ISO 9001:2008 nema novih zahtjeva - obmana ili istina?

Pogledajte ovaj tekst:
Novo izdanje norme ISO 9001:2008 «Sustavi upravljanja kvalitetom» stupilo je na snagu 14.11.2008.
Na web stranici ISO organizacije (www.iso.org) nalaze se usuglašene informacije IAF (International Accreditation Forum) i ISO (International Organization for Standardization) o prijelazu na novu normu, o čemu dajemo kratke informacije.
Norma za sustave upravljanja kvalitetom ISO 9001 jedna je od široko korištenih norma u svijetu i prema verziji od 2000. godine u 170 zemalja svijeta certificirano je oko milijun proizvodnih i uslužnih organizacija.
Svakih nekoliko godina u okviru ISO organizacije razmatra se i po potrebi revidira svaka važeća norma, pa je i norma ISO 9001 iz 2000. godine doživjela novo izdanje.
Najvažnije informacije su:
1. ISO 9001:2008 ne sadrži nikakve nove zahtjeve.
2. Norma daje pojašnjenja postojećih zahtjeva norme iz ISO 9001:2000 temeljena na osmogodišnjem iskustvu uvođenja norme širom svijeta.
3. Norma zadržava procesni pristup koji definira kao «primjenu sustava procesa u organizaciji, njihovo određivanje (definiranje), međusobno djelovanje i upravljanje zbog postizanja željenog rezultata».
4. Pojašnjenja se odnose na precizniju obavezu definiranja, mjerenja i analiziranja svih procesa, potpunog upravljanja djelatnostima koje su prenesene na dobavljače (outsourcing), obavezu imenovanja predstavnika uprave organizacije zaduženoga za sustav upravljanja kvalitetom, obavezu ocjenjivanja učinkovitosti otklanjanja nesukladnosti, preventivnih i korektivnih radnji.
5. Sve akreditirane certifikacijske organizacije dužne su provoditi nove certifikacijske audite, kao i recertifikacijske audite u skladu s novom normom iz 2008. godine. Tijekom redovitih nadzornih audita provjeravat  će se usklađenost s novom normom o čemu će se izdati i novi certifikati.
6. 24 mjeseca nakon izdanja ISO 9001:2008 postojeći certifikati izdani prema normi ISO 9001:2000 neće vrijediti.

Znate li što predstavlja ovaj tekst? Ne znate? To je uobičajeni dio dopisa kojeg su slale certifikacijske kuće svojim partnerima kojima su izvršile certifikaciju, a po pravilu rade i recertifikaciju. Tim dopisom certifikacijske kuće obavještavaju svoje partnere da praktički u novoj reviziji norme ISO 9001:2008 nema ništa novo - odnosno nema novih zahtjeva u odnosu na reviziju ISO 9001:2000. Osobno sam sretao takve izjave i u Austriji, ali i nekim drugim državama. Želio bi u ovom tekstu malo analizirati s jedne strane ovakav dopis i sadržaj teksta u njemu, a s druge strane stvarno značenje u trenutno važećoj reviziji norme. Kako ima mnogo detalja u novoj reviziji norme ISO 9001:2008 s kojima se može ozbiljno dovesti u pitanje kompetentnost gornjeg dopisa, ovaj put bi pozornost usmjerio samo na jedan detalj, a to procjena rizika o čemu se može čuti svašta.

No, počnimo od jednostavnih pitanja ili činjenica. Prvo, konstatirajmo da se sadržaj norme ISO 9001:2008 u svojoj cjelini odnosi na niz zahtjeva koje se mora ispuniti ako se želi certifikat za sustav upravljanja kvalitetom. Osnovna značajka ove norme je da se u njoj zahtjevi označavaju s riječi "MORA", odnosno svaki navedeni zahtjev firma MORA provesti tijekom implementacije. Pored riječi "MORA" često puta se koristi i riječ "TREBA". Npr. "Organizacija TREBA provesti..." Pitanje: da li "TREBA" znači isto što i "MORA"? Tu se mnogi auditori ne slažu u potpunosti i neki su skloni da zahtjeve koji su povezani s riječi "TREBA" jednostavno ignoriraju. Slažem se da je ISO organizacija tu napravila medveđu uslugu s određenom nepreciznošću, ali u primjeru s rizicima ću objasniti kako to baš i nije nejasno, te da praktički "TREBA" i "MORA" znači u nizu slučajeva isto - zahtjev kojega se mora ispuniti. Osobno moje mišljenje je da niz auditora (ali i konzultanata) bježi od zahtjeva koji su opisani s "TREBA" jer su ti zahtjevi u pravilu izuzetno stručni i traže specijalistička znanja, a oni ih nemaju dovoljno ili nemaju u opće. Pa zašto "čeprkati" po nećemu što se nezna? Lakše je to preskočiti i objašnjavati kako to nije bitno. S druge strane sinhronizirani rad konzultanata i certifikacijskih kuća nije ništa novo niti izmišljotina naših prostora.

Vratimo se na gornji tekst dopisa certifikacijskih kuća. Tamo stoji: "ISO 9001:2008 NE SADRŽI nikakve nove zahtjeve". No malo dalje stoji: "Pojašnjenja se odnose na precizniju OBAVEZU definiranja, mjerenja i analiziranja svih procesa, potpunog upravljanja djelatnostima koje su prenesene na dobavljače (outsourcing), obavezu imenovanja predstavnika uprave organizacije zaduženoga za sustav upravljanja kvalitetom, obavezu ocjenjivanja učinkovitosti otklanjanja nesukladnosti, preventivnih i korektivnih radnji.". Da li je to jezična ekvilibristika ili je to kontradikcija? Nema novih zahtjeva, a onda odjednom obaveza preciznog definiranja niza elemenata koji u prethodnoj reviziji iz 2000 godine nisu postojali ili su samo formalno navedeni. Prema ovom tekstu (a to je sukladno s tekstom norme) auditor treba provjeriti detaljno mapiranje procesa, mjerenje procesa, outsoucing rješenja, razna ocjenjivanja, itd. To se ranije nije trebalo raditi. Pa zar to nisu novi zahtjevi koji se postavljaju pred menadžere sustava upravljanja kvalitetom? Kako to uraditi? To je za sada za većinu konzultanata i auditora nerješiv problem i tabu tema. Njima apsolutno ide u prilog tekst gornjeg dopisa. No koliko je to daleko od potreba stvarnog sustava upravljanja kvalitetom sasvim je drugo pitanje.

Ako pogledate tekst  "Zahtjevi nove norme ISO 9001:2008 – kozmetika ili panika" objavljen na portalu vezan za novosti norme ISO 9001:2008 moći ćete naći ih niz koje ni u kom slučaju nisu zanemarive.

Ja ću se referirati ovog trenutka samo na jedan detalj. To je pitanje rizika i procjene rizika - odnosno bolje rečeno upravljanja rizicima. Treba li vršiti procjenu rizika i upravljati s rizicima u okviru implemenatcije sustava upravljanja kvalitetom? Pogledajmo što o tome piše u normi ISO 9001:2008

Uvod
0.1 Općenito
Uvođenje sustava upravljanja kvalitetom treba biti strateška odluka organizacije. Na oblikovanje i primjenu sustava upravljanja kvalitetom organizacije utječu:
a) okruženje organizacije, promjene u tom okruženju i rizici koji se odnose na to okruženje, ...

Prvi puta se u svezi sa sustavima upravljanja kvalitetom spominju OKRUŽENJE i RIZICI - kao pojam u okviru norme ISO 9001. Pogledajmo s točke gledišta auditora ovaj mali citat iz norme. Smije li auditor pitati i tražiti dokaz tijekom certifikacije ili recertifikacije? Pa naravno da smije. Može li auditor prihvatiti implementaciju sustava kvalitete i predložiti dodjelu certifikata ako organizacija prilikom implementacije nije vodila računa o okruženju i pripadnim rizicima? Pa ako auditore podijelimo na savjesne i one druge, onda savjesni auditori ne mogu propustiti certifikaciju a da ovo pitanje nije riješeno. Zašto? Pa firma koja ima sustav upravljanja kvalitetom, a nema pojma o potecijalnim opasnostima koje mogu ugroziti njeno poslovanje tu svoju nesigurnost prenosi na poslovne partnere kojima služi kao dobavljač proizvoda i/ili usluga. Da li će to kupci mirno gledati? Možda se niz kupaca trenutno tako ponaša, ali sutra, kada se malo i oni osvijeste, obrazuju i shvate ozbiljnost svoje sigurnosti koja je velikim dijelom ovisna o sigurnosti dobavljača, što će biti?

Da bi to malo bolje objasnili vratimo se na početak priče o kvaliteti. Čemu služi certifikat? To je dokaz kojim se potvrđuje da je organizacija ispunila sve zahtjeve definirane u normi ISO 9001, ali uzimajući u obzir uvjete i okruženje u kojima organizacija funkcionira. Uz to, certifikat znači da sustav upravljanja kvalitetom vodi brigu o rizicima poslovanja, te na taj način daje partnerima signal: "mi smo ne samo kvalitetni kako piše u politici kvalitete, već i stabilni i pouzdani u budućnosti jer brinemo o svim prijetnjama koje mogu ugroziti naše poslovanje. Dokaz za to možete vidjeti u našoj dokumentaciji gdje je to sve dokumentirano". To daje sliku svim potencijalnim partnerima da ste pouzdani za suradnju. Kome to nije bitno? Ako se ne slažete s ovim, dalje nije potrebno da gubite vrijeme s čitanjem ovog teksta.

Sada se dolazi do pitanja kako dokumentirati okruženje (vanjsko i unutrašnje) koje utiče na poslovanje organizacije, kako uključiti i kakve procjene rizika raditi? Vrlo teška pitanja, odnosno pitanja koja od menažera, konzultanata i auditora traže nova znanja i iskustva. Taj problem će trebati riješiti. Kod pitanja okruženja trebat će raditi analize i smisliti dokumentacijsku formu kojom će se dokazivati audotorima uključenost tih zavisnih uticaja na uspostavljeni sustav upravljanja kvalitetom. Kada je u pitanju procjena rizika, stvar je za nijansu lakša, barem na prvi pogled. Tu se neće moći ništa uraditi bez norme ISO 31000, koja je u trenutku pisanja ovog teksta u statusu FDIS. No, kada se zagrebe malo površina problema upravljanja rizicima otvaraju se novi problemi: upravljanje incidentima i prekidom poslovanja, odnosno zakonskom obvezom brige o kontinuitetu poslovanja.

Osnovni smisao uvođenja pojma rizika u normu ISO 9001:2008 je osiguranje stabilnosti organizacije i dugoročnosti zadovoljavanja potreba svih zainteresiranih strana posebno u uvjetima nesigurnog poslovnog okruženja.

Postoji li u normi ISO 9001:2008 još negdje veza i obveza upravljanja rizicima? Pogledajmo neke mjesta u normi (nisu sva):

4 Sustav upravljanja kvalitetom
4.1 Opći zahtjevi
...
Organizacija mora:
...
c) odrediti kriterije i metode potrebne kako bi se zajamčilo da i odvijanje i nadzor tih procesa budu učinkoviti

7.3.4 Preispitivanje projektiranja i razvoja
U primjerenim fazama se moraju provesti sustavno preispitivanje projektiranja i razvoja u skladu s planiranim rješenjima (vidjeti 7.3.1) kako bi se:
...
b) utvrdili mogući problemi i predložile potrebne radnje.

8.3 Nadzor nesukladnog proizvoda
Gdje je primjereno, organizacija mora se baviti nesukladnim proizvodom na jedan ili više od sljedećih načina:
...
d) poduzimanjem radnji primjenjivih na učinke, ili moguće učinke na nesukladnost kad je nesukladan proizvod otkriven nakon isporuke ili početka primjene.

To su samo neke ilustracije koje direktno upućuju na nužnost procjene rizika. Ima ih u normi još. Objasnimo ih malo detaljnije: određivanje kriterija i metoda kojima se jamči odvijanje i nadzor da poslovni procesi budu učinkoviti može se optimalno riješiti jedino procjenom i obradom rizika. Kod preispitivanja projektiranja i razvoja utvrđivanje mogućih problema i predlaganje protumjera je dio procjene rizika, ili otkrivanje mogućih učinaka nesukladnosti također predstavlja dio procesa upravljanja rizicima. Ali primjetite, to su sve elementi zahtjeva koje se MORA ispuniti. Slaganje scenarija prema kojima može doći do pojave problema, analiza prijetnji, ranjivosti, te intenziteta posljedica, sve je to dio procesa upravljanja rizicima.

Nameće se uopćeno pitanje vezano za ISO 9001:2008 - na čemu vršiti procjenu rizika? Kako je cilj stabilne organizacije da će u datim uvjetima obavljati svoju viziju, misiju i politiku onako kako je to deklarirano u dokumentima firme stvar je malo jasnija. Naime, ISO 9001 (i prethodna i tekuća revizija) nameće obvezu upravljanja svim aktivnostima firme kroz upravljanje procesima i to ili procesnim pristupom ili PDCA krugom. To znači da su poslovni procesi objekti nad kojima prvenstveno treba vršiti upravljanje rizicima. U nekoj firmi ima više poslovnih procesa (u pravilu najmanje 9: i to 6 koji pripadaju menadžeru sustava kvalitete prema normi ISO 9001, barem jedan glavni poslovni proces (Core) - kojim se zarađuje novac, barem jedan proces podrške, te barem jedan proces upravljanja firmom). Da li se treba na svim identificiranim procesima vršiti procjena rizika? Teoretski i praktički da. No, postoji logički redosljed prioriteta i značaja procesa nad kojima treba vršiti upravljanje rizicima: prvu prioritetnu grupu procesa čine glavni poslovni procesi, zatim procesi podrške, procesi upravljanja, te na kraju menadžerskih 6 procesa (procedura).

Ako se ne gledaju druge nove implicitne ili eksplicitne obveze (zahtjevi) norme ISO 9001:2008, kako se onda može reći da u toj reviziji nema novih zahtjeva kada je upravljanje rizicima postalo sastavni dio sustava upravljanja kvalitetom. U nekim narednim tekstovima ću se osvrnuti na neke druge nove zahtjeve koji neki čitajući normu ne vide, ili ne žele da vide.

Na kraju, vjerojatno bi se u svim tim dopisima koje su odaslale certifikacijske kuće za neke od njih mogla primjeniti njihova neizrečena zaključna izjava: "ma ljudi smo, dogovorit ćemo se. Pa nećemo se valjda opterećivati vrijednošću i stvarnim značajem certifikata. Ipak je to za nas samo business".

Zar je lako je zadovoljiti normu ali ne i kupca?

"Kopajući" po internetu naletio sam na web stranicu jedne firme koja ima u naslovu slogan: "Lako je zadovoljiti normu, ali ne i kupca!". Nije bitno što se dalje navodi na toj web stranici, niti što se propagira na njoj. Ne ulazim u nikakav komentar vezan za djelatnosti i aktivnosti firme te kvalitetu njihovog rada, već na besmislenost ove male fraze.

Osnovni postulat norme (misli se vjerojatno na ISO 9001) je da se zadovolji kupac. Ako kupac nije zadovoljan, pa to je zato što je implementacija norme (ako postoji) u organizaciju besmislena - loše provedena, ili se firma ne drži onoga što je u implementaciji definirano.

Činjenica je da NORMU NIJE LAKO ZADOVOLJITI. S druge strane, nitko ne očekuje da se zadovolji norma. Norma je samo mrtvo slovo na papiru. Ali se očekuje da se zadovolje zahtjevi koje norma definira, ako se želi certifikat po toj normi. Jedan od najvažnijih i ključnih zahtjeva norme je zadovoljstvo kupca. Ako se pogleda proces sustava kvalitete kako ga opisuje i grafički prikazuje norma ISO 9001, na ulazu procesa su zahtjevi kupca, a kao izlaz je zadovoljenje zahtjeva kupca. U fazi Check PDCA kruga se izneđu ostalog traži i mjerenje zadovoljstva kupca. Kako je onda moguće imati zadovoljnog kupca, a nemati zadovoljene zahtjeve norme. To je nemoguće. Zadovoljstvo kupca je uvjetovano ispunjavanjem zahtjeva norme i obrnuto.

Ako se kaže, lako je zadovoljiti normu (zahtjeve norme) onda se to može samo kupnjom certifikata, a ne pravilnom i odgovornom implementacijom i zasluženom dodjelom certifikata. Svi oni koji su učestvovali u implementaciji znaju kako je to složen i odgovoran posao, pa čak i ako se radi o manjim firmama. Vrijeme za pravilnu implementaciju norme može se protezati kroz više mjeseci, pa i više godina za velike organizacije. S druge strane imate u praksi slučajeve da se certifikat može dobiti kroz 30 dana implementacije. E to je svakako lako. Metodologija je uhodana: uzme se nečija dokumentacija, koja u sebi obično ima karateristične nazive firme, kao npr. XXXXX, ili YYYYY, itd, te se Search/Replace metodom dobije nova dokumentacija za firmu koja se zove npr. "Bolja crna budućnost". To svakako nije teško, ali je besmisleno potrošen novac, jer ste kupili nepotrebnu stvar, bez obzira koliko košta. Zašto takve implementacije propuštaju certifikacijske kuće, posebno je pitanje i ide im na čast poslovne odgovornosti. Takva poslovna odgovornost je kod nas malo značajna jer se u konačnici ni država kroz svoje institucije ne obračunava s takvim pojavama, koje su prvenstveno usmjerene na kratkoročne osobne koristi i obmane potencijalnih poslovnih partnera. A zašto se ne bune korisnici takvih usluga? Pa oni su sami pristali na varijantu da nešto plaćaju, a nemaju nikakav dokaz što će na kraju dobiti, a na žalost često puta ni ne znaju što to trebaju dobiti.

Recimo dalje, na istoj web stranici u okviru samoreklame nalazim frazu: "Već smo davno, na temelju osobnog iskustva iz neposredne prakse raščistili sa svim maglovitim konceptima i mistificiranjem kvalitete." Ne postoje magloviti koncepti, postoji samo neznanje i neiskustvo. S druge strane, nitko ne mistificira kvalitetu osim neznalica i nestručnjaka. Jednom, dosta davno sam sreo tekst: "Tko nije u stanju 14-godišnjaku objasniti ono što radi, onda je on diletant". Ja sam 100% pristalica i pobornik te ideje. Nema tog zaposlenika kojemu se nemože jednostavno objaniti što je kvaliteta, bez obzira kakvog je stupnja obrazovanosti. Važno je tko i kako objašnjava. Drugo je pitanje da li se može zaposlenika i kako "pridobiti" da se drži tih principa koji osiguravaju sustav kvalitete. E to već nije jednostavno. Glavni, ako ne i jedini krivac za neuspjeh tog "pridobivanja" je vrhovna uprava na čelu s direktorom.

Ili recimo, nalazim dalje na pomenutoj web stranici: "Za početnike i napredne, za male i velike, bez muke i nauke, bez velikih riječi i tajnovitosti." E to bi stvarno volio vidjeti. Ja sam bio i ostao pobornik obrazovanja, i uvjek sam smatrao da onaj tko je vrijedan (radišan), a neznalica, izuzetno je opasan za posao. Zar nije poznata izreka: bez muke nema nauke. Što se tiče velikih riječi, one su potrebne u trenucima kada je nužna pobuda emocija. No u poslu se nikada ne treba odlučivati s emocijama, već trezveno, hladne glave i na temelju poslovnih pokazatelja. Zato bi volio da me netko upozna s firmom u kojoj je bez muke i nauke uspješno implementirana norma. To ja do sada nisam sreo. No, možda jednog dana i to doživim. Potragu za takvom firmom, smatram isto kao i potragu za svetim Gralom. Iz prakse je poznata činjenica: implementacija norme za sustav upravljanja kvalitetom u organizaciju NEMOŽE se uspješno provesti ako nisu SVI u organizaciji odgovarajuće educirani i ako SVIMA nije podignut nivo svjesnosti o tom problemu na potrebnu razinu. Što mislite kako funkcionira sustav kvalitete u nekoj firmi, kada veći dio zaposlenika nema ni pojma da to kod njih postoji, a većina ostalih misli da je to bespotrebno malteriranje s papirologijom?

Pogledajmo dalje jedan primjer reklame s pomenute stranice: "Svoj koncept kvalitete testirali smo na najsloženijim projektima na svjetskom tržištu u zahtjevnim područjima kao što je razvoj proizvoda i izrada alata za auto-industriju.". Ovo je vrlo interesantno i za svaku pohvalu ako je neka firma na našim prostorima uspjela razviti svoj koncept kvalitete. To je nešto što bi trebalo biti na ponos svima. No, ima jedan mali problem. Kako uvjeriti svjetsko tržište da je vlastiti koncept kvalitete bolji od opće priznatog koncepta temeljenog na normi ISO 9001? U tome i je "tajna" norme ISO 9001 (kao i ostalih) da se ne dolazi u neistražena područja i besmislenja lutanja, pa da o sustavu kvalitete svatko misli što hoće, nego da se o tom problemu u svakom kutku Zemlje misli na sličan, ako ne na isti način. Drugo je pitanje kako se može i treba implementirati sustav upravljanja kvalitetom. E tu može biti, i na sreću ima više konceptualnih i metodoloških pristupa. No, svim tim konceptima i metodama pristupa implementaciji treba biti cilj doći do sustava upravljanja kvalitetom kakav tumači norma ISO 9001 (naravno, sve uz pretpostavku da se želi certifikat ISO 9001). Ako netko ne želi certifikat ISO 9001, onda može izmisliti i svoj koncept kvalitete.

Slijedeća fraza: "Certifikacija sustava nije cilj već sredstvo kojim Uprava potvrđuje svoje opredjeljenje za kvalitetu i stalno poboljšavanje, a organizacija prema van pokazuje sukladnost sa zahtjevima i povećava povjerenje kupaca. Problem nije certifikacija već kvaliteta, troškovi i konkurencija!". Baš obrnuto: certifikacija je cilj, a sredstvo s kojim se olakšava upravljanje na željenom nivou kvalitete je uspostavljen i funkcionalan sustav upravljanja kvalitetom. Poznato je da u nekim organizacijama postoje sustavi upravljanja kvalitetom koje izuzetno dobro rade, a nemaju certifikat. Ako se želi postići i markentiški efekt, tada uprava postavlja cilj da se osigura i certifikat.

Ovakvim pregledom web stranice, može se naći još niz fraza koje su vrlo diskutabilne, a u biti mnogo govore o stavovima ponuđača implementacije sustava za upravljanje kvalitetom. Smatram da je i ovo dovoljno da se čitatelji zamisle oko toga kada čitaju reklame i tumače značenje istih barem kada je u pitanju ovo, inače vrlo ozbiljno i profesionalno područje.

Ovaj tekst sam napisao samo s jednom namjerom, da se pazi kako se reklamira i ne dovodi u zabludu potencijalni partner - korisnik usluga. Smatram da treba uvijek partneru pokazati kakvi ga realni problemi očekuju, te dati dokaz da se te probleme može riješiti, ali ne bez obrazovanja, muke i nauke, ma što god to nekome značilo. U svakom slučaju, uvjet za uspješnu impelementacije norme u organizaciju je savjesna i poslovno orjentirana vrhovna uprava. Bez nje i njegog ispravnog stava NEMA UPSJEŠNE implementacije sustava upravljanja kvalitetom.

Zašto LEAD AUDITOR nije podoban za menadžera ISMS?

Intenzivno razvijano područje menadžmenta sustava u zadnji 7-8 godina je u svakom slučaju i upravljanje informacijskom sigurnošću (ISMS). Ovaj, jedan od oblika raznih menadžement sustava u nekoj organizaciji, u svakoj sredini na svom početku izaziva niz nedoumica vezanih za pitanja da li to nama treba, kakva je korist od toga, itd., pogotovo što je organizacija i do sada funkcionirala bez toga. Takva je situacija i kod nas. Ništa novo i neobično u poređenju s ostalim dijelom svijeta i drugim državama, za koje po definiciji smatramo da su razvijene i naprednije od nas. Razlika je najčešće u tome što su se takva pitanja kod njih počela postavljati ranije pa su sada ipak u nekoj prednosti. Kod nas je jedino problem što ne želimo učiti na tuđim greškama, već nastojimo iste poteze provjeriti kod sebe da li daju iste pogreške. Naravno, obično se to i kod nas potvrđuje kao greška.

Jedno od važnih pitanja koje se postavlja u svakoj organizaciji, nakon što se donese strateška odluka o tome da se službeno uvede neki menadžment sustav: tko je taj "genije" koji to treba objektivno da provede u organizaciji. Ne ulazeći u diskusije o tome kakva rješenja postoje i mogućnosti implementacije ISMS u organizaciju, za uvođenje ISMS u organizaciju treba primjeniti seriju normi ISO/IEC 27000 (27001, 27002, ...). U nastavku teksta ćemo se bazirati isključivo na toj pretpostavci.

Sada bi trebala biti jasnija stvar u organizaciji po pitanju izbora osobe koja treba biti glavna za uvođenje ISMS u organizaciju. No tu se pojavljuje genijalnost vrhovne uprave. Ne pada im na pamet da se bolje upoznaju s problematikom ISMS i odmah po pravilu zaključuju, radi se o informacionom sustavu, znači o informacijama, pa to je informatika, pa to znači problem treba usmjeriti prema informatičarima, odnosno IT sektoru. Opet se može primjeniti poznata parafrizirana rečenica: "oprosti im Oče, ne znaju šta rade". Da baš tako, ne znaju šta rade. Treba reći, da i informatičari se mogu baviti s upravljanjem informacijskog sustava, ali nikako nisu predodređeni za taj posao. Biti menadžer - glavni za ISMS znači prije svega imati menadžerske sposobnosti (urođene, naučene i istrenirane) a i neka specifična znanja koja su u ovom slučaju sirokog spektra.

Sada stupaju na scenu edukacijske i konzalting kuće koje odjednom dobivaju mogućnost novog posla. Važno je da svaki posao bude dugoročan, ne jednokratan, pa treba pripomoći stavu da se svi važni poslovi i znanje oko menadžmenta ISMS ipak drže izvan organizacije i da se to naplaćuje. Zbog toga se i stvaraju "instant stručnjaci" koji kroz par dana seminara budu proizvedeni u neka zanimanja i dobiju neke certfikate koji objektivno ne daju nikakvo jamstvo da će i znati raditi posao menadžera za ISMS u organizaciji. Ali organizaciji dobro pristaje, jer ima "Pedra" koji je odgovoran za sve u koliko nešto nije kako treba. Pa on ima certifikat. Da li je on  kompetentan za taj posao, pa tko to pita?

Serija normi ISO 27k (skraćena oznaka za 27000) kada se malo prelista i pročita odmah ukazuje na postoji nekoliko profila koji bi trebali biti uključeni u implementaciju, održavanje u životu i poboljšanje ISMS u organizaciji. To su u svakom slučaju 3 bitno različita profila:

1. menadžer informacijske sigurnosti
   
2. specijalisti za pojedina područja (eksperti za upravljanje ljudskim potencijalima, experti za legislativu, experti za fizičku zaštitu, experti za IT, itd)
   
3. interni auditori - revizori.
   

Svaki od ovih profila ima svoju određenu funkciju, bitno različite poslove i potrebna znanja. Ni teoretski, jedna osoba nemože raditi sve poslove. S jedne strane mora sve znati, što je izuzetno lako pokazati da je nemoguće, a s druge strane interni auditor nemože raditi poslove pod 1 i 2, odnosno nikada nemože nitko sam sebe auditirati. Barem kako kažu norme, ali i nacionalni zakoni.

Katastrofalne greške nastaju onog trenutka kada se pomisli da profilirani stručnjak iz 2 može raditi po definiciji kao 1, ili 3 kao 1. Ali, kako se nađu uzbuđeni duhovi kada netko završi za 3 a hoće da radi kao 2. Ostali stručnjaci iz 2 se odmah usprotive, osim u slučaju ako on nije stavrno ekspert za neka specijalistička pitanja. Npr. ako je neki pravnik završio za internog auditora, zašto po toj logici ne bi mogao bez specijalne škole biti npr, stručnjak za sigurnost mreža i pisati procedure i uputstva kako to provoditi u konkretnom slučaju. Naravno da to nemože, sigurno je da bez specijalnog obrazovanja i treninga netko iz 2 ili 3 nemože raditi i kao 1. To se upravo događa. Nije ni čudo što stvarno postoji brdo problema u organizaciji kod implemantacije ISMS, a i kasnijeg provođenja.

Kako se sve više traži ljudi koji bi radili na implementaciji ISMS u organizaciji treba i formalno imati neki papir za taj posao. Analizom trenutne ponude na tržištu, ispada da je najpogodnije završiti seminar za Lead Auditora za ISMS i imati neki certifikat, koji je prepoznatljiv i u svijetu, jer iza njega stoji poznata međunarodna organizacija. Što se toga tiče nema problema po pitanju kredibiliteta tog školovanja i certificiranja osoba. Međutim, u reklamama za takvo školovanje se prešućuje jedan detalj. Nakon završene obuke i položenog ispita, koji su po toj varijanti nužni ( ali ne i dovoljan) uvjet za naziv Lead Auditor, postoji još jedna "sitnica". Praksa, praksa, praksa, čitaj broj: dana auditiranja kod certificiranja ISMS. Tko nema tih dana auditiranja, objektivno poštujući ta pravila nema ni status Lead Auditora za ISMS. Kako se premalo firmi kod nas certificira za ISMS, za većinu polaznika nemoguće je ispuniti taj zahtjev u nekom realnom vremenu.

No gledajmo malo s druge strane problem. Šta bi trebao znati i raditi menadžer ISMS u organizaciji, a šta je posao Lead Auditora (u ostalom kao i svakog auditora):

1. Lead Auditor ISMS ima funkciju provjeravanja da li neki sustav radi us skladu s pravilima. Završni akt svakog auditora je izvještaj o tome da li je sustav sukladan s pravilima rada.
2. Menadžer ISMS im a ulogu da projektira implementaciju ISMS, upravlja s tim projektom, koordinira sa svim zainteresiranim stranama, i nakon certifikacije taj projekt implementacije prevede u proces upravljanja ISMS, upravlja s procesom, i brine o njegovom poboljšanju. Rezultat rada menadžera je dokazano poboljšani ISMS u organizaciji.

Vidljivo je da su funkcije bitno različite. Pa i školovanje je zbog toga nužno da bude drugačije. Zato se Lead Auditori za ISMS i školuju da bi bili u stanju raditi funkcije pod a. Za menadžere je problem školovanja sasvim drugačiji. U ostalom, ciljno radno mjesto za Lead Auditore je u okviru neke certifikacijske kuće, a ne u organizaciji, osim na poslovima internog auditora. Meni je iz iskustva poznato da u mnogim organizacijama (istina ne kod nas) pojedinci koji rade kao Menadžeri za ISMS nigdje javno ne ističu da su završili obrazovanje za Lead Auditore ISMS.

U jednom drugom članku će se posebno obraditi tematika školovanja ISMS menadžera. Ali, može se vidjeti zašto u pravilu vrhovna uprava nije zadovoljna s formalnim menadžerima ISMS ako su oni u stvari auditori. Pa njihovo obrazovanje nije ni usmjereno na obavljanje poslova menadžera, već izvođenje audita.

Tko ima pravo certficirati organizacije i osoblje

Pravo certifikacije organizacia za neki menadžment sustav ima svaka organizacija koja je akreditirana od strane nekeg akredaticionog tijela, agencije, itd. Tako npr. pravo dodjele certifikata za uspostavljeni QMS (ISO 9001), ili ISMS (ISO 27001), itd. imaju formalno pravo raditi sve organizacije koje su od starne akredacionog tijela dobile to pravo. U RH za sva pitanja je nadležna Hrvatska akreditacijska agencija (HAA) koja je osnovana Uredbom Vlade Republike Hrvatske (NN 158/2004 i 44/2005), na temelju Zakona o akreditaciji (NN 158/2003).

Pojednostavljeno, svaka domaća ili strana organizacija koja se želi baviti certificiranjem, kako drugih organizacija za neki sustav upravljanja, ili osoba za stjecanje međunarodnih certifikata u RH mora biti akreditirana i od nacionalne HAA. Organizacije koje nemaju nacionalnu akreditaciju od strane HAA nebi smjele vršiti certifikacije na području RH.

HAA je osnovana radi provedbe hrvatskog tehničkog zakonodavstva koje je usklađeno s pravnom stečevinom Europske unije ( acquis communautaire ). Tehničkim se propisima uređuje sigurnost proizvoda i sloboda kretanja na unutarnjem tržištu, zaštita zdravlja građana, zaštita potrošača, zaštita okoliša i druga područja od javnog interesa.

Ocjenu sukladnosti proizvoda, procesa i usluga s tehničkim propisima i normama provode stručno i tehnički osposobljeni laboratoriji, certifikacijska i inspekcijska tijela.

Međunarodno priznati način dokazivanja osposobljenosti za ocjenjivanje sukladnosti je akreditacija.

Akreditirana tijela daju povjerenje u usluge ispitivanja, certifikacije i inspekcije bez obzira radi li se o usluzi državnoj upravi( zakonom uređeno područje) ili naručitelju po ugovoru (dragovoljno područje).

HAA je neovisna, neprofitna i nekomercijalna nacionalna akreditacijska ustanova i zadovoljava sve zahtjeve međunarodne i europske norme za akreditacijska tijela koja je u Republici Hrvatskoj prihvaćena kao hrvatska norma HRN EN ISO/IEC 17011:2005.

Djelatnost HAA:

• Akreditiranje ispitnih i umjernih laboratorija (HRN EN ISO/IEC 17025)
  
• Akreditiranje certifikacijskih organizacija za proizvode (HRN EN 45011)
  
• Akreditiranje certifikacijskih organizacija za sustave upravljanja kvalitetom (HRN EN 45012 )
  
• Akreditiranje certifikacijskih organizacija za sustave upravljanja okolišem (ISO Uputa 66)
  
• Akreditiranje certifikacijskih organizacija za osobe (HRN EN ISO/IEC 17024)
  
• Akreditiranje inspekcijskih/nadzornih organizacija (HRN EN ISO/IEC 17020)
  
• Ocjenjivanje i potvrđivanje osposobljenosti tijela za ocjenu sukladnosti u skladu s tehničkim propisima
  
• Nadzor nad akreditiranim organizacijama
  
• Uspostava i vođenje registra akreditiranih organizacija i tijela za ocjenu sukladnosti
  
• Tehnička potpora tijelima državne uprave za provedbu politike akreditacije u području ocjene sukladnosti
  
• Zaključivanje sporazuma o priznavanju jednakosti postupaka akreditacije (MLA)
  
• Promicanje akreditacije i izobrazba u području akreditacije
  

HAA predstavlja Republiku Hrvatsku u europskim i međunarodnim organizacijama za akreditaciju i sudjeluje u njihovom radu.

HAA je punopravni član EA (Europska suradnja na akreditaciji)

HAA je pridruženi član ILAC ( Međunarodna organizacija za akreditaciju laboratorija )

Pravila akreditiranja su u skladu s europskim normama iz serije 45000 i međunarodnim normama iz serije 17000 koje su prihvaćene kao hrvatske norme, kao i pravilima i vodičima EA, ILAC i IAF.

Kakva je razlika između internog audita i audita certifikacijske kuće?

Samo pitanje koje se nalazi u naslovu možda izaziva čuđenje. Kako se može usporediti interni audit kojeg u pravilu provode educirani zaposlenici i vanjski audit kojeg provode profesionalni auditori neke akreditirane certfikacijske kuće? Odgovor je, a kako se to može razlikovati osim u nekim detaljima koji nemaju veze s tijekom audita.

 

Malo da to razjasnimo nekoliko činjenica: 

1.  Svaki audit bilo kojeg sustava upravljanja (QMS, EMS, ISMS, itd) je postupak u kojemu se mora utvrditi razlika između  zahtjeva koji su definirani samom normom prema kojoj se vrši auditiranje i načina kako je s jedne strane sustav postavljen, a s druge strane kako on u opće funkcionira. Postupak i pravila rada provođenja audita u okviru ingerencije ISO definiraju se normom ISO 19011. U njoj se nigdje izrjekom ne pravi razlika u stupnju kvalitete i opsega provođenja internog i vanjskog audita.  
   
2. Interni audit se provodi u cilju utvrđivanja stanja sustava upravljanja prvenstveno za potrebe vrhovne uprave, a vanjski audit u cilju certificiranja ili recertificiranja sustava. 
   
3. Nesukladnosti utvrđenje na internom auditu povlače interne kozekvence koje se ogledaju kroz provođenje korektivnih i preventivnih radnji, ali moguće i disciplinskih mjera ako je nužno. 
   
4. Nesukladnosti utvrđene u tijeku vanjskog audita podrazumjevaju istu situaciju provođenja mjera kao i kod internog (vidi točku 3), ali i odgađanje dodjele ili oduzimanje certifikata.  
   

Iz gornjeg se vidi da vanjski audit može imati ozbiljnije posljedice nego interni. Zato se u normalnim situacijama vrhovna uprava, koja razumije značaj sustava upravljanja zahtjeva da su interni auditi strožiji od vanjskih, da do u detalje provjeravaju sukladnost sustava upravljanja s normom (normama) i postojećom dokumentacijom u organizaciji. 

Da li je to moguće provesti u praksi. Pa sama činjenica da se tako deklarira normom govori to nije samo moguće, već se tako treba raditi. Anomalije u praksi, gdje se interni auditi ponegdje provode formalno mogu poslužiti samo kao ilustracija i tema za analizu zašto je to tako, a ne kao objašnjenje nemogućnosti. 

Glavni problem leži u svakom slučaju u vrhovnoj upravi. Njena niska svijest o značenju sustava upravljanja, neprepoznavanje pravih razloga uvođenja sustava upravljanja i potrebe njegovog poboljšanja dovodi do toga da se nedovoljno polaže na edukaciju kadra koje treba da provodi interne audite. Zato se dešava da interni auditori, jer ni sami nisu dovoljno educirani ne mogu pravilno i korisno provesti audit. Ako se ima prilike, provjerite u nekoj organizaciji koja ima interne auditore koliko pta godišnje idu na treninge, koliko puta godišnje idu na dodatne edukacije. Rezultat je u pravilu porazan, a u konačnici njima se povjera odgovornost da daju ocjenu o stanju sustava upravljanja.

Vanjski auditori su profesionalci, koji prema akreditacionim pravilima imaju dovoljno iskustva za obavljanje audita. Zbog toga njihovo znanje i iskustvo nebi trebalo biti problematično.

Na kraju jedno malo pitanje: kako je moguće da nakon provedenog internog audita vanjski auditor nađe mnogo puta veliki broj nesukladnosti. Pa zato što je interni audit nekvalitetno proveden.