ISO 31000 i generički pristup upravljanju rizicima

Svakodnevno funkcioniranje bilo kakvih sustava u hazardnom okruženju kao neizbježnoj realnosti dovodi do ozbiljnih zahtjeva upravljanja i predviđanja incidentnih te katastrofičnih situacija u kojima može doći čak do diskontinuiteta funkcioniranja. Ovisno o promatranom sustavu za koji se provodi analiza hazarda, u praksi se prepoznaje niz raznih pristupa i metoda koje su manje ili više optimizirane za specijalne slučajeve. Generički pristup u biti ne zavisi od područja primjene i koncepcijski pruža kvalitetnu osnovu za analizu, procjenu te obradu rizika. Pri tome se uzima u obzir opće prihvaćeni proces upravljanja rizicima u svijetu temeljen na normi ISO 31000. U okviru te norme procjena rizika se ne tretira u metodološkom smislu, pa ovakav generički pristup omogućava da se proces upravljanja rizicima bez teškoća može primjeniti  u bilo kojem području, kao npr. upravljanje rizicima za poslovne procese, upravljanju projektima, upravljanju informacijskom sigurnošću, upravljanja okolišem, upravljanja sigurnošću i ispravnošću hrane i pića, finacijskim i kreditnim transakcijama, političkim i društvenim rizicima, itd.

Teoretski i praktično sve organizacije se nalaze i funkcioniraju u uvjetima nesigurnosti. U skladu definicijama se u tom slučaju govori da se aktivnosti svake organizacije odvijaju u više ili manje hazardnom okruženju. U kontekstu terminologije vezane za upravljanje rizicima pod hazardom se smatra stanje i okruženje u kojem postoji neizvjesnot za realizaciju željenih događaja. To hazardno stanje uvjetovano je s nekoliko faktora, od koji su posebno važni: imovina (objekt procjene rizika), prijetnje, ranjivosti i posljedice.

Fizikalni model rizika

Teoretski promatrajući napadi mogu biti pozitivnog i negativnog efekta. Pod pozitivnim efektima napada na imovinu se smatra povećanje vrijednosti imovine ili poboljšanje njene funkcionalnosti. S druge strane, negativni uticaji napada dovode do štetnih efekata, odnosno do smanjenja vrijednosti ili funkcionalnosti imovine. Za analizu funkcioniranja imovine uvijek je bitan negativan efekt napada. Zbog toga se iz razmatranja ovdje isključuju pozitivni efekti napada, pa se pažnja usmjerava samo na negativne efekte.

Pored vrijednosti imovine, kao jedne od osnovnih značajki uvijek postoji s aspekta rizika i tzv. ranjivost objekta (imovine) na napade. U koliko je imovina ranjiva na jednu ili više vrsta napada, može doći do štete na njoj u koliko je taj napad iskoristio ranjivost i izazvao posljedice. U tom slučaju govorimo o realizaciji rizika, odnosno pojavi sigurnosnog incidenta, a nastaje samo onda ako prijetnja iskoristi ranjivost sistema (imovine) i izazove štetne posljedice. Pojednostavljeno: ako nema prijetnje, i/ili nema ranjivosti i/ili nema posljedica nema ni sigurnosnog incidenta. Ilustracija pojave rizikaje prikazana na slici 1.

 Slika 1. Fizikalni model rizika

 Praktički gledajući ilustracija fizikalnog modela rizika prikazanog na slici 1 je pojednostavljena jer u pravilu postoji više izvora prijetnji od kojih svaki može imati niz svojih specifičnih, ali i istih i/ili sličnih prijetnji kao i ostali izvori. S druge strane, imovina ima veći broj ranjivosti, od koji jedna ranjivost može biti zajednička za više prijetnji, odnosno jedna prijetnja može imati efekt na više ranjivosti.

Za daljnje razmatranje fizikalnog modela rizika uvode se slijedeće pretpostavke koje imaju za cilj da područje modela procjene rizika drže u opsegu realnosti:

1. Rizik se kreće u granicama 0 – MaxIznos. (MaxIznos rizika zavisi od unaprijed usvojenih granica vrijednosti, od strane vrhovne uprave kroz njihove politike i procedure. Uobičajeno je MaxIznos 1 ili 5 ili 9 ili 25 ili 45 itd., ali nema pravila.)
2. Rizik koji je jednak 0 ne razmatra se jer on predstavlja nemoguć događaj (nema nesigurnosti)
3. Rizik koji je jednak MaxIznos se ne razmatra se jer je on sigurni događaj (nema nesigurnosti)
4. Svaki rizik nema isti značaj za  vlasnika imovine (organizaciju). Mali nivoi rizika se mogu zanemariti, dok se za velike rizike (visoko vjerojatne događaje kombinacija prijetnja / ranjivost sa značajnim posljedicama) mora provodti posebna briga
5. Realizacija jednog rizika može izazvati pojavu jednog ili više novih rizika
6. Svaki realizirani rizik koji izaziva incidente može ima tendenciju da preraste u diskontinuitet poslovanja.
7. Za sve rizike koji su od posebnog značaja, odnosno neprihvatljivi s obzirom na posljedice i vjerojatnost pojave, nužno je provesti obradu rizika.

Proces upravljanja rizicima

Već je rečeno da se elementi koji određuju veličinu rizika s vremenom mijenjaju, što znači da je ukupno ponašanje rizika u okviru organizacije dinamička pojava pa se nužno govori o potrebi stalnog praćenja stanja rizika i nastojanja da oni budu pod kontrolom, odnosno u prihvatljivim granicama. Taj proces kontrole stanja rizika i održavanja u prihvatljivim granicama naziva se proces upravljanja rizicima.

Kao što je slučaj sa svakim poslovnim procesom i ovaj se neprestano ponavlja s težnjom unapređenja, odnosno poboljšanja, što se u slučaju upravljanja rizicima ogleda kroz smanjivanje i stabilizaciju sveukupnih rizika organizacije. Tim procesom se također upravlja pomoću PDCA kruga.

Kako je process upravljanja rizicima univerzalan, potpuno je nezavisan od područja primjene, te veličine i tipa organizacije koja ga želi primjeniti, proizilazi zaključak da je nepotrebno da svatko sam  razvija vlastiti process, već je optimalno koristiti univerzalni (generički) process koji je široko prihvaćen kao najbolja praksa. Taj problem ili bolje rečeno prednost procesa upravljanja rizicima uočen je dosta davno, pa se nakon višegodišnje primjene nacianalnih normi (naročito AS/NZ 4360:2004) objavila međunarodna norma ISO 31000:2009 koja definira process za upravljanje rizicima. Detaljna shema procesa za upravljanje rizicima definiranog normom ISO 31000:2009 prikazana je na slici 2.

 Slika 2. Proces upravljanjaq rizicima prema normi ISO 31000:2009

Upravljanje rizicima u organizaciji

Provođenje upravljanja rizicima u organizaciji se ne navodi u normi ISO 31000, ali su u normi ISO 9001:2008 navodi kako slijedi:

Uvođenje sustava upravljanja kvalitetom treba biti strateška odluka organizacije. Na oblikovanje i primjenu sustava upravljanja kvalitetom organizacije utječu:

1. okruženje organizacije, promjene u tom okruženju i rizici koji se odnose na to okruženje
2. itd...

To drugim riječima znači da treba napraviti implementaciju upravljanja rizicima u organizaciji. Analizom vrsta i razina aktivnosti u organizaciji može se pokazati da postoje objektivno tri razine aktivnosti i sukladno time upravljanja po hijerarhiji: procesno upravljanje, kao najniža razina, operativno upravljanje, te najviša razina strateško upravljanje. U skladu s time i upravljanje rizicima ima tri razine: upravljaje procesnim (i projektnim) rizicima, upravljanje operativnim rizicima i konačno upravljanje strateškim rizicima. Na slici 3. su prikazane hijerarhijske razine upravljanja rizicima u organizaciji. (Napomena: upravljanje projektnim rizicima je na istoj razini kao i upravljanje procesnim rizicima).

Slika 3. Razine upravljanja rizicima u organizaciji

Pored toga, norma ISO 9001:2008 zahtjeva i nužni procesni pristup kojim se sve aktivnosti u organizaciji moraju prikazati u nekom od poslovnih procesa, odnosno postupaka. U kontekstu gore iznesenog može se doći do zaključka da se u sklopu svih poslovnih procesa koji su već identificirani u organizaci treba uvesti još jedan proces koji je namijenjen za upravljanje rizicima. Taj proces ima sve značajke opisane u normi ISO 31000:2009. Ono što je pri tome značajno je da taj proces treba integrirati s ostalim procesima. Po svojoj namijeni i značaju za organizaciju on spada u grupu tzv. „upravljačkih procesa“.

Kada se pogleda i analizira intencija norme ISO 9001:2008 vezana za upravljanje rizicima može se reći da ona predstavlja želju i nastojanje da se poslovanje organizacije planira za sadašnjost i budućnost u uvjetima nesigurnosti. To bitno utječe na odluku potencijalnih kupaca i partnera da odaberu baš tu organizaciju jer imaju dokaz o brizi vrhovne uprave za stabilnošću i dugoročnom poslovanju kroz kontinuiranu analizu prijetnji i stalnoj borbi protiv njihove realizacije s negativnim učincima.

Zaključak

Na temelju iznesenog može se zaključiti da je upravljanje rizicima od posebne važnosti za organizacije koje žele dugoročno raditi. Većina organizacija je i do sada na neki način manje više formalno ili neformalno dijelom radilo procjene rizika npr. za pokretanje novih aktivnosti, osvajanje novih proizvoda, otvaranje novih tržišta, traženje kredita, itd. Neke od organizacija (npr. Banke i druge financijske institucije) su zakonskom regulativom ili drugim uredbenim aktima bile prisiljene primjenjivati procjenu rizika (npr. BASEL II). Norma ISO 9001:2008 uvela je nužnost upravljanja rizicima u implementaciju sustava za upravljanje kvalitetom, a neke norme, npr. ISO 14001, OHSAS 18001, ISO 22000, ISO 27001 od samog početka inzistiraju (zahtjevaju) procjenu rizika. Po tim normama je nemoguće izvršiti certifikaciju ako prvi koraci implementacije, života i poboljšanja nije procjena rizika. Norma ISO 31000:2009 je tu došla kao spasenje jer se u njoj definira generički model procesa za upravljanje rizicima primjenljiv u svim sustavima upravljanja. Norma ISO 31000 je uvela mogućnost integracije sustava za upravljanje rizicima po svim razinama i područjima. Ostaje problem da se u certificiranim sustavima upravljanja napravi relativno malo usklađenje s najboljom praksom norme ISO 31000. To je npr. slučaj u ISO 14001 koja zahtjeva izradu i ocjenu aspekata uticaja na okoliš, a koji treba relativno jednostavno transformirati na višu razinu upravljanja rizicima u skladu s ISO 31000, a vezano za potencijalne štetne uticaje na okoliš.

ISO 31000 navodi da upravljanje rizicima treba sadržavati sljedeće principe: učešće u stvaranju viška vrijednosti, sastavni dio ostalih poslovnih procesa, učešće u donošenja odluka, izričito adresiranje nesigurnosti, sistematičnost, strukturiranost i pravovremenost, organiziranje i provođenje na temelju najbolje dostupne informacije, prilagođenje potrebama organizacije i djelatnosti gdje se koristi, uzimanje ljudskih i kulturnih elemenata u obzir, transparentnost i inkluzivnost, dinamičnost, iterativnost i odgovori na promjene, te omogućavanje stalnog unapređenja i poboljšanja organizacije.

Informacijska sigurnost prema ISO 27001 i afera „Registar branitelja“

U zadnjih nekoliko dana se intenzivno u medijima provlači tema vezana za objavu „Registra branitelja“. U svakom slučaju, u kontekstu Zakona kojim se brani objavljivanje pomenutog registra ovaj događaj je nezakonit. Ja ne želim raspravljati o tome da li Zakon treba ili ne mijenjati, ili o tome tkoje kriv za curenje informacije u javnost, ili o nekim političkim reperkusijama. Ja bi dao svoj pogled na neke aspekte sustava informacijske sigurnosti (ISMS) kroz taj posljednji sigurnosni incident. Pri tome bi se očitovao  samo na međunarodnu normu koja je i u RH prihvaćena kao nacionalna, a to je ISO/IEC 27001:2005.

U emisiji Otvoreno (HTV1 07.04.2010.) čuo sam komentar od jednog sugovornika da se nemože govoriti o nepostojanju informacijske sigurnosti kada je riječ o tako važnim državnim institucijama kada su u tu problematiku investirana sredstva, a i da je primjenjena najvažnija norma za informacijsku sigurnost ISO 27001. Ja nemam informacija o tome u kojim ministarstvima je uveden sustav i koliko je novaca uloženo u zaštititu informacija, u ostalom kao i niti jedan drugi prosječni građanin, ali kao specijalista za sustave upravljanja informacijskom sigurnošću iz nekoliko činjenica objavljenih ili neobjavljenih u medijima mogu zaključiti da ne postoji uspostavljen sustav informacijske sigurnosti koji je u skladu s normom ISO/IEC 27001:2005, barem  u dijelu državne uprave koji je vezan za pomenuti registar. Možda je i uspostavljen, ali onda ne funkcionira onako kako bi trebalo. Iz čega se to može zaključiti? Pa evo jednog primjera: u kontekstu pomenute norme ISO/IEC 27001:2005 prvi i glavni odgovorni je VLASNIK IMOVINE (Asset owner), a svi drugi mogu biti suodgovorni. Taj vlasnik informacijske imovine mora imati svoje ime i prezime i on odgovara organizaciji (u ovom slučaju Vladi ili nekoj drugoj instituciji RH kojoj je podređen). Njegova odgovornost je za sve rizike i realizaciju rizika koji su vezani za neki sigurnosni incident oko informacijske imovine koja je učesnik u incidentu. Meni nije poznato da se spomenulo niti jedno ime koje bi bilo vlasnik informacijeske imovine koja se zove „Registar branitelja“, te da je s njim u suradnji pokrenut postupak utvrđivanja odgovornosti za sigurnosni incident. On nije vlasnik u imovinskom smislu, nego u smislu upravljanja rizicima i odgovoran je za propisani način baratanja s imovinom u odnosu na stupanj klasifikacije (tajnosti) prema definiciji norme ISO/IEC 27001:2005. Kod problema upravljanja rizicima za informacijsku imovinu u kontekstu ISO/IEC 27001:2005 vlasnik informacijske imovine mora imati procjenu s prepoznatim ranjivostima i prijetnjama. U koliko je rizik narušavanja informacijske sigurnosti značajan, tada vlasnik imovine mora organizirati češći, a ponekad i trajni monitorig stanja informacijske sigurnosti. Kada je to tako, informacijski forenzičari i policija u pravilu imaju relativno jednostavan i lagan zadatak za utvrđivanje odgovornosti za sigurnosni incident. Pored toga, norma ISO/IEC 27001:2005 ne poznaje kolektivnog vlasnika informacijske imovine niti poznaje moralnost odgovornih već samo dokazano ponašanje u skladu s propisanom procedurom za upravljanje informacijskom imovinom. Tu norma ISO/IEC 27001:2005 unosi jednan detalj po kojemu se odgovornost za incident može tražiti samo ako postoji eksplicitno definirana procedura za baratanje s takvim informacijama i/ili informacijskom imovinom. Pri tome se mora naglasiti da norma ISO/IEC 27001:2005 inzistira eksplicitno na poštivanju pozitivne nacionalne legislative. To drugim riječima znači da je aplsolutno neprihvatljiva bilo kakva procedura koja nije u skladu sa Zakonima RH koji se odnose na nju ili međunarodne ugovore koje je prihvatila RH. Ni jedan (savjesni) auditor koji vrši auditiranje prema toj normi za uspostavu ISMS nemože dati pozitivnu ocjenu audita ako nema eksplicitnu listu vlasnika cjelokupne informacijske imovine (između ostalog) za uspostavljeni ISMS. To automatski znači da se nemože govori o sustavu informacijske sigurnosti koji je u skladu s ISO/IEC 27001:2005. Ja sam siguran da postoje određeni oblici i sustavi zaštite informacija, pogotovo zato što je RH članica NATO saveza, ali oni sigurno nisu potpuno u skladu s ISO/IEC 27001:2005. Ti sigurnosni sustavi mogu biti i bolji, mogu biti efikasniji, specijalistički, ali to nije ISMS prema pominjanoj normi.

Druga činjenica vezana za stanje informacijske sigurnosti koja se provlači kroz medije je potpuna tišina o obrazovanju ljudi, podizanju svijesti svih zaposlenika ali i drugih koji na neki način dolaze u kontakt s informacijskim sustavom. Taj problem je od posebne važnosti. Toliko je bitan da se u normi ISO 27001:2005 posebno naglašava i zahtjeva provođenje sistematske obuke osoblja koje neposredno rukuje s takvim informacijama, a svima ostalima je obvezno podizanje svijesti. Taj zahtjev u normi ISO 27001:2005 je toliko važan da je nemoguće provesti do kraja implementaciju i certificiranje ako organizacija nema dokaz da je provela obrazovanje i podizanje svijesti svih koji su u doticaju s informacijskim sustavom. Praksa u svijetu (a zašto onda ne i kod nas) pokazuje da je oko 80% svih sigurnosnih problema u informacijskim sustavima vezano za ljude, organizaciju, loše procedure rada, ne pridržavanje procedura, itd, a svega cca 20% u sferi tehnologije. Tu ne pomažu sigurnosne mjere koje bi trebale odgovoriti napadače na informacijsku sigurnost (u ovom slučaju su zakoni i represivne mjere, direktive, zaposvijesti itd).  Zato norma i inzistira da se svima podiže svijest o informacijskoj sigurnosti, a neki da se posebno obrazuju u tom smislu. Da li se to provodilo ili nije, ja neznam, ali sklon sam sumnjati u to jer nitko se ne očituje na taj problem. Pored toga, vjerojatno je i recesija dala svoj doprinos odnosu prema obrazovanju za informacijsku sigurnost, ali to nemože biti opravdanje za sigurnosni incident. U Hrvatskoj postoji samo jedna školska ustanova koja ima dozvolu „Ministarstva znanosti, obrazovanja i športa“ za školovanje specijalista informacijske sigurnosti u skladu s normom ISO 27001, a ujedno je i program školovanja harmoniziranom sa shemom  Europske organizacije za kvalitetu (EOQ). Koliko je meni poznato tu nema polaznika iz državne uprave. Zar onda treba očekivati nešto više od informacijske sigurnosti u bilo kojoj organizaciji, pa bile one i tijela državne uprave.

Treba ipak imati na umu i jednu činjenicu koja je u svijetu realnost: s nekim sustavima upravljanja (kao npr. Za kvalitetu, upravljanje okolišem, itd) organizacije koje su nosioci certifikata se hvale jer su marketinški u prednosti (između ostalih razloga). Međutim, kada je u pitanju informacijska sigurnost mnoge organizacije javno ne objavljuju da imaju proveden ISMS niti se hvale s tim certifikatima. Što je ozbiljnost organizacije veća, to je manja vjerojatnost da ćete naći informacije o njihovom uspostavljenom ISMS. Čak se ni savjetnicima ne dozvoljava da navode takve organizacije u svoje referentne liste, a proizvođaći specijalnog softvera za te svrhe ne navode u svojim referencama njih kao korisnike, itd. Ali ako jedan predstavnik vlasti izjavi da je proveden ISO 27001, onda naravno da svi oni koji znaju o čemu se radi očekuju i ponašanja u skladu s tom normom ili mogu sumnjati u točnost izjave.

U slučaju objave „Registra branitelja“ postoje tri kuta gledanja: jedan je politički s političkim reperkusijama o kojem trebaju govoriti političari, drugi je pravni o kojem trebaju govoriti odvjetnici i tužiteljstvo itd., te treći, stručni kut gledanja na informacijsku sigurnost o kojem bi trebali govoriti stručnjaci kao što su specijalisti za sustave informacisjke sigurnosti, forenzičari za informacijske incidente, itd. U tom smislu bi bilo dobro da se svatko drži svog područja struke za koji je kompetentan.

Problem informacijske sigurnosti sigurno je jedan od najvećih i najinteresantnijih trenutno u odnosu na sve sustave upravljanja, i kako je rekao voditelj u pomenutoj emisiji, u ovom slučaju je „pušten je duh iz boce“. Treba misliti na potencijalne nove „duhove iz boce“ u budućnosti, jer za ovog „duha“ sada posao trebaju odrađivati policija, informacijski forenzičari, odvjetnici i sl. Da problem curenja informacija nije mali ima primjera svakodnevno u svijetu koji govore samo jedno: loše ili nikako uspostavljen sustav informacijske sigurnosti. Za to krivnju snosi organizacija koja to treba kod sebe provesti. Nedavno je objavljen interesantan članak u kojem jedan „osviješteni“  ruski hacker pokazuje kako se bez problema probija u informacijski sustav jedne vlade. To ne radi zbog svoje neke nadnaravne genijalnosti, nego isključivo zbog neprihvatljivo lošeg sustava informacijske sigurnosti koji je trebala provesti dotična vlada. Želim da vjerujem da je u RH situacija suprotna i da ne postoje takve mogućnosti, te da nas neće iznenaditi neki novi „duhovi iz boce“ bez obzira što pojedinci mislili o značenju i važnosti tih informacijama.

Na kraju zašto je „manji“ problem s loše uspostavljenim sustavima upravljanja kvalitetom, ili okolišem, kao i drugim menadžement sustavima? Vrhovna uprava je nejčešće u stanju ne prikazivati loše ili nedovoljno dobre efekte tih sustava upravljanja, jer sve ostaje u glavnom u okvirima organizacije i njihovih papira. Međutim, propusti u informacijskoj sigurnosti su bolniji jer u pravilu završavaju u javnosti zato što su i napadi na njih u glavnom izvana, a najčešće podržani od nekih (zbog nekog razloga nezadovoljnih) članova organizacije.

Ne treba zaboraviti osnovnu premisu norme ISO/IEC 27001:2005 : informacija je imovina koja kao i svaka druga imovina ima svoju vrijednost. Ta vrijednost možđe biti iskazana u financijskim iznosima ali i vrijednosti ciljeva koje se žele postići. Zbog toga neprijatelji nastoje nanijeti štetu narušavanjem informacijske sigurnosti koja se ogleda obično kroz krađu informacija, ili neovlaštenu izmjenu i manipulaciju. Tako kaže norma, a praksa, na žalost, to svakodnevno potvrđuje.

ISO 9001:2008 i ostale potrebne norme

Uspostavljanje sustava za upravljanje kvalitetom (SUK) je u svakom slučaju vrlo zahtjevan i ozbiljan posao – projekt, ali samo u jednom slučaju: kada vlasnik firme i/ili top management žele imati stvarne koristi u svojoj organizaciji od uspostavljenog SUK-a. U svakom drugom slučaju je to „mačiji kašalj“, ali i efekti takve implementacije su na tom nivou. U okviru ovog teksta pozabavimo se samo varijantom da se želi uspostaviti kvalitetan – tu se misli koristan SUK.

Kako se stvar obično odvija. Netko u upravi shvati da je to dobro, ili je uprava „naterana“ od partnera da uvede SUK. Tada bi trebalo prvo na nivou uprave detaljno raspraviti i ispitati sve dobre i/ili loše strane takve odluke. Neka se i to napravi i svima je u top managementu jasno da je za njihov opstanak i bolji prosperitet na tržištu važno implementirati SUK. Slijedeći je korak u pravilu izbor konzultanta, jednog ili više koji bi trebali skratiti vrijeme i osigurati kvalitetniju implementaciju. E tu mogu, a vrlo često je to slučaj, nastaju problemi, jer ako se radi o javnim poduzećima glavnu riječ za nabavu roba i usluga je „Zakon o javnoj nabavi“ koji prvenstveno preferira najnižu cijenu ponude i ugovora. Kvaliteta usluge nije glavna u izboru partnera za konzalting. Slična situacija, mada nije obvezno, se javlja i u privatnim firmama gdje ne vrijedi taj zakon, ali vlasnik i top menadžment nekako u pravilu nastoje što jeftinije proći, pa čak i na svoju štetu, jer u većini slučajeva je konačni cilj dobijanje certifikata, a ne korist od uvođenja SUK-a. Prethodna analiza norme ISO 10019:2005 koja govori o izboru konzultanta spada u kategoriju SF.

Neka je i ta faza implementacije prošla. Netko se unutar organizacije određuje za voditelja projekta implementacije i stvar se počinje nekako odvijati, uz veće i manje stresove svih, od čistatčice, portira, ostalih zaposlenika, voditelja projekta, konzultanata, top menadžmenta i vlasnika. (Molim da mi čistačice i portiri oproste što sam njih posebno apostofirao, jer se nažalost obično smatra da oni nisu bitni za SUK).

Zašto su potrebni stresovi? Da li je moguće raditi bez stresa? Da li je moguće imati normalni postupak implementacije SUK u kojem bi se svi sudionici osjećali, ako ne ugodno, ali ono barem zadovoljni jer im je 100% jasno što i zašto to rade. Današnje vrijeme sa svom ovom dinamikom ne omogućava potpuno rad bez stresa, ali barem da se svede na minimum kada još ne izaziva traume i sukobe u organizaciji. Ja ovaj puta nemam namjeru stvar svoditi na obrazovanost i iskustvo voditelja projekta implementacije u organizaciji i konzultane. To se smatra pod „mus“ (ovo mus je iz kartaških igara, a ima smisao moraš). Želio bi stvar postaviti malo na drugi teren s pitanjem:

Koje se norme koriste za implementaciju SUK?

Čudno pitanje? DA! NE! Za mene je u svakom slučaju ne. Naime, svi se u organizaciji hvataju u glavnom samo za jednu normu, onu koja je nazivna za implementaciju odabranog sustava upravljanja. U našem slučaju, kako se radi o sustavu upravljanja kvalitetom naravno da je to norma ISO 9001:2008. Ako bi se radilo o upravljanju okolišem tada bi to bila ISO 14001:2004, o ISMS 27001:2005, itd.

E sada prvo podpitanje: dragi konzultanti imate li originalan primjerak norme, ali i gospodo u organizaciji imate li i vi originalan primjerak norme? Pod pojmom „Originalan“ se misli da ste ga kupili od nacionalne organizacije za norme (u Hrvatskoj je to HZN) ili neke međunarodne (npr. ISO, BSI, itd) – nije bitno. Nemate! Pa o čemu mi to govorimo. O piratiziranju. Vi gospodo konzultanti se predstavljate kao vrsni profesionalci, a piratizirate i ne poštujete pozitivne nacionalne zakone. Kakav sustav vi možete uvesti? Pa vaša svijest o legalnosti nije vrijedna pažnje. Isto to vrijedi i za vas gospodo u organizaciji. Ako su konzultanu ili nekoj organizaciji troškovi nabavke potrebnih normi veliki, onda niste u stanju zaraditi ni za čašu hladne vode, ili bolje rečeno daje vašu sliku odnosa prema projektu implementacije SUK-a. O stvarno minimalnim cijenama originalnih normi ne vrijedi ni govoriti. One se kreću obično u granicama od 40 – 100 Eura. Na ovom komentaru o originalnim normama neka mi oproste svi oni koji kupuju norme, nijh obvezno isključujem iz kruga kritike.

Zašto je važno imati stalno normu pred sobom. Kada konzultant nekom objašnjava treba se napraviti to i to, onda je jako dobro taj zahtjev pokazati u normi. A članovi tima da to u svom primjerku i stvarno vide. U protivnom, to prelazi u kategoriju vjerovanja: konzultant je rekao. Tu stvarno nema potrebe za vjerovanjem, jer se cijeli posao svodi na primjenu nečega što je zapisano u jednoj ili više normi.

Kako to sada najednom više normi? Pa zar se ne govori o normi ISO 9001 za SUK? 

Evo podpitanje za konzultante i voditelja projekta u organizaciji: Koliko raznih normi koristite za implementaciju SUK?

To je iz mog iskustva vrlo ozbiljno pitanje na koje mnogi konzultanti, a i oni koji su uveli SUK imaju zbunjene poglede i počinju mucati. A stvar i nije tako jednostavna kako bi se mislilo: uzmimo normu ISO 9001, zadovoljimo zahtjeve i uvedimo SUK. 

Ja tvrdim: efikasan SUK se nemože nikako uvesti samo uz pomoć norme ISO 9001:2008.

Te činjenice su davno bili svjesni u ISO organizaciji. Zato su objavili niz normi koje treba u većoj ili manjoj mjeri koristiti pri implementaciji SUK. Pogledajmo malo koje bi to bile norme:

• ISO 9001:2008Quality management systems – Requirements – glavna norma prema kojoj se vrši certifikacija SUK
• ISO 10001:2007 Quality management -- Customer satisfaction -- Guidelines for codes of conduct for organizations
• ISO 10002:2004 Quality management -- Customer satisfaction -- Guidelines for complaints handling in organizations
• ISO 10003:2007 Quality management -- Customer satisfaction -- Guidelines for dispute resolution external to organizations
• ISO 10019:2005 Guidelines for the selection of quality management system consultants and use of their services
• ISO 19011:2002 Guidelines for quality and/or environmental management systems auditing
• ISO/IEC 90003:2004 Software engineering -- Guidelines for the application of ISO 9001:2000 to computer software
• ISO 9004:200x, Managing for the sustained success of an organization - A quality management approach
• ISO 10005:2005, Quality management systems - Guidelines for quality plans  
• ISO 10006:2003, Quality management systems - Guidelines for quality management in projects  
• ISO 10007:2003, Quality management systems - Guidelines for configuration management  
• ISO 10012:2003, Requirements for measurement processes and measuring equipment  
• ISO/TR 10013:2001, Guidelines for quality management system documentation  
• ISO 10014:2006, Quality management - Guidelines for realizing financial and economic benefits  
• ISO/TR 10017:2003, Guidance on statistical techniques for ISO 9001:2000  
• IEC 60300-1:2003, Dependability management - Part 1: Dependability management systems 

Kada se pogleda ovaj skup normi koji bi bio potreban za implementaciju SUK djeluje zastrašujuće. Neke norme nije nužno svaki puta koristiti. Npr. ISO 90003 je samo za firme koje se bave razvojem softvera. One koje nemaju tu djelatnot naravno da im ta norma ništa ne znači. U pojedinim slučajevima bi se mogla iznaći još pokoja norma koja nije primjerena za neku djelatnost, ali raditi implementaciju SUK samo s jednom normom je u najmanju ruku neozbiljno.
  
Nemam namjeru prepričavati svaku normu i kakav značaj ima, jer se već iz naslova pojedine norme može vidjeti čemu služi. One nisu obvezne. Po nijednoj od njih se ništa ne certificira, ali detaljno upućuju i objašnjavaju kako se neki zahtjevi osnovne norme ISO 9001 mogu (trebaju) riješiti. U slučaju da se ne koriste dodatne norme imate situaciju kako mi se opet jedan od kolega požalio: neki dan me je maltretirao auditor na certificiranju toliko da sam poslje morao ići na bolovanje. Toliko je našao nesukladnosti da mi sve sve zavrtilo.

Pa zašto ga je “maltretirao”? Ja mislim da nije, a kako se i kasnije ispostavilo kad mi je pokazao te nesukladnosti. Kolega je imao “sreću” da je naletio na savjesnog i “potkovanog” auditora koji je tražio samo ono što piše u normama. Ni auditori nemaju pravo biti kreativci i izmišljati toplu vodu. Oni se smiju kretati samo u okviru normi. No, kako je moj kolega koristio samo osnovnu normu ISO 9001 sve je rješavao sa konzultantom po principu: ja mislim da bi to trebalo biti tako. 

Na kraju umjesto zaključka: ako imate implementirani SUK a koristite samo ISO 9001, razmislite o problemima koje rješavaju gore navedene norme i pokušajte sami sebi dati odgovor kakav je to vaš SUK. S druge strane ako se pripremate za implementaciju SUK, ili ste ju već započeli tražite od konzultanata ako ih koristite da vam pruže pomoć u skladu sa svim nužnim normama za vašu djelatnost.

ISO 9001:2008 i dokumentiranje sustava upravljanja

Svaki sustav upravljanja (SU) temeljen na ISO normama (ISO9001- QMS, ISO14001 - EMS, ISO20000 - ITSM, ISO22000 - FSMS, ISO27001 - ISMS, itd) između niza zahtjeva uvijek, obavezno, ima i slijedeći: uspostavljanje dokumentacije kojom se detaljno opisuje sustav upravljanja u svim fazama njegovog životnog ciklusa. Što to znači? Pa odgovor je vrlo jednostavan: nemoguće je uspostaviti i koristiti sustav upravljanja, a da on nije dokumentiran, odnosno, nedokumentirani sustav upravljanja NIJE sustav upravljanja. Tu se misli „nedokumentiran“ u smislu zahtjeva norme ISO 9001 plus eventualni dodatni zahtjevi neke specijalističke norme, kao npr. što se nalaze u ISO27001 (ISMS).

U praksi se često nepotrebno pojavljuju problemi vezani za dokumentaciju. To ide čak toliko daleko da se može čuti komentar ili stav da je ISO9001 sinonim za beskonačnu papirologiju. To ni u kom slučaju nije točno. Ako se u konkretnom slučaju uspostavljeni sustav za upravljanje kvalitetom (SUK) prema ISO9001 može pokazati kao besmislena papirologija, onda to nije posljedica norme, već besmislenosti implementacije u firmi i predstavlja sliku tima za implementaciju kao i njihove sposobnosti i iskustva za taj posao.

Koja su to pitanja na koja se mora dobiti odgovor kroz dokumentaciju sustava uptavljanja? Ona se mogu sažeti kroz slijedeće upite: što treba uraditi? zašto? kako? s čime? tko? kada? gdje? tko je odgovoran? kako dokazati da je urađeno sve prema planu? i td. Ta pitanja i inače predstavljaju uobičajenu problematiku u vođenju firmi, odnosno aktivnosti u njoj, bez obzira da li firma želi ili ne uvesti ISO 9001.  Norma ISO 9001 zbog toga i pokušava sistemtizirati te životne potrebe svake firme u zahtjeve koje se mora zadovoljiti ako se želi uspostaviti i certificirati SU.

Što kaže norma ISO 9001:2008 vezano za dokumentaciju?

U okviru zahtjeva na sustav upravljanja kvalitetom norme ISO 9001:2008, poglavlje 4.2 se odnosi na dokumentaciju. Tu se nalaze 4 podpoglavlja: općeniti zahtjevi za dokumentaciju, zahtjevi vezani za priručnik kvalitete, nadzor dokumenata i nadzor zapisa.

Za opće zahtjeve (4.2.1) se navodi da dokumentacija sustava upravljanja kvalitetom mora sadržavati: dokumentiranu izjavu o politici kvalitete i ciljevima kvalitete, priručnik kvalitete, dokumentirane postupke i zapise koje zahtijeva ova menunarodna norma, te dokumente, uključujući zapise, koje odredi organizacija za potrebne kako bi se zajamčilo učinkovito planiranje, izvršenje i nadzor tih procesa. Pri tome se pod pojmom “dokumentirani postupak” smatra da je taj postupak uspostavljen, dokumentiran, primijenjen i održavan. Pojedini dokumenti koji se nalaze u sklopu dokumentacije može upućivati na zahtjeve za jedan ili više postupaka. S druge strane zahtjev za dokumentirani postupak može se podržati s više dokumenata. Za opsežnost dokumentacije koja se koristi u sustavu upravljanja kvalitetom važno je reći da se dozvoljava (preporučava) razlika od jedne do druge organizacije. Razlozi zašto dokumentacija SUK u raznim organizacijama može biti više ili manje opsežna su: veličine organizacije, vrsta djelatnosti, složenost procesa i njihovi uzajamni odnosi, te kompetentnost osoblja. U okviru te točke norme se eksplicitno navodi da dokumentacija može biti u bilo kojemu obliku ili na bilo kojoj vrsti medija. To znači da dokumentacija SUK može biti u papirnom, elektroničkom, ili kombiniranom obliku. Ovaj posljednji način kada je dokumentacija malo u elektroničkom, a malo u papirnatom obliku treba izbjegavati kad je god to moguće jer se izuzetno komplicira upravljanje s njom.

Jedan od osnovnih dokumenata koji MORA biti napravljen u SUK je „Priručnik kvalitete“ (4.2.2) u kojeg se mora uključiti: područje primjene sustava upravljanja kvalitetom (Scope), uključujući pojedinosti i obrazloženje o svakom izostavljenom segmentu organizacije, dokumentirane postupke uspostavljene za sustav upravljanja kvalitetom ili upućivanje na njih, te opis međudjelovanja procesa sustava upravljanja kvalitetom.

Nadzor dokumenata (4.2.3) govori o obvezi nadziranja dokumentacije koja se koristu u okviru SUK. U kontekstu toga se mora uspostaviti dokumentirani postupak koji definira nadzor dokumentacije potreban za: odobravanje primjerenosti dokumenata prije objavljivanja, pregled i ažuriranje kada je potrebno i ponovno odobravanje dokumenata, osiguravanje označavanja izmjena i statusa trenutne verzije dokumenata, osiguravanje dostupnosti odgovarajućeg izdanja dokumenata na mjestu uporabe, osiguravanje trajne čitljivosti dokumenata i njihovo brzo prepoznavanje, osiguravanje da se dokumenti vanjskog podrijetla za koje je utvrneno da su potrebni organizaciji za planiranje i provedbu sustava upravljanja kvalitetom označuju i da je nadzirana njihova raspodjela, sprečavanje nehotične primjene zastarjelih dokumenata te njihovo primjereno označavanje, ako se iz bilo kojeg razloga čuvaju.

U okviru nadzora zapisa (4.2.4), a koji predstavljaju posebnu vrstu SUK dokumenata, navodi se da zapise koji se uspostavljaju kako bi se osigurali dokazi sukladnosti sa zahtjevima i učinkovita provedba SUK mora se nadzirati pomoću postupka koje uspostavlja organizacija. Tim postupkom se određuje oblici nadzora potrebni za označavanje, pohranu, zaštitu, pronalaženje, vrijeme čuvanja i dostupnost zapisa. Zapisi moraju ostati čitljivi, lako prepoznatljivi i obnovljivi. Rokovi za čuvanje zapisa, ako nije zakonom drugačije regulirano moraju se čuvati najmanje jedan certifikacijski ciklus, odnosno da se na recertifikaciji mogu prezentirati auditoru. Taj rok čuvanja nije eksplicitni zahtjev norme, ali je jedino opravdan po prirodi stvari.

Kao što se vidi, kolika će biti stvarno opsežna dokumenatcija, koliko detaljna, u normi ISO 9001:2008 se ništa ne govori. To je ostavljeno na volju organizacija da u skladu sa svojim objektivnim potrebama procjeni. Ono što norma traži je da se mogu dokazati ove četiri grupe zahtjeva vezano za dokumentaciju.

Po tom pitanju je praksa jako različita od slučaja do slučaja, odnosno od organizacije do organizacije. Ja sam duboko uvjeren da je ključni problem vezan za dokumentaciju SU u tome što ju planiraju, organiziraju i uspostavljaju menadžeri kvalitete i konzultanti koji nisu dovoljno obrazovani ili nemaju dovoljno iskustva. Zbog te svoje limitiranosti nisu u stanju sagledati realnu potrebu za dokumentacijom pa se dobiva ili nedovoljna ili preobimna dokumentacija za SU.

Da li je to specifičnost samo norme ISO9001:2008 kojom se uspostavlja SUK? Naravno da nije. Ista je situacija i s drugim normama ISO14001, ISO27001, ISO22000, ISO20000, itd. Evo primjera za ISMS. Prema normi ISO27001 u poglavlju 4.3 se definiraju zahtjevi vezani za dokumentaciju ISMS. Tu su tri podpoglavlja: općenito (4.3.1), kontrola dokumenata (4.3.2), te kontrola zapisa (4.3.3). Za razliku od zahtjeva za dokumentaciju SUK, u ISO 27001 se posebno ne govori o „Priručniku ISMS“ jer je taj zahtjev implicitno zadan u točki 4.3.1. I u ovom slučaju za ISMS, kada se govori o obimnosti i kvaliteti dokumentacije onda je to isključivo slika menadžera i konzultanata, a ne norme.

Ukupne obveze koje se mora ispuniti u smislu dokumentacije u svim ISO normama napisane su na ½ do 1 stranice u tekstu norme.

Kad je u pitanju dokumentacija za SUK, ali i bilo koji drugi sustav upravljanja temeljen na ISO normama, evidentna je činjenica: norma govori što se mora napraviti, a kako to stvarno odraditi je stvar menadžera koji implementiraju sustav. U svim ISO normama se ne nalazi ništa o tome kako napraviti dokumentaciju.

Za izradu dokumentacije vrlo korisne su i norme „ISO9000:2005, Quality management systems - Fundamentals and vocabulary” i “ISO/TR 10013:2001, Guidelines for quality management system documentation”.

Struktura dokumentacije

Za svaki SUK dokumentacija sukladno zahtjevima treba biti strukturirana. Ta se struktura ogleda kroz piramidalan oblik nadređenosti, odnosno podređenosti dokumenata. Primjer je prikazan na slici 1.

 Slika 1. Struktura dokumentacije SUK

Sa slike je vidljivo da se osnovna struktura dokumentacije može prikazati kroz četiri razine. Takva struktura nije eksplicitno definirana normom ISO 9001:2008, ali proizilazi iz zahtjeva i  prakse.

Na samom vrhu piranide dokumentacije u okviru SUK se nalazi politika kvalitete i pripadni priručnik kvalitete. Ključni zadatak tog dijela dokumentacije je da pruži odgovor  kako se uprava i cijela organizacija odnosi prema SUK i njegovim elementima.

Na drugoj razini se nalazi dokumentacija s opisima svih poslovnih procesa, odnosno procedura. U okviru tog dijela dokumentacije se definita što i tko treba uraditi u organizaciji u smislu postizanja određenog poslovnog cilja. Tu se posebno traži definiranje vlasnika poslovnih procesa, te suodgovornih za realizacija procesa.

Treća razina su radne upute kojima se definira način obavljanja jedne ili više procesnih aktivnosti. To znači, taj dio dokumentacije govori o tome kako se trebaju obaviti aktivnosti.

Četvrta razina su zapisi, odnosno evidancija o tome kako su obavljane aktivnosti, te postignuti rezultati u procedurama uz pomoć radnih uputa. Ovi zapisi su presudni da se tijekom internog ili recertifikacijskog audita dokaže koliko organizacija radi sukladno dokumentaciji SUK koju si je sama organizacija propisala.

Ovakva struktura dokumentacije može imati modifikacije i to u okviru 2 i 3 razine. Naime ako su neke aktivnosti toliko jednostavne i propisane u smislu nekog postupka, nije potrebno definirati proces, odnosno proceduru, jer se te aktivnosti u pravilu i ne mogu poboljšati. U tom slučaju za tu radnu uputu treba definirati ogovornosti za provođenje. Može i drugi način sažimanja razina 2 i 3. Ako je procedura toliko jednostavna, odnosno jasna, da nisu potrebne radne upute, onda je besmisleno stvarati ih na silu. Dovoljna je samo procedura koja onda definira i sve zapise. 

Kada se govori o dokumentaciji, tada se često puta dolazi u dilemu što proglasiti tajnom. Naime, sigurno postoji u svakoj organizaciji dio poslovanja koji predstavlja poslovnu ili ugovornu tajnu u odnosu na jednog ili više partnera. To znači da dokumentacija SUK također u pravilu ima opise nekih poslovnih tajni (npr. recapture, sastavnice, tehnologije neke izrade,  itd). U tom smislu postavlja se pred tim za implementaciju SUK-a ozbiljno pitanje: kako datu strukturu uskladiti s potrebnim stupnjem tajnosti u organizaciji? Odgovor na to pitanje nije eksplicitan, ali se može dati načelni odgovor.

Razina 1 dokumentacije SUK nikako nebi trebala sadržavati poslovne tajne. To je dio dokumentacije koji se pokazuje i publicira javno. Neki dijelovi (npr. Priručnik kvalitete) se ne objavljuje javno zbog obima, ali se mogu i trebaju davati na uvid poslovnim partnerima. Razina 2dokumentacije SUK, procedure, najčešće nisu neka posebna tajna. Možda neke od njih sadržavaju poslovne tajne, ali trebalo bi nastojati da ne budu uključene. Treća razina, radne upute, vrlo često sadržavaju poslovne tajne, kao npr. sastavnice, receprure, IP adrese, postupke pristupa, evidencije nekih tajnih kodova, itd. Takve upute su obvezno tajne. Zapisi također vrlo često sadrže poslovne tajne ili informacije o načinu funkcionira pojedinih segmenata sustava kvalitete. 

Zbog tih razloga, mada to norma ISO 9001:2008 eksplicitno ne definira kao zahtjev, ali u skladu s nacionalnom i strukovnom legislativom, te unutarnjim pravilima rada organizacije nužno je uvesti i klasifikaciju dokumentacije. Za neke organizacije, najčešće vladine i njihove partnere postoje zakoni koji ih obvezuju na klasifikaciju dokumentacije, ali i definiraju kakvu klasifikaciju moraju provesti. Zbog toga je dobro na svakom dokumentu navesti stupanj klasifikacije jer on određuje i način postupanja s dokumentom. Tu se može pojaviti problem s auditorima koji imaju pravo na uvid SVAKOG dokumenta koji je dio SUK. No, auditori nemaju ingerenciju na sadržaj dokumenta u stručnom smislu poslovanja. Zbog toga ako neki auditor traži zapis ili neki drugi dokument koji je klasificiran kao poslovna tajna može mu se predočiti dokument  sa zabojanim tajnim dijelovima teksta. 

Zaključak

U skladu s normom ISO 9001:2008 potpuno je jasno da dokumentacija predstavlja jedan od ključnih zahtjeva prema uspostavi, održavanju i poboljšanju SUK. To je beskompromisni zahtjev. No, u normi se govori samo što treba biti u okviru dokumentacije SUK, ali kako i koliko je stvar onih koji implementiraju sustav.

ISO 31000 - Upravljanje rizicima

Međunarodna organizacija za normizaciju ISO izdaje normu ISO 31000 Upravljanje rizicima - načela i smjernice o primjeni (Risk Management - Principles and Guidelines on Implementation). Trenutno je u statusu FDIS, a konačna verzija se očekuje tijekom 2009. god. Treba odmah napomenuti da ova norma nije predviđena za certifikaciju. To znači da se prema njoj nemože vršiti certificiranje organizacija koje ju primjenjuju. To proizilazi iz činjenice da se u njoj ne nalaze nikakvi zahtjevi koje se MORA primjeniti za uspostavu sustava upravljanja rizicima, u ostalom kako i sam naziv norme govori.

Mada je ta norma u biti direktno proistekla iz nacionalne norme AS/NZ4360:2004, mnogo je uzbuđenja oko izlaska norme ISO 31000. Razlog je što ona donosi globalni koncenzus sadržan na 20-tak stranica teksta. Uključeni su u biti svi oblici rizika, kao npr. financijski, sigurnosni, zdravlje, okoliš, itd. Prema normi, rizik nije uvijek negativan – s negativnim posljedicama, nego se rizik promatra kao "efekt nesigurnosti u postizanju planiranih ciljeva."

Proces upravljanja rizicima

Norma ISO 31000 za upravljanje rizikom u biti predlaže i definira proces za upravljanje rizicima, a osnovna struktura procesa je prikana na slici. Taj proces je kompatibilan sa EHS (Environmental Health and Safety). Na primjer, definicija za higijenu rada iz American Industrial Hygiene Association (AIHA) uključuje "predviđanje, prepoznavanje, vrednovanje i kontrolu" od opasnosti okoliša koji mogu imati posljedice za zaposlenike. Iako se riječi koje koriste AIHA i ISO mogu razlikovati, njihov smisao ostaje isti. Na primjer, "obrada" prema ISO je ekvivalent 'kontrola' kod AIHA. Norma ISO 31000 je takođe potpuno sukladna i s normom ISO 27005:2008 koja je namijenjena za upravljanje rizicima u području informacijske sigurnosti (ISMS). Blok shema procesa za upravljanje rizicima kako se predlaže u normi ISO 31000 prikazana je na slici 1.

 Slika 1. Proces upravljanja rizicima prema ISO 31000

Osnovni opis elemenata procesa za upravljanje rizicima prema slici 1 su:

Komunikacija i konzultacija: Komunikacija i konzultacija s internim i eksternim ulagačima – zainteresiranim stranama, kako je primjereno (tehnološki), na svakom stupnju procesa upravljanja rizikom i razmatranje procesa kao cjeline.

Utvrđivanje konteksta:  Utvrđivanje eksternog, internog i konteksta upravljanja rizikom u kojem će se odvijati ostatak procesa. Treba utvrditi kriterije prema kojima će se procjenjivati rizik i definirati struktura analize.

Identifikacija rizika: Identifikacija gdje, kada, zašto i kako bi događaji mogli spriječiti, umanjiti, odložiti ili povećati postizanje ciljeva.

Analiza rizika: Identifikacija i procjena postojećih kontrola. Određivanje posljedica i vjerojatnosti i zatim razine rizika. Ova analiza treba razmotriti područje potencijalnih posljedica i kako bi se one mogle pojaviti.

Procjena rizika: Usporedba procijenjenih razina rizika s prethodno utvrđenim kriterijima i razmatranje ravnoteže između potencijalnih koristi i nepovoljnih rezultata. To omogućuje donošenje odluka o opsegu i prirodi potrebnih obrada i o prioritetima.

Obrada rizika: Izrada i primjena specifičnih troškovno učinkovitih strategija i akcijskih planova za povećanje potencijalnih koristi i smanjenje potencijalnih troškova.

Praćenje i preispitivanje: Neophodno je pratiti učinkovitost svih koraka procesa upravljanja rizikom. To je važno za neprekidno poboljšavanje. Potrebno je pratiti rizike i učinkovitost mjera obrade kako bi se osiguralo da promjena uvjeta ne mijenja prioritete.

 

Kao i s ostalim ISO normama, prvi će primjenu ove norme napraviti napredne organizacije, posebno one koje prema prirodi posla rade u uvjetima povećanog rizika obavljanja svojih aktivnosti. Takve organizacije su i do sada koristile na neki način barem neki oblik procjene rizika. Uz pomoć ove norme se dobiva kompletno okruženje za proces upravljanja rizicima i realna osnova za kontinuirano poboljšanje uvjeta rada organizacije u smislu nesigurnosti. ISO 31000 navodi da je upravljanje rizicima treba (čitaj MORA) sadržavati sljedeće principe:

1. učešće u stvaranju viška vrijednosti vrijednosti,
2. sastavni dio ostalih poslovnih procesa procesa,
3. učešće u donošenja odluka,
4. izričito adresira nesigurnosti;
5. sustavnost, strukturiranost i pravovremenost,
6. organizira i provodi na temelju najbolje dostupne informacije,
7. prilagođen potrebama organizacije i djelatnosti gdje se koristi
8. uzimanje ljudskih i kulturnih elemenata u obzir,
9. transparentnost i inkluzivnost
10. dinamičnost, iterativnost i odgovore na promjene, i,
11. omogućavanje stalnog unapređenja i poboljšanja organizacije.

 

U koliko cjelokupni sustav upravljanja rizicima eksplicitno ne podržava navedene principe, onda on nema svrhe i koristi za organizaciju.

Okvir upravljanja rizicima

Okvir za upravljanje rizikom prema ISO 31000 je jednostavan. Jednom kada su uspostavljene metodologija i obveze stvara se petlja koja uključuje:

1. dizajn okvira,
2. provođenje upravljanja rizikom,
3. nadzor i pregled okvira, i
4. stalno poboljšanje okvira.

Ovo direktno upućuje na PDCA krug za upravljanje poslovnim procesima kako je navedeno u temeljnoj normi za upravljanje sustavima kvalitete ISO9001.

Treba li koristiti ISO 31000?

U svakoj organizaciji postoji niz profesionalnih ciljeva. Nesigurnosti koje mogu utjecati na realizaciju tih ciljeva imaju svoje rizike. Treba imati na umu: "Neiskorištenje poslovnih prilika"  je rizik koji se prema ISO 31000 također treba identificirati. Zato treba stalno postavljati pitanje: postoje li pojedinačne mogućnosti koje niste identificirali, analizirali i vrednovali?

Često puta se dešava da poslodavac ne osjeća potrebu za primjenom, ili sporo uvodi, načela i smjernice potrebne za provedbu upravljanja rizikom u skladu s ISO 31000. To je realnost. Međutim, ne znači da ne koristi neke pojedinačne elemente upravljanja rizicima za planiranje i provođenje svoji poslovnih ciljeva. Ako se pročita ISO 31000 s ovim na umu, postaje lakše shvatiti njegovu primjenu i vrijednost.

 

Neke od prednosti primjene upravljanja rizicima se mogu opisati kroz slijedeće efekte: poboljšava se ugled, bolja strateška svijest, definiranje vlasništva nad rizičnom imovinom, manja nepovoljna medijska pokrivenost, bolja kontrola utjecaja promjene, pomoć pri promjeni poslovne kulture, viši nivo transparentnosti odluka, omogućuje se bolje poslovno planiranje, olakšava se analiza osjetljivosti, bolja korporativna svijest, bolji prijenos informacija, izbjegavanje zbunjujućih sustavnih grešaka, poboljšava se razumijevanje ranjivosti, povećavanje šansi da će se ciljevi ostvariti, formalna dokumentacija rizika, bolje upravljanje financijskim rizikom, smanjivanje nadzora, poboljšava se poštenost, redoviti pregled i monitoring, poboljšana sigurnost, poboljšava se pružanje usluga, bolje projektiranje, manje birokracije, smanjuju se iznenađenja, bolje planiranje kontinuiteta poslovanja, minimizacija troškova osiguranja, itd.

 

No, razmatranje prednosti nebi imalo smisla ako to nije moguće na neki način mjeriti. Evo nekoliko primjera kako se mjerenjem može iskazati prednost upravljanja rizicima:  manje otpada, štednja na osiguranju, smanjenje potraživanja i ostalih (neplaniranih) troškova, smanjenje troškove vanjske revizije, realizacija projekata uz zadovoljavanje cilja – manje penala i troškova, smanjenje pritužbi, manje izostajanje, smanjenje stresa, bolji ugovor o cijenama i sl., bolje anketa o zadovoljstvu, manje nepovoljnih novinskih članaka, bolje potkrepljena korporacijska izjava o upravljanju, smanjenje prijevara, poboljšanje korporativne politike, manje katastrofa i iznenađenja, smanjenje troškova u nepredviđena sredstva, bolje generiranje prihoda, bolje upravljanje projektom, itd.

Zaključak

Iz gore navedenog može se lako zaključiti da upravljanje rizicima predstavlja izuzetno važan dio u cjelokupnom upravljanju organizacijom i njenim aktivnostima. Praktički ne postoji ni jedna organizacija koja ne koristi u nekom obliku procjene rizika, mada često puta nisu ni svjesne toga. ISO 31000 pruža mogućnost da se definira princip upravljanja rizicima, odnosno poslovni proces za to sa svim elementima sustavnosti i dokumentiranosti. Izuzetna vrijednost norme ISO 31000 je u tome da ona predstavlja u biti sveopći koncenzus u svijetu u smislu primjenljivoti. Niz godina već se praktički ta norma primjenjivala u ogromnom broju, ali kroz formu nacionalne norme AS/NZ 4360:2004. Pored toga, norma ISO 31000 je harmonizirana s ostalim ISO normama, kao što su npr. ISO 9001, ISO 14001, ISO 27001, ISO 20000, ISO 22000, itd. To samo znači da pruža relativno jednostavnu mogućnost integracije u IMS (Integrated Management System).