GAP analiza primerja obstoječe stanje z zahtevami standarda in pokaže, kaj manjka, običajno pred vzpostavitvijo sistema. Notranja presoja preverja, ali že vpeljan sistem deluje, in je zahteva samega standarda. Prva usmerja gradnjo sistema, druga preverja njegovo delovanje.
Kratek odgovor
Če sistema še nimate ali ga šele gradite, potrebujete GAP analizo. Če ga imate vpeljanega vsaj nekaj mesecev in želite vedeti, ali deluje, potrebujete notranjo presojo. Storitvi se pogosto mešata, ker obe končata s seznamom ugotovitev. Odgovarjata pa na različni vprašanji.
Primerjava
| GAP analiza | Notranja presoja | |
|---|---|---|
| Vprašanje | Kaj nam do zahtev manjka? | Ali vpeljan sistem deluje in ustreza zahtevam? |
| Običajni čas | Pred ali na začetku vzpostavitve sistema | Ko je sistem vpeljan in se izvaja |
| Podlaga | Zahteve standarda ali predpisa, stanje organizacije | Zahteve standarda, lastna pravila organizacije, dokazila |
| Poudarek | Dokumenti, politike, razpoložljivi procesi | Dejansko izvajanje, zapisi, intervjuji, vzorci |
| Rezultat | Seznam vrzeli in prednostni načrt | Poročilo, zapis neskladnosti, priporočeni korektivni ukrepi |
| Ali jo zahteva standard? | Ne | Da, na primer točka 9.2 v ISO/IEC 27001 |
Kdaj izbrati GAP analizo
- Organizacija se odloča, ali bo sistem sploh vpeljala, in želi vedeti obseg dela.
- Vodstvo potrebuje oceno vložka, preden potrdi projekt.
- Obstaja nekaj dokumentacije, pa ni jasno, kaj ustreza zahtevam in kaj ne.
- Pripravljate se na več zahtev hkrati, na primer na ISO/IEC 27001 in obveznosti po ZInfV-1, in iščete prekrivanja.
Pri GAP analizi je dopustno, da je veliko stvari označenih kot manjkajočih. Prav to je njen namen.
Kdaj izbrati notranjo presojo
- Sistem je vpeljan in se je izvajal vsaj en ciklus.
- Standard zahteva notranjo presojo kot pogoj za nadaljevanje (točka 9.2 pri ISO/IEC 27001).
- Se pripravljate na zunanjo presojo in želite poiskati pomanjkljivosti, preden jih najde kdo drug.
- Vodstvo želi nepristransko sliko stanja.
Notranja presoja zahteva dokaze o izvajanju: zapise, vzorce, razgovore z odgovornimi osebami. Če jih ni, so ugotovitve neskladnosti, kar je koristna informacija, vendar ne pomeni, da je GAP analiza bila nepotrebna.
Pogosta napaka
Najpogostejša napaka je naročiti notranjo presojo, ko sistem še ne deluje. Presojevalec nato napiše poročilo z množico neskladnosti, ki jih organizacija in tako pozna. Strošek je enak, koristi pa manj. Obratno napako delajo organizacije, ki naredijo GAP analizo in jo štejejo kot presojo. Če bi se na zunanji presoji sklicevale na GAP analizo kot notranjo presojo, bi bila to neskladnost.
Ali storitvi lahko naroči isti izvajalec
Lahko, vendar s pogojem. Standardi in smernice ISO 19011 zahtevajo objektivnost in nepristranskost presojevalca. Če je izvajalec pomagal vzpostaviti sistem, ga ne more brez ukrepov presojati kot neodvisen. Navzkrižje interesov je treba oceniti, obvladati (na primer z drugim presojevalcem ali ločenimi ekipami) in zapisati.
Ne glede na izvajalca zahtevajte, da je ocena navzkrižja interesov zapisana, preden se presoja začne.
Kako se odločiti
- Odgovorite na vprašanje: ali sistem že deluje?
- Če ne ali ne veste, začnite s samooceno in nato z GAP analizo.
- Če deluje, naročite notranjo presojo ISO/IEC 27001 ali drugega standarda.
- Če ste pred zunanjo presojo, preberite pripravo na ISO/IEC 27001.
Nobena od teh storitev ni certifikacijska presoja in ne vodi samodejno do certifikata. Certifikate izdajajo akreditirani certifikacijski organi.
Povpraševanje
Če niste prepričani, katera storitev ustreza vašemu stanju, opišite situacijo v povpraševanju. Predlagali bomo obseg, ki ga dogovorimo individualno.
Pogosta vprašanja
Ali je GAP analiza obvezna?
Ne. Standardi je ne zahtevajo. Je pripomoček za načrtovanje. Notranja presoja pa je zahteva standardov sistemov vodenja, na primer točke 9.2 v ISO/IEC 27001.
Ali GAP analiza nadomesti notranjo presojo?
Ne. GAP analiza ugotavlja, česa sistemu manjka, ne preverja pa njegovega delovanja skozi čas, zato ne izpolni zahteve standarda po notranji presoji.
Ali lahko obe storitvi naroči isto podjetje?
Lahko, vendar mora biti navzkrižje interesov ocenjeno in obvladovano. Kdor je pomagal graditi sistem, ga ne sme brez ukrepov nepristransko presojati.
S čim naj začnem, če nimam vpeljanega sistema?
Z GAP analizo ali s samooceno. Notranja presoja brez delujočega sistema nima kaj preveriti.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda. Nismo certifikacijski organ in ne izdajamo certifikatov.