Jak dobrać źródło weryfikacji do różnych certyfikatów i dokumentów
Nie istnieje jedna baza dla wszystkich certyfikatów. Mapa prowadzi od kategorii i deklarowanego znaczenia do wystawcy, PCA, NANDO, UDT, ZRK, rejestru budynków lub zaufanych list eIDAS.
Portfel porządkuje dane w jednym miejscu, ale nie tworzy uniwersalnej ścieżki weryfikacji. Właściwe źródło wynika z rodzaju dokumentu i tezy, którą organizacja chce potwierdzić. Najpierw nazwij kategorię oraz deklarowany status, a dopiero potem wybierz rejestr, wystawcę lub narzędzie.
Certyfikat systemu zarządzania
Zapisz organizację, lokalizacje, zakres działalności, standard i jego wydanie, jednostkę certyfikującą, numer, daty oraz bieżący status. ISO wyjaśnia, że samo nie prowadzi certyfikacji i nie wydaje certyfikatów. Sformułowanie „certyfikat ISO” nie powinno więc prowadzić do szukania organizacji w bazie ISO jako wystawcy, lecz do jednostki wskazanej na dokumencie.
Jeżeli dokument przedstawiono jako akredytowany, sprawdź jednostkę i właściwy zakres w portalu PCA albo odpowiedniej krajowej jednostki akredytującej. Samo znalezienie nazwy nie wystarcza. Zakres akredytacji musi odpowiadać programowi, a status certyfikatu organizacji należy dodatkowo potwierdzić u jednostki certyfikującej lub w bazie wskazanej przez właściwy system.
Produkt, CE i deklaracja zgodności UE
Nie zakładaj rekordu „certyfikat CE” tylko dlatego, że produkt ma oznakowanie. Komisja Europejska wskazuje, że nie istnieje centralny organ UE wydający zgodę lub certyfikat na użycie znaku. Producent identyfikuje wymagania, prowadzi właściwą ocenę, gromadzi dokumentację i podpisuje deklarację zgodności UE. Jednostka notyfikowana uczestniczy tylko wtedy, gdy wymaga tego procedura dla danego produktu.
W portfelu połącz produkt i wariant z deklaracją, właściwymi przepisami, dokumentacją oraz jednostką, jeśli brała udział. NANDO służy do sprawdzania zakresu notyfikacji jednostki, a nie do wyszukiwania każdego produktu i każdej dobrowolnej certyfikacji. Zmiana produktu, przepisów lub dokumentacji powinna uruchomić przegląd rekordu.
Retencja jest kategorią, nie ustawieniem globalnym
Oficjalny przewodnik Komisji wskazuje, że deklarację zgodności UE i wspierającą ją dokumentację należy aktualizować oraz zachować co najmniej 10 lat od wprowadzenia produktu do obrotu. Przed zastosowaniem tej reguły trzeba ustalić przepisy właściwe dla produktu i rolę organizacji. Nie wolno przenosić tego okresu na certyfikaty osób, systemów lub usługi zaufania tylko dlatego, że są w tym samym portfelu.
Kwalifikacja lub zaświadczenie osoby
Najpierw rozpoznaj dokładną nazwę, zakres czynności, organ lub program i okres ważności. Dla kwalifikacji objętych Zintegrowanym Systemem Kwalifikacji użyj ZRK i sprawdź konkretną kwalifikację oraz powiązane instytucje. Dla zaświadczeń kwalifikacyjnych UDT korzystaj z aktualnej ścieżki UDT, która obejmuje między innymi sprawdzanie ważności i informacje o przedłużaniu w danym zakresie.
Nie ma jednego rejestru wszystkich umiejętności i uprawnień. Prywatne zaświadczenie szkoleniowe może wymagać kontaktu z wystawcą, ale nie należy przez to dopisywać mu statusu publicznej kwalifikacji. W rejestrze portfela zapisz dokładną kategorię oraz wynik kontroli, nie ogólne „uprawnienia potwierdzone”.
Weryfikuj bez nadmiernego ujawniania danych
Dokument osoby może zawierać datę urodzenia, podpis lub inne informacje zbędne dla odbiorcy. Użyj minimalnego zestawu potrzebnego do celu, ogranicz dostęp do pełnej kopii i zapisz podstawę retencji. RODO wymaga między innymi minimalizacji, prawidłowości, ograniczenia przechowywania oraz integralności i poufności.
Świadectwo charakterystyki energetycznej
W tej kategorii używaj prawidłowej nazwy „świadectwo”, a nie ogólnego „certyfikatu nieruchomości”. Centralny rejestr charakterystyki energetycznej budynków obejmuje między innymi wykazy osób uprawnionych, świadectw oraz określonych protokołów. Rekord portfela powinien wiązać numer i dokument z właściwym budynkiem lub częścią, osobą sporządzającą i oficjalnym źródłem.
Zmiana stanu obiektu może mieć znaczenie niezależnie od daty widocznej na świadectwie. Reguły oceny aktualności ustalaj według obowiązujących przepisów i konkretnego zdarzenia, nie przez analogię do certyfikatu systemu zarządzania.
Kwalifikowany certyfikat i usługa zaufania
W obszarze eIDAS rozróżnij certyfikat, dostawcę i konkretną usługę zaufania. Komisja Europejska wyjaśnia, że kwalifikowany status dostawcy i usługi wynika z umieszczenia na zaufanej liście. Przeglądarka pozwala szukać według kraju, dostawcy i typu usługi. W rekordzie zapisz również status w chwili sprawdzenia, bo lista służy do oceny nadzorowanego statusu, a nie jako niezmienna wizytówka.
Samo znalezienie dostawcy na liście nie waliduje każdego podpisanego pliku. Trzeba sprawdzić właściwą usługę, certyfikat użyty w dokumencie, integralność, czas i wynik odpowiedniego narzędzia. Zachowaj oryginalny plik; wydruk nie przenosi wszystkich właściwości technicznych podpisu lub pieczęci.
Gdy nie ma publicznego rejestru
Odszukaj oficjalny kontakt wystawcy niezależnie od dokumentu. Zapytaj o numer, posiadacza, zakres, datę i status w granicach uzasadnionego celu. Poproś o opis programu i zasad zmiany statusu. Jeżeli wystawca nie ujawnia informacji, zapisz wynik jako niepotwierdzony, zamiast tworzyć pozytywną albo negatywną ocenę bez dowodu.
Brak publicznej bazy nie przesądza o fałszerstwie, a obecność wpisu nie gwarantuje dopasowania do potrzeby. Przy decyzji regulowanej, sporze lub dużym ryzyku skorzystaj z właściwego organu albo indywidualnej pomocy prawnej.
Zapisuj granice każdej kontroli
Notatka w portfelu powinna wskazywać pytanie, źródło, datę, porównane pola, wynik i elementy nierozstrzygnięte. Dzięki temu kolejna osoba wie, czy potwierdzono wystawcę, zakres, aktywny status czy tylko istnienie podobnego rekordu. Taki ślad wspiera decyzję, ale nie jest gwarancją autentyczności.