Niezależna weryfikacja Twojego projektu cyfrowego

Audyt projektu cyfrowego można przeprowadzić na różnych etapach jego realizacji, jednak najbardziej optymalne momenty to:

1. Przed odbiorem częściowym lub końcowym Audyt przeprowadzony tuż przed planowanym odbiorem pozwala zidentyfikować niezgodności i problemy, zanim oficjalnie zaakceptujemy pracę wykonawcy. To najczęściej wybierany moment, ponieważ:

• Daje mocne argumenty podczas procedury odbioru
• Pozwala wyegzekwować poprawki w ramach istniejącej umowy
• Minimalizuje ryzyko przejęcia systemu z istotnymi wadami

2. W trakcie realizacji projektu (audyt śródokresowy) Jeśli projekt jest duży i długotrwały, warto rozważyć audyt śródokresowy po zakończeniu kluczowych etapów, aby:

• Wcześnie wykryć problemy metodyczne lub systemowe
• Skorygować kierunek prac zanim wykonawca zainwestuje czas w błędne rozwiązania
• Zweryfikować zgodność częściowych rezultatów z oczekiwaniami

3. Po wdrożeniu produkcyjnym Audyt po uruchomieniu systemu pozwala:

• Ocenić rzeczywistą wydajność i bezpieczeństwo w środowisku produkcyjnym
• Zidentyfikować problemy ujawniające się dopiero przy realnym obciążeniu
• Zebrać dane do planowania dalszego rozwoju i usprawnień

W idealnej sytuacji rekomendujemy przeprowadzenie przynajmniej dwóch audytów: jednego w trakcie prac (po zakończeniu kluczowego etapu) oraz drugiego przed finalnym odbiorem. Takie podejście pozwala na maksymalizację korzyści z procesu weryfikacji.

Czas trwania audytu

Standardowy audyt projektu cyfrowego trwa zwykle od 2 do 4 tygodni, w zależności od następujących czynników:

• Wielkość i złożoność projektu - strona internetowa vs. złożony system z wieloma modułami
• Zakres audytu - czy weryfikujemy wszystkie aspekty, czy koncentrujemy się na wybranych obszarach
• Dostępność dokumentacji i kodu źródłowego - dobrze udokumentowane projekty można zweryfikować szybciej
• Pilność - w sytuacjach nagłych jesteśmy w stanie przeprowadzić audyt ekspresowy w krótszym czasie

Orientacyjny harmonogram podstawowego audytu:

• Ustalenie zakresu i analiza dokumentacji: 2-5 dni
• Przeprowadzenie testów i weryfikacji: 5-15 dni
• Opracowanie raportu i rekomendacji: 3-5 dni

Czynniki wpływające na koszt audytu

Koszt audytu zależy od wielu czynników, m.in.:

1. Zakres i głębokość weryfikacji - im szerszy zakres i bardziej szczegółowa analiza, tym wyższy koszt
2. Wielkość projektu - aplikacja o 5 widokach vs. złożony system o 50+ funkcjonalnościach
3. Specjalistyczne aspekty - konieczność zaangażowania ekspertów z rzadkimi specjalizacjami
4. Tryb pracy - standardowy vs. ekspresowy
5. Forma raportu i deliverables - od podstawowego raportu po szczegółową dokumentację z prezentacją wyników

W przypadku instytucji publicznych i kulturalnych oferujemy elastyczne pakiety dostosowane do budżetu i specyficznych potrzeb projektu. Dokładną wycenę przygotujemy po zapoznaniu się ze szczegółami projektu i oczekiwanym zakresem weryfikacji.

Nie jest to bezwzględnie konieczne, ale znacząco zwiększa możliwości i wartość audytu.

Możemy przeprowadzić audyt na dwóch poziomach, w zależności od dostępu do kodu źródłowego:

Audyt z dostępem do kodu źródłowego (rekomendowany)

Kiedy mamy dostęp do kodu źródłowego, możemy przeprowadzić znacznie głębszą analizę, która obejmuje:

• Ocenę jakości implementacji i zgodności z dobrymi praktykami
• Weryfikację zabezpieczeń na poziomie kodu
• Identyfikację potencjalnych problemów wydajnościowych wynikających z architektury
• Ocenę możliwości rozbudowy i utrzymania systemu w przyszłości
• Sprawdzenie, czy kod jest odpowiednio udokumentowany i zrozumiały

Dostęp do repozytorium kodu (np. Git) dostarcza również cennych informacji o procesie wytwórczym i historii zmian.

Audyt bez dostępu do kodu źródłowego

Jeśli z jakichkolwiek powodów (prawnych, organizacyjnych) nie jest możliwe udostępnienie kodu źródłowego, nadal możemy przeprowadzić wartościowy audyt obejmujący:

• Testy funkcjonalne zgodności z OPZ i umową (black-box testing)
• Testy dostępności interfejsu użytkownika (WCAG)
• Podstawowe testy bezpieczeństwa (penetration testing)
• Testy wydajności i responsywności
• Weryfikację zgodności z dostarczoną dokumentacją

Rekomendacja

Zawsze rekomendujemy, aby w umowach z wykonawcami IT uwzględniać możliwość przeprowadzania audytów kodu przez niezależnych ekspertów działających na zlecenie zamawiającego. Jeśli nie masz takiego zapisu, ale chcesz przeprowadzić audyt, możemy pomóc w negocjacjach z wykonawcą, aby uzyskać odpowiedni dostęp - nawet czasowy i ograniczony.

Dobre przygotowanie do audytu projektu cyfrowego może znacząco zwiększyć jego efektywność i wartość. Oto lista działań i dokumentów, które warto przygotować:

Kluczowe dokumenty do udostępnienia:

1. Dokumentacja przetargowa

   • Specyfikacja Warunków Zamówienia (SWZ) / dawne SIWZ
   • Opis Przedmiotu Zamówienia (OPZ) ze wszystkimi załącznikami
   • Odpowiedzi na pytania wykonawców (jeśli były)

2. Dokumentacja umowna

   • Umowa z wykonawcą wraz z wszystkimi aneksami
   • Harmonogram realizacji
   • Protokoły odbiorów częściowych (jeśli były)

3. Dokumentacja techniczna

   • Dokumentacja projektowa dostarczona przez wykonawcę
   • Dokumentacja API (jeśli dotyczy)
   • Instrukcje użytkownika i administratora

4. Dokumentacja testowa

   • Plany i scenariusze testowe
   • Raporty z testów wykonanych przez wykonawcę
   • Zgłoszenia błędów i historia ich rozwiązywania

5. Kod źródłowy i dostępy

   • Dostęp do repozytorium kodu (jeśli możliwe)
   • Dostęp do środowiska testowego/deweloperskiego
   • Konta testowe z różnymi poziomami uprawnień

Działania przygotowawcze:

1. Wyznacz osobę kontaktową Wskaż osobę, która będzie głównym punktem kontaktowym i która ma wiedzę o projekcie oraz uprawnienia do podejmowania decyzji.

2. Określ główne obszary zainteresowania Przygotuj listę obszarów lub funkcjonalności, które są szczególnie ważne lub budzą Twoje wątpliwości.

3. Zbierz dotychczasowe uwagi i problemy Skompiluj informacje o problemach zgłaszanych przez testerów, użytkowników lub zespół wewnętrzny.

4. Zaplanuj dostępność kluczowych osób Upewnij się, że podczas audytu dostępne będą osoby, które mogą odpowiedzieć na pytania dotyczące wymagań biznesowych i kontekstu projektu.

5. Poinformuj wykonawcę Jeśli to możliwe, poinformuj wykonawcę o planowanym audycie i poproś o współpracę (zwłaszcza jeśli potrzebny będzie dostęp do kodu lub środowisk).

Im więcej kontekstu i dokumentacji będziemy mieli na starcie, tym szybciej i dokładniej przeprowadzimy audyt, dostarczając bardziej wartościowe wyniki i rekomendacje dostosowane do specyfiki projektu.

Tak, oferujemy kompleksowe wsparcie również po zakończeniu audytu.

Rozumiemy, że sam raport z audytu to dopiero początek procesu poprawy i optymalizacji projektu cyfrowego. Dlatego nasza współpraca może obejmować następujące działania post-audytowe:

1. Wsparcie w komunikacji z wykonawcą

• Udział w spotkaniach z wykonawcą dotyczących wyników audytu
• Techniczne wyjaśnienia i uzasadnienia zidentyfikowanych problemów
• Merytoryczna ocena proponowanych przez wykonawcę rozwiązań
• Pomoc w priorytetyzacji poprawek i ustaleniu harmonogramu ich wdrożenia

2. Weryfikacja wdrożonych poprawek

• Sprawdzenie, czy poprawki zgłoszonych błędów zostały wykonane prawidłowo
• Testy regresji sprawdzające, czy poprawki nie wprowadziły nowych problemów
• Przygotowanie raportu z weryfikacji poprawek

3. Mediacja techniczna

• Obiektywna ocena technicznych aspektów spornych
• Pomoc w znalezieniu kompromisowych rozwiązań w przypadku różnicy zdań
• Doradztwo przy podejmowaniu decyzji o akceptacji lub odrzuceniu proponowanych rozwiązań

4. Wsparcie przy odbiorze końcowym

• Udział w procedurze formalnego odbioru
• Weryfikacja kompletności dostarczonych elementów
• Ocena spełnienia warunków umowy z perspektywy technicznej

5. Doradztwo przy planowaniu dalszego rozwoju

• Rekomendacje dotyczące kolejnych kroków rozwoju
• Wsparcie w planowaniu kolejnych etapów projektu
• Konsultacje przy tworzeniu specyfikacji dla nowych funkcjonalności

Wsparcie po-audytowe może być realizowane w formie:

• Stałej współpracy w ustalonym wymiarze godzin miesięcznie
• Doraźnych konsultacji na żądanie
• Dedykowanych spotkań i warsztatów

Zakres i forma wsparcia są zawsze dostosowane do indywidualnych potrzeb instytucji i specyfiki projektu.

Audyt i odbiór techniczny to dwa powiązane, ale różne procesy w cyklu życia projektu IT. Zrozumienie tych różnic pomaga właściwie zaplanować weryfikację i odbiór projektu cyfrowego:

Audyt projektu cyfrowego:

• Cel: Niezależna, obiektywna ocena różnych aspektów projektu (kod, funkcjonalność, bezpieczeństwo, wydajność) pod kątem zgodności z wymaganiami, standardami i dobrymi praktykami.

• Charakter: Proces analityczny, diagnostyczny, doradczy.

• Wykonawca: Niezależny podmiot trzeci (jak nasza firma), niezwiązany ani z wykonawcą systemu, ani formalnie z procesem odbioru.

• Rezultat: Szczegółowy raport zawierający opis metodyki, znalezione problemy, analizę ryzyk i rekomendacje działań naprawczych.

• Status formalny: Zazwyczaj nie ma bezpośrednich konsekwencji prawnych/umownych, ale dostarcza merytorycznych podstaw do decyzji zamawiającego.

Odbiór techniczny:

• Cel: Formalna weryfikacja, czy dostarczone rozwiązanie spełnia wymagania określone w umowie i może zostać przyjęte przez zamawiającego.

• Charakter: Proces urzędowy, formalny, będący częścią realizacji umowy.

• Wykonawca: Komisja odbiorowa powołana przez zamawiającego, czasem z udziałem zewnętrznych ekspertów.

• Rezultat: Protokół odbioru (akceptujący, warunkowy lub odrzucający) mający konsekwencje prawne i finansowe.

• Status formalny: Dokument wiążący strony umowy, często warunkujący płatności i zamknięcie etapu projektu.

Jak się uzupełniają?

Najlepsze efekty daje połączenie obu procesów:

1. Audyt przed odbiorem - dostarcza merytorycznych podstaw do decyzji odbiorowych i identyfikuje problemy, które powinny zostać rozwiązane przed formalnym odbiorem.

2. Eksperci audytowi wspierający odbiór - osoby, które przeprowadziły audyt, mogą uczestniczyć jako eksperci w formalnym procesie odbioru, wyjaśniając techniczne aspekty znalezionych problemów.

W naszej praktyce często realizujemy projekty, gdzie najpierw przeprowadzamy niezależny audyt techniczny, a następnie wspieramy klienta jako eksperci podczas formalnego procesu odbioru, co pozwala na podejmowanie bardziej świadomych decyzji i skuteczniejsze egzekwowanie zapisów umownych.

W trakcie przeprowadzania audytów projektów IT dla instytucji publicznych i kulturalnych regularnie identyfikujemy pewne powtarzające się problemy. Świadomość tych typowych wyzwań pozwala lepiej planować nowe projekty i bardziej świadomie prowadzić odbiory:

1. Problemy formalno-dokumentacyjne

• Niekompletna dokumentacja techniczna - brak opisów architektury, konfiguracji czy procedur administracyjnych
• Rozbieżności między dokumentacją a implementacją - faktycznie dostarczone rozwiązanie różni się od tego, co opisano w dokumentacji
• Nieaktualne lub nieprecyzyjne instrukcje użytkownika i administratora

2. Problemy z dostępnością cyfrową (WCAG)

• Niespełnienie wymogów ustawowych - brak zgodności z WCAG 2.1 na poziomie AA
• Brak alternatywnych treści - np. opisów obrazów, transkrypcji nagrań audio
• Problemy z obsługą bez użycia myszy - brak nawigacji klawiaturowej lub pułapki klawiaturowe
• Nieprawidłowa struktura nagłówków i treści - utrudniająca korzystanie z czytników ekranu

3. Problemy z bezpieczeństwem

• Podatności na popularne ataki - np. SQL Injection, XSS, CSRF
• Niedostateczne zabezpieczenia danych wrażliwych - przechowywanie haseł w postaci niezaszyfrowanej lub słabe algorytmy szyfrowania
• Problemy z zarządzaniem sesjami - brak timeoutów, nieprawidłowa walidacja tokenów
• Brak lub niewystarczające logi bezpieczeństwa - utrudniające analizę incydentów

4. Problemy wydajnościowe

• Długi czas ładowania stron - nieoptymalne zapytania do bazy danych, brak mechanizmów cache
• Nieefektywne wykorzystanie zasobów serwera - problemy ze skalowaniem przy większym obciążeniu
• Nieoptymalizowane zasoby graficzne - zbyt duże obrazy, brak wersji mobilnych

5. Problemy UX i interfejsu użytkownika

• Skomplikowane i nielogiczne ścieżki użytkownika - wymagające wielu kroków do wykonania prostych operacji
• Nieintuicyjne rozmieszczenie elementów - trudne do odnalezienia kluczowe funkcje
• Brak responsywności - problemy z korzystaniem na urządzeniach mobilnych

6. Problemy kodowe i architektoniczne

• Złe praktyki programistyczne - powtarzający się kod, brak komentarzy, nieczytelna struktura
• Przestarzałe biblioteki i frameworki - często zawierające znane podatności bezpieczeństwa
• Trudna do utrzymania architektura - utrudniająca przyszłe modyfikacje i rozwój

7. Problemy z integracjami

• Nieprawidłowe integracje z systemami zewnętrznymi - brak obsługi błędów, nieefektywna komunikacja
• Niedokumentowane zależności - brak informacji o wymaganych usługach zewnętrznych
• Brak testów integracyjnych - prowadzący do nieoczekiwanych awarii w produkcji

8. Problemy z zarządzaniem danymi

• Niezgodność z RODO - brak mechanizmów zarządzania zgodami, eksportu czy usuwania danych
• Nieoptymalna struktura bazy danych - prowadząca do problemów wydajnościowych
• Brak procedur backupu i odtwarzania - zwiększający ryzyko utraty danych

Wczesna identyfikacja tych problemów w procesie audytu pozwala na ich rozwiązanie przed wdrożeniem produkcyjnym, co znacząco obniża koszty i ryzyko operacyjne całego przedsięwzięcia.

Nasz zespół audytowy składa się z wysoko wykwalifikowanych specjalistów z różnych dziedzin IT, posiadających zarówno formalne certyfikacje, jak i bogate praktyczne doświadczenie. W zależności od specyfiki audytowanego projektu, dobieramy odpowiednich ekspertów z następującymi kwalifikacjami:

Certyfikacje bezpieczeństwa i etycznego hackingu:

• OSCP (Offensive Security Certified Professional) - zaawansowana certyfikacja z zakresu testów penetracyjnych
• CEH (Certified Ethical Hacker) - kompetencje w zakresie identyfikacji podatności i zabezpieczania aplikacji
• CISSP (Certified Information Systems Security Professional) - kompleksowa wiedza z zakresu bezpieczeństwa systemów informacyjnych

Certyfikacje z zakresu dostępności cyfrowej:

• IAAP WAS (International Association of Accessibility Professionals Web Accessibility Specialist) - specjaliści z międzynarodowymi uprawnieniami do audytowania dostępności cyfrowej
• Audytorzy WCAG 2.1 - eksperci z praktycznym doświadczeniem w badaniu zgodności z wymogami dostępności

Certyfikacje programistyczne i architektoniczne:

• AWS Certified Solutions Architect - projektowanie bezpiecznych i wydajnych aplikacji w chmurze AWS
• Microsoft Certified: Azure Solutions Architect - ekspertyza w zakresie rozwiązań opartych o Microsoft Azure
• Oracle Certified Professional, Java SE Programmer - zaawansowana znajomość technologii Java

Certyfikacje zarządzania projektami i jakością:

• PMP (Project Management Professional) - uznawana międzynarodowo certyfikacja z zarządzania projektami
• PRINCE2 Practitioner - metodyka zarządzania projektami powszechnie stosowana w sektorze publicznym
• ISTQB (International Software Testing Qualifications Board) - testowanie oprogramowania i zarządzanie jakością

Praktyczne doświadczenie zespołu:

Poza formalnymi certyfikacjami, nasi audytorzy posiadają:

• Wieloletnie doświadczenie w wytwarzaniu oprogramowania w różnych technologiach
• Praktykę w realizacji projektów IT dla sektora publicznego i kulturalnego
• Doświadczenie zarówno po stronie dostawców, jak i odbiorców systemów
• Specjalistyczną wiedzę dziedzinową istotną dla instytucji kultury i jednostek publicznych

Ciągły rozwój kompetencji:

Nasz zespół stale podnosi swoje kwalifikacje poprzez:

• Regularne szkolenia z najnowszych technologii i metodyk
• Udział w konferencjach branżowych i specjalistycznych warsztatach
• Aktywne uczestnictwo w społecznościach ekspertów i grupach roboczych
• Bieżące śledzenie zmian w przepisach i standardach dotyczących sektora publicznego

Przy każdym projekcie audytowym zapewniamy zespół posiadający odpowiednie kwalifikacje do oceny specyficznych aspektów badanego systemu, dostosowując skład zespołu do technologii i charakteru audytowanego rozwiązania.

Tak, przeprowadzamy audyty projektów w trakcie ich realizacji i jest to często korzystniejsze podejście niż czekanie do finalnego odbioru.

Audyt śródokresowy (mid-term audit) to weryfikacja projektu cyfrowego na jednym z pośrednich etapów jego realizacji. Takie podejście oferuje szereg unikalnych korzyści:

Korzyści z audytu w trakcie realizacji projektu:

1. Wczesna identyfikacja problemów

   • Wykrycie fundamentalnych błędów architektury i podejścia zanim staną się kosztowne w naprawie
   • Możliwość skorygowania kierunku prac, gdy zmiany są jeszcze relatywnie łatwe do wprowadzenia

2. Redukcja ryzyka projektowego

   • Zmniejszenie prawdopodobieństwa opóźnień w końcowych etapach projektu
   • Uniknięcie sytuacji, gdy przy odbiorze końcowym wykrywane są krytyczne problemy

3. Optymalizacja współpracy z wykonawcą

   • Dostarczenie wykonawcy wartościowej informacji zwrotnej, gdy może jeszcze dostosować swoje podejście
   • Budowanie wspólnego rozumienia oczekiwań jakościowych i technicznych

4. Lepsze zarządzanie budżetem

   • Możliwość realokacji zasobów na podstawie wczesnych wniosków z audytu
   • Uniknięcie kosztownych poprawek w końcowej fazie lub po wdrożeniu

Typy audytów śródokresowych, które realizujemy:

1. Audyt kamieni milowych Weryfikacja realizacji kluczowych kamieni milowych projektu, np. po zakończeniu prac nad określonym modułem lub funkcjonalnością.

2. Audyt architektury i prototypu Ocena zaproponowanej architektury i pierwszych implementacji przed rozpoczęciem pełnoskalowych prac rozwojowych.

3. Audyt podejścia technologicznego Weryfikacja wybranych technologii, frameworków i bibliotek pod kątem ich adekwatności do celów projektu i przyszłych potrzeb utrzymaniowych.

4. Audyt procesów wytwórczych Ocena metodyki pracy zespołu deweloperskiego, praktyk programistycznych, procesów zapewnienia jakości i kontroli wersji.

Praktyczne podejście do audytu śródokresowego:

• Dopasowujemy zakres i głębokość audytu do aktualnego etapu projektu
• Koncentrujemy się na aspektach, które mają największy wpływ na końcowy sukces
• Formułujemy rekomendacje w sposób konstruktywny, umożliwiający ich efektywne wdrożenie
• Oferujemy opcję ponownej weryfikacji po wprowadzeniu zalecanych zmian

Audyt śródokresowy jest szczególnie wartościowy w przypadku dużych, wielomiesięcznych projektów, gdzie kumulacja problemów do samego końca mogłaby spowodować znaczące opóźnienia lub przekroczenie budżetu.

Tak, oferujemy możliwość zamówienia audytów specjalistycznych skupiających się na wybranych aspektach projektu cyfrowego.

Rozumiemy, że czasem instytucje potrzebują weryfikacji tylko konkretnych obszarów swojego projektu cyfrowego, czy to ze względu na specyficzne wątpliwości, ograniczenia budżetowe, czy też w sytuacji, gdy pełny audyt został już wcześniej przeprowadzony przez inny podmiot.

Specjalistyczne audyty tematyczne, które realizujemy:

1. Audyt dostępności cyfrowej (WCAG)

• Kompleksowa weryfikacja zgodności z wymogami WCAG 2.1 na wybranym poziomie (A, AA, AAA)
• Testy z wykorzystaniem czytników ekranu i innych technologii asystujących
• Ocena dostępności dla osób z różnymi niepełnosprawnościami (wzrok, słuch, motoryka)
• Szczegółowy raport z konkretnymi rekomendacjami poprawek

2. Audyt bezpieczeństwa

• Testy penetracyjne aplikacji webowych i mobilnych
• Weryfikacja pod kątem podatności z listy OWASP Top 10
• Analiza mechanizmów uwierzytelniania i autoryzacji
• Ocena bezpieczeństwa przechowywania i przetwarzania danych

3. Audyt wydajnościowy

• Testy obciążeniowe i stress testy
• Analiza czasu ładowania i renderowania stron
• Ocena Core Web Vitals i innych metryk wydajnościowych
• Rekomendacje optymalizacji dla różnych warunków sieciowych

4. Audyt UX/UI

• Ocena użyteczności interfejsu użytkownika
• Analiza ścieżek użytkownika i łatwości realizacji kluczowych zadań
• Weryfikacja spójności i intuicyjności interfejsu
• Testy z udziałem reprezentatywnych użytkowników (opcjonalnie)

5. Audyt zgodności z wymaganiami

• Szczegółowa weryfikacja realizacji wymagań funkcjonalnych i niefunkcjonalnych z OPZ/SWZ
• Identyfikacja brakujących lub niepełnie zrealizowanych funkcjonalności
• Ocena jakości implementacji poszczególnych wymagań

6. Audyt kodu źródłowego

• Analiza jakości i bezpieczeństwa kodu
• Ocena architektury i wzorców projektowych
• Weryfikacja dokumentacji kodu
• Identyfikacja potencjalnych problemów utrzymaniowych

7. Audyt procesu i dokumentacji

• Weryfikacja kompletności i jakości dokumentacji technicznej i użytkowej
• Ocena procesów rozwoju, testowania i wdrażania
• Analiza procedur zarządzania zmianą i konfiguracji

Elastyczne podejście:

• Możliwość dowolnego łączenia wybranych obszarów w zależności od potrzeb
• Dopasowanie głębokości analizy do dostępnego budżetu i harmonogramu
• Opcja etapowego rozszerzania zakresu audytu w miarę identyfikacji kolejnych obszarów wymagających uwagi

Niezależnie od wybranego zakresu, nasze audyty tematyczne charakteryzują się taką samą starannością metodologiczną i dostarczają konkretnych, praktycznych rekomendacji dostosowanych do specyfiki projektu i możliwości instytucji.