ponownie sprawdza wynik.

Możliwość zmiany SWZ oraz jej konsekwencje dla postępowania opisuje m.in. wyjaśnienie Urzędu Zamówień Publicznych. Z punktu widzenia organizacji wykonawcy zasadnicze jest przełożenie aktualnej dokumentacji na aktualny stan przygotowania oferty.

Opóźnienia na styku odpowiedzialności: czego nie pokazuje rejestr

Specjalista ds. przetargów może prowadzić postępowanie poprawnie, a mimo to nie być w stanie go zakończyć. Czeka na koszt realizacji od działu technicznego, potwierdzenie od dostawcy, akceptację marży albo dokument od osoby uprawnionej do reprezentacji. Koordynacja tych zależności jest częścią przygotowania oferty, choć nie zawsze pozostaje widoczna w rejestrze.

Przekazanie prośby powinno obejmować nie tylko pytanie, ale też kontekst potrzebny do udzielenia użytecznej odpowiedzi. Przy wycenie: zakres, część zamówienia, aktualną wersję wymagań, elementy wliczone w cenę i datę, do której odpowiedź jest potrzebna. W przeciwnym razie odpowiedź może nadejść terminowo, lecz nie pozwoli zakończyć kalkulacji.

Otrzymana wycena nie zawsze jest gotowym wkładem do oferty. Może nie obejmować transportu, montażu, wymaganej obsługi serwisowej albo pełnej ilości. Dopiero sprawdzenie jej względem przyjętego zakresu pozwala oznaczyć tę zależność jako zamkniętą. Ten sam mechanizm dotyczy potwierdzeń technicznych: sama odpowiedź producenta nie przesądza, że odnosi się do właściwej wersji parametru.

Warto rozdzielić odpowiedzialność za uzyskanie informacji od uprawnienia do podjęcia decyzji. Osoba prowadząca ofertę może zebrać warianty i wskazać brak, ale nie musi mieć prawa zatwierdzenia odstępstwa cenowego czy ryzyka realizacyjnego. Jeżeli ta granica jest niejasna, sprawa bywa przekazywana między osobami bez faktycznego rozstrzygnięcia.

Przydatnym sprawdzianem jest zastępstwo. Osoba przejmująca postępowanie powinna ustalić aktualny zakres, najbliższy termin, otwarte kwestie i miejsce przechowywania dokumentów bez przeglądania całej historii maili. Nie oznacza to rejestrowania każdej rozmowy. Należy zapisywać przede wszystkim decyzje i ustalenia, które zmieniają dalszą pracę.

Automatyzacja pracy działu ofertowego: mniej obsługi danych, nie mniej kontroli

Pod pojęciem automatyzacji ofertowania mieszczą się różne rozwiązania: kalkulacja, tworzenie dokumentów, analiza treści i organizacja przebiegu pracy. Wybór powinien wynikać z rodzaju obciążenia. Narzędzie usprawniające rejestrację i przypomnienia nie zastąpi systemu kosztorysowego. Generator dokumentów nie rozwiąże problemu braku uzgodnionego zakresu.

W organizacji postępowań automatyzacja ma szczególne uzasadnienie tam, gdzie tę samą informację wpisuje się ponownie. Pobranie dostępnych danych z linku do ogłoszenia może ograniczyć przepisywanie nazwy zamawiającego, numeru lub dat. Warto jednak sprawdzić, jakie pola są rzeczywiście obsługiwane, z jakiego źródła pochodzą i jak użytkownik zatwierdza wynik. Termin składania nie powinien zostać niejawnie uznany za datę otwarcia.

Kolejny obszar to wykorzystanie raz zapisanych informacji w kilku widokach: rejestrze, kalendarzu i zestawieniu spraw według etapu. Korzyść nie polega na posiadaniu kolejnego pulpitu. Polega na tym, że zmiana dokonana przy postępowaniu nie wymaga ręcznego poprawienia kilku niezależnych list.

Powiadomienia powinny być powiązane z rozpoznawalnym obowiązkiem. Komunikat wskazujący postępowanie, rodzaj terminu i czas pozostały do jego upływu jest użyteczniejszy niż ogólne przypomnienie „sprawdź przetarg”. Ważne jest też rozróżnienie terminu zewnętrznego od ustalonej wewnętrznie czynności. Zbyt wiele komunikatów o podobnej wadze osłabia ich przydatność.

Granice automatyzacji trzeba oceniać równie uważnie jak jej możliwości. Import danych nie oznacza monitorowania późniejszych zmian ogłoszenia. Widoczny komplet zadań nie potwierdza zgodności oferty z wymaganiami. Status „złożona” nie zastępuje potwierdzenia z platformy. To odrębne mechanizmy, których nie należy zakładać na podstawie ogólnego opisu systemu.

Dotyczy to również AI. Podsumowanie dokumentacji może ułatwić wstępną orientację, ale ustalenie istotnego wymagania powinno dać się odnieść do konkretnego źródła. Automatyzacja jest wartościowa wtedy, gdy ogranicza pracę powtarzalną i pozwala przeznaczyć więcej uwagi na weryfikację oraz decyzje — nie wtedy, gdy tworzy pozorne poczucie kompletności.

Schemat automatyzacji pracy działu ofertowego pokazujący czynności powtarzalne oraz punkty kontroli człowieka
Automatyzacja pracy działu ofertowego powinna skracać obsługę danych i ułatwiać powrót do właściwej sprawy. Ocena źródła, wpływu zmiany, kompletności zestawu i potwierdzenia złożenia pozostaje punktem kontroli człowieka.

Jak wybrać oprogramowanie dla działu ofertowego i sprawdzić je na rzeczywistym procesie

Arkusz może być dobrym rejestrem, a poczta pozostaje potrzebnym narzędziem współpracy. Przesłanką do zmiany nie jest samo korzystanie z kilku aplikacji. Jest nią powtarzający się koszt uzgadniania, które informacje są aktualne, oraz trudność w zachowaniu kontroli nad zależnościami i terminami.

Wybierając program dla działu ofertowego, warto sprawdzić go na reprezentatywnym postępowaniu, a nie wyłącznie porównywać listy funkcji. Należy przejść przez przyjęcie sprawy, uzupełnienie danych, wprowadzenie zmiany wymagań, uzyskanie wyceny, aktualizację zadania i przekazanie do wysłania. Dopiero taki przebieg pokazuje, ile czynności system rzeczywiście upraszcza.

Podczas sprawdzenia szczególnie przydatne są pytania:

  • Czy po przerwie można jednoznacznie ustalić aktualny etap i brakujące elementy oferty?
  • Czy informacje dotyczące poszczególnych części zamówienia pozostają czytelne?
  • Czy terminy i powiadomienia odpowiadają sposobowi pracy firmy, a nie tylko dacie otwarcia?
  • Czy przejście do dokumentów i strony postępowania jest szybkie, a źródło danych pozostaje dostępne?
  • Czy aktualizacja sprawy jest na tyle prosta, aby zespół rzeczywiście wykonywał ją na bieżąco?

Oprogramowanie dla zespołu ofertowego nie musi przejmować wszystkich narzędzi używanych w firmie. Kalkulacje mogą nadal powstawać w specjalistycznym systemie, dokumenty w edytorze, a oferta być składana na wymaganej platformie. Istotne jest uporządkowanie informacji o stanie pracy i powiązanie jej z właściwymi materiałami.

Trzeba też rozróżnić konfigurację gotowego produktu od budowy oprogramowania na zamówienie. Uzgodnienie etapów, informacji i zasad przypominania może rozwiązać potrzebę bez tworzenia nowego systemu. Jeżeli konieczne są dodatkowe integracje lub nietypowe obiegi, ich zakres, koszt i odpowiedzialność za utrzymanie powinny zostać ustalone oddzielnie.

Usprawnienie warto rozpocząć od ostatniej złożonej oferty

Zamiast projektować od razu nowy proces dla całej firmy, warto przeanalizować jedno zakończone postępowanie. W którym momencie trzeba było ponownie szukać ustaleń? Która odpowiedź dotarła zbyt późno? Co wróciło do poprawy po akceptacji? Kto nie wiedział, że dalsza praca zależy od jego decyzji?

Na tej podstawie można wprowadzić konkretne zasady: wskazywać skutek każdej istotnej zmiany dokumentacji, określać rezultat oczekiwany od dostawcy, wyznaczać termin wewnętrzny przed akceptacją ceny i rozróżniać zestaw roboczy od zatwierdzonego. Dopiero potem warto zdecydować, które z tych zasad utrwalić w programie.

Efekt należy oceniać na jakości przebiegu pracy, nie na liczbie wprowadzonych rekordów. Użytecznymi sygnałami są wcześniejsze wykrywanie braków, mniej ponownych uzgodnień, sprawniejsze zastępstwa oraz mniej zmian w ostatniej chwili wynikających z nieaktualnych informacji. Nie każdą presję terminową da się wyeliminować, ale można ograniczyć tę, którą wytwarza własny sposób organizacji.

Dobrze zorganizowany dział ofertowy nie jest zespołem, w którym nigdy niczego nie brakuje. Jest zespołem, który odpowiednio wcześnie wie, czego brakuje, rozumie wpływ tego braku na ofertę i potrafi doprowadzić sprawę do rozstrzygnięcia. Właśnie temu powinny służyć rejestr, kalendarz, procedury i narzędzia automatyzacji.

Cyberbezpieczeństwo w dziale ofertowym: chronić trzeba nie tylko pliki, ale też możliwość złożenia oferty

Dla wykonawcy incydent nie musi oznaczać spektakularnego wycieku. Wystarczy utrata dostępu do skrzynki, podmieniony załącznik lub niedostępny folder w poranek składania oferty. Zagrożone są jednocześnie poufność kalkulacji, wiarygodność dokumentów i ciągłość pracy. Dlatego bezpieczeństwo powinno być częścią organizacji postępowania, a nie osobnym tematem odkładanym do rozmowy z informatykiem.

Wiadomość pasująca do postępowania nie musi pochodzić od właściwego nadawcy

Numer ogłoszenia i dane zamawiającego bywają publiczne. Ich obecność w wiadomości nie potwierdza jej autentyczności. Prośba o „pilne pobranie poprawionego formularza” może brzmieć wiarygodnie właśnie dlatego, że zespół oczekuje zmian dokumentacji. Szczególnej ostrożności wymagają linki do ponownego logowania, nieoczekiwane archiwa i dokumenty żądające włączenia makr.

Zmianę dokumentacji należy sprawdzić w znanym źródle danego postępowania, otwierając platformę z zapisanego adresu, a nie z podejrzanej wiadomości. Nietypową prośbę dostawcy warto potwierdzić przez wcześniej znany numer telefonu. Sam podpis mailowy, logo czy ciąg wcześniejszej korespondencji nie wystarczają — wiadomość może też pochodzić z przejętej skrzynki. Mechanizm fałszywych stron logowania opisuje CERT Polska w analizie phishingu na pocztę.

Dostęp do kalkulacji nie powinien wynikać z posiadania linku

Warto rozróżnić trzy cele ochrony: poufność, czyli dostęp wyłącznie uprawnionych osób; integralność, czyli zachowanie poprawnej, niezmienionej bez zgody treści; oraz dostępność, czyli możliwość skorzystania z dokumentów wtedy, gdy są potrzebne. W praktyce ofertowej oznacza to odpowiednio ochronę kalkulacji marży, kontrolę zmian w zatwierdzonym formularzu i gotowość do złożenia oferty mimo awarii stanowiska.

Publiczna dokumentacja zamówienia i wewnętrzna kalkulacja marży mają inny charakter. W folderze roboczym mogą znajdować się również warunki podwykonawców, dane osób, projekty zobowiązań i podpisane dokumenty. Przed udostępnieniem trzeba sprawdzić zarówno odbiorców, jak i zakres: czy przekazujemy właściwy plik, czy cały katalog z materiałami, których ta osoba nie potrzebuje?

Podstawą są indywidualne konta, dostęp ograniczony do obowiązków i odbieranie uprawnień po zakończeniu współpracy. Skrzynkę, chmurę oraz konta na platformach należy chronić unikalnymi hasłami i uwierzytelnianiem wieloskładnikowym tam, gdzie jest dostępne. Warto preferować metody odporne na phishing, jeśli usługa je obsługuje. Równie ważny jest bezpieczny sposób odzyskania dostępu; kodów awaryjnych nie należy przechowywać razem z hasłem w ogólnodostępnym arkuszu. Praktyczne wskazówki zawiera poradnik CERT Polska o weryfikacji dwuetapowej.

Ograniczanie dostępu to zasada najmniejszych uprawnień: osoba kompletująca dokumenty nie musi automatycznie mieć prawa do zarządzania kontami lub kasowania archiwum. Oddzielenie takich ról ogranicza skutki pomyłki i przejęcia konta. Samo włączenie MFA nie kończy tematu. Kody jednorazowe również można wyłudzić; tam, gdzie usługa na to pozwala, warto wdrożyć odporne na phishing klucze dostępu (passkeys) lub odpowiednie klucze sprzętowe. Różnice pomiędzy metodami wyjaśnia baza wiedzy CERT Polska o MFA. Sposób odzyskiwania konta i zabezpieczenie urządzeń nadal wymagają osobnej uwagi.

Kopia zapasowa musi pozwalać wrócić do pracy

Synchronizacja folderu nie jest równoznaczna z niezależną kopią zapasową: usunięcie lub niepożądana zmiana mogą zostać zsynchronizowane. Trzeba wiedzieć, jakie wersje można odzyskać, przez jaki czas, kto ma do nich dostęp i jak długo potrwa odtworzenie. Ochrona przed usunięciem kopii wraz z danymi oraz sprawdzanie możliwości ich odtworzenia to elementy zaleceń CISA dotyczących odporności na ransomware.

W pracy ofertowej dobrym testem jest konkretne pytanie: czy po awarii komputera prowadzącej osoby uprawnione zastępstwo odnajdzie aktualny, zatwierdzony zestaw plików i zachowane potwierdzenia? Nie chodzi o współdzielenie hasła ani środka podpisu. Zastępstwo musi działać w ramach własnych uprawnień i przyjętych zasad reprezentacji. Dostęp do platformy, sposób podpisania i odzyskanie plików warto sprawdzić przed dniem złożenia, nie w ostatnim kwadransie.

Reakcja na pomyłkę powinna być prostsza niż jej ukrywanie

Osoba, która wpisała hasło na podejrzanej stronie lub otworzyła nietypowy załącznik, powinna wiedzieć, komu natychmiast zgłosić zdarzenie. Należy przerwać podejrzaną czynność, zachować wiadomość i przekazać osobie odpowiedzialnej za IT informację o czasie, urządzeniu oraz wykonanych krokach. Nie wystarczy usunąć maila i uznać sprawy za zamkniętą. Dalsze działania, w tym zabezpieczenie konta i sesji, trzeba dobrać do rodzaju incydentu.

Podejrzane wiadomości i strony można również zgłaszać przez formularz CERT Polska. To nie zastępuje reakcji wewnątrz firmy. Warto wcześniej uzgodnić sposób kontaktu na wypadek utraty dostępu do firmowej poczty. Zespół powinien znać tę procedurę równie dobrze jak zasady akceptacji ceny.

Najważniejsza zasada jest organizacyjna: pilny termin nie znosi kontroli źródła, uprawnień ani zatwierdzonej wersji dokumentu. Zabezpieczenia mają umożliwiać pracę również wtedy, gdy pojawia się problem — nie tylko dobrze wyglądać na liście wymagań.

Zakres opracowania

Artykuł przedstawia praktyki organizacyjne, nie instrukcję prawną przygotowania oferty. Przykłady mają charakter ilustracyjny. Wymagania dotyczące konkretnego postępowania należy ustalać na podstawie aktualnej dokumentacji, właściwych przepisów oraz instrukcji używanej platformy.