Notranje presoje sistemov upravljanja najpogosteje odkrijejo vrzeli v dokazih o delovanju: ni zapisov, ni preizkusov obnove, register tveganj ni ažuren, korektivni ukrepi nimajo rokov. Pomanjkljivosti redko izhajajo iz manjkajočih politik, pogosteje iz izvajanja.
Opozorilo
Spodnji seznam ni statistika. Ni izmerjenega deleža organizacij s posamezno pomanjkljivostjo. Gre za vzorce, ki se pri presojah sistemov upravljanja pogosto pojavljajo in jih stroka redno opisuje. Namenjen je razmisleku, ne primerjavi.
1. Zapisi o delovanju manjkajo
Najpogostejši vzorec: postopek obstaja, zapisov ni. Politika o upravljanju dostopov je napisana, pregledov pravic pa nihče ni dokumentiral. Presojevalec brez zapisa ne more potrditi, da se postopek izvaja, zato ugotovitev beleži kot neskladnost ali kot priložnost za izboljšavo.
Kako se izogniti: za vsako kontrolo vnaprej določite, kateri zapis dokazuje delovanje, kdo ga ustvari in kje je shranjen.
2. Preizkus obnove ni izveden
Kopije se izvajajo, obnova pa ni bila nikoli preizkušena. Takrat ni mogoče trditi, da so kopije uporabne. Preizkus naj se izvede za izbrane kritične sisteme, rezultat pa zapiše z izmerjenim časom obnove.
Kako se izogniti: letni načrt preizkusov, zapisnik z rezultatom in odpravo napak.
3. Register tveganj ni ažuren
Ocena tveganj je bila narejena ob uvedbi in nato ni bila spremenjena, čeprav so se sistemi, dobavitelji in organizacija spremenili. Izjava o uporabnosti se ne ujema z dejanskim stanjem.
Kako se izogniti: ocena ob večjih spremembah in vsaj v načrtovanih presledkih; preverjanje izjave o uporabnosti ob vsaki spremembi.
4. Obseg sistema ni jasen
Obseg je zapisan tako splošno, da ni mogoče vedeti, kaj sistem pokriva. Ali so vključeni vsi kraji, oddaljeno delo, oblačne storitve? Nejasen obseg povzroči težave pri presoji in pri certifikaciji.
Kako se izogniti: obseg zapišite s procesi, lokacijami, sistemi in izključitvami.
5. Dobavitelji niso ustrezno obravnavani
Seznam dobaviteljev obstaja, ocene tveganj pa ne. Pogodbe ne vsebujejo varnostnih zahtev. Ni pregleda, ali dobavitelj izpolnjuje dogovorjeno.
Kako se izogniti: razvrstitev dobaviteljev po kritičnosti, pogodbene zahteve in redni pregled pri pomembnih dobaviteljih. Več o tem na strani presoje dobaviteljev.
6. Korektivni ukrepi nimajo vzroka, roka ali odgovorne osebe
Neskladnost je odpravljena »na hitro«, vzrok pa ni analiziran. Naslednja presoja najde isto težavo. Pogosto tudi ni preverjeno, ali je ukrep deloval.
Kako se izogniti: za vsak ukrep zapišite vzrok, ukrep, odgovorno osebo, rok in preverjanje učinkovitosti.
7. Vodstveni pregled je formalen
Zapisnik obstaja, vendar ne vsebuje vseh vhodnih podatkov, ki jih zahteva točka 9.3, ali pa ne vsebuje odločitev in ukrepov. Vodstvo težko pojasni, kaj je pregledalo.
Kako se izogniti: uporabite strukturo točke 9.3 kot dnevni red in zapišite sklepe z odgovornimi osebami.
8. Ozaveščenost zaposlenih
Usposabljanje je opravljeno, zaposleni pa ne znajo pojasniti, kako poročajo o incidentu. Presojevalec to hitro opazi z intervjuji.
Kako se izogniti: kratka, ponavljajoča se ozaveščanja in preverjanje razumevanja, ne le prisotnosti.
9. Presoja ni neodvisna
Presojevalec presoja področje, za katero je odgovoren, ali dokumente, ki jih je sam napisal. Takšna presoja ne izpolnjuje zahteve po objektivnosti in nepristranskosti. Natančneje o tem v članku o razlikah med notranjo in certifikacijsko presojo.
Kako se izogniti: razporeditev presojevalcev tako, da ne presojajo lastnega dela, ali zunanji izvajalec.
10. Kontrole so »uvedene« samo na papirju
V izjavi o uporabnosti je kontrola označena kot uvedena, v praksi pa ni. To je tveganje za organizacijo in za zaupanje v sistem.
Kako se izogniti: pred označitvijo preverite, ali obstaja dokaz, da kontrola dejansko deluje.
Kaj iz tega slediti
Večina pomanjkljivosti izhaja iz izvajanja, ne iz pomanjkanja dokumentov. Zato notranja presoja, ki se omeji na pregled dokumentacije, odkrije manj, kot bi lahko. Dobra presoja vključuje intervjuje, vzorčenje zapisov in opazovanje dela.
Naslednji korak
Za začetno sliko stanja uporabite brezplačno samooceno. Za neodvisen pregled si oglejte notranje presoje, za odpravo vrzeli pa pripravo na ISO. Konkretna vprašanja nam lahko pošljete.
Pogosta vprašanja
Ali so navedena področja statistika?
Ne. Gre za splošne izkušnje in vzorce, ki jih opisuje stroka, ne za izmerjeno statistiko. Vsak sistem ima svoje značilnosti.
Kaj je neskladnost?
Neizpolnitev zahteve. Lahko gre za zahtevo standarda, zahtevo organizacije ali zakonsko oziroma pogodbeno zahtevo, ki jo je organizacija vključila v sistem.
Ali je vsaka ugotovitev neskladnost?
Ne. Presojevalec lahko zabeleži tudi priložnost za izboljšavo ali dobro prakso. Razlika mora biti v poročilu jasna.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda. Nismo certifikacijski organ in ne izdajamo certifikatov.