Актуални статии и мнения в областта на внедряване на системи за управление на сигурността на информацията, ИТ услугите, непрекъсваемостта на бизнеса, качеството. ISO 27001, ISO 20000, BS 25999, ISO 22301, ISO 9001. Едно мнение в почвече никога не е излишно
Постинги в блога от Юни, 2012 г.
Как бих избрал консултант по внедряване на система за управление (ISO система)?
Славчо Ненков - iSMS Lead auditor; QMS, iSMS, ITSMS, BCMS consultant
В самото начало бих искал да уточня, че тази статия не се отнася до мениджъри, които бих искали да си "купят" система за управление или още по-направо казано - да си купят сертификат. За тях критерият е ясен - най-ниската цена и тази статия е излишна загуба на време. Тази статия е за мениджърите, които освен сертификат, биха желали да получат и предимствата на една наистина работеща система в тяхната организация.
Как постъпвате, когато решите, че е дошло време да внедрите система за управление (ISO система) във Вашата организация? Няма проблем - ще отговорите Вие - на пазара има над 60 консултантски организации. Обикновено се обръщате към консултанта, който вече е внедрявал при Вас друга система за упарвление. Или искате препоръка за консултант, внедрявал система за управление при Ваш колега. Или пък просто търсите в интернет по ключова дума, избирате 4-5 консултанта от първите страници на гугъл и избирате консултанта, предложил на най-добра финансова оферта.
А сигурни ли сте, че така правите най-добрия избор? Всеки може да даде отговор за себе си, но ето как бих постъпил аз на база досегашния си опит в тази сфера:
Идеята за първичен подбор сред консултантите, внедрявали при Вас и при Ваши колеги е добра - това дава информация относно коректността на консултанта. Ако нямам такава възможност бих потърсил по интернет по ключови думи, максимално детайлизиращи желаната система за упарвление. След като направим подбора на потенциалните консултанти, следва да изберем своя консултант. На първо място аз бих поискал информация и доказателства какви внедрявания има всеки от така подбраните консултанти. Някои от системите за управление се считат за "масови" - такива са например системите за управление на качеството, околната среда, здравословни и безопасни условия на труд, разработвани по изискванията на стандартите ISO 9001, ISO 14001, OHSAS 18001. По тези системи работят на практика почти всички консултанти и тук рискът да попаднете на неопитен консултант е по-малка. Независимо от това внедряването на такива системи също изисква съответната компетентност и аз бих поискал доказателства за внедряване и обратна връзка от съответния клиент. По-различно стои въпросът с внедряване на някои системи, изискващи по-специфичен опит и познания - такива са системите, внедрявани според изискванията на по-нови за българския пазар стандарти - такива са ISO 20000-1 (за системи за управление на услугите), ISO 27001 (за системи за управление на сигурността на информацията), ISO 22000 (за системи за управление на безопасността на храните), ISO 22301 (за системи за управление на непрекъснатостта на бизнеса), ISO 50001 (за системи за енергиен мениджмънт), ISO 31000 (за управление на риска). Изборът на консултант по тези стандарти е значително по-рисков тъй като не са много консултантите с опит в нашата страна. И докато по стандартите ISO 22000 и ISO 27001 наистина опитните консултанти не са много, но избор има, то по стандартите ISO 20000-1, ISO 22301, ISO 31000, ISO 50001 изборът е изключително затруднен пордаи малкото количество внедрени системи в страната. В този случай от изключително важно значение е внимателното проучване на консултантския опит на кандидата. Тук лесно можете да бъдете подведени, ето няколко популярни начина:
=======================================
www.mscservices.eu - Вашите ISO консултанти
=======================================
1. Избирате консултанти от първите страници на гугъл Грешка - класирането в гугъл е на база платена услуга или просто много добра SEO оптимизация, а не на консултантски умения 2. Избирате консултант, който е изброил огромно количество стандарти в своето портфолио Грешка - някои консултанти залагат в портфолиото си всички известни им стандарти и чакат някой клиент "да клъвне" през търсачките на някой от тях. Честно казано аз бих се обърнал към по-тясно специлизран консултант, а не към "специалист по всичко". Обяснението не е трудно - всеки от изброените стандарти има своя специфика и изисква задълбочено познаване на материята, като в много случаи е физически невъзможно да бъде обхваната толкова разнообразна и обемна материя. Например в групата стандарти ISO 27000 има над 20 актуални стандарта, подпомагащи внедряването и одита на системи за управление на сигурността на информацията. Като се има предвид, че консултантските компании в България по правило разполагат с до 6-7 специалисти по системи за управление, сами разбирате че практически не е възможност да се покрият задълбочено всички посочени в началото сатандарти. 3. Избирате най-ниската предложена цена и най-кратък срок за внедряване. Груба грешка - това в общия случай означава, че ще получите някакви типови документи (т.нар. темплейти), които в бъдеще ще се принудите сами да оптимизирате за своята дейност. И без да се опитвам да бъда ментор, ще кажа че цени под 8000 - 9000 лв за внедряване на ISO 27001 в малка организация са меко казано съмнителни, а за внедряване на ISO 20000-1, ISO 22301 - направо абсурдни. Също така срокове за внедряване под 5-6 месеца са доста авантюристични и нереални.
След като съм проучил професионалния опит и съм избрал своя консултант от съществено значение е да дефинирам ясно задълженията на страните, плана за внедряване и начините за отчитане на етапите от проекта. Често срещана грешка от страна на клиента тук е да не се навлиза в детайлизиране на плана по етапи, срокове и отговорности за изпълнение. По този начин може да получите нещо съвсем различно от това, което сте очаквали, а липсата на ясен регламент може да Ви вкара в нескончаеми спорове с консултанта при неясен победител в края на договора. И още нещо важно, което не бих пропуснал - задължително ще включа свои служители активно да участват в процеса на внедряването. На пръв поглед това е разхищение на ресурс при положение, че сме платили за внедряването на консултант. Но в дългосрочен план ще имам подготвени хора за управление на системата за управление и ще намаля бъдещата зависимост от консултанта.
Надявам се, че с настоящата статия съм бил полезен на тези, които са решили да внедряват система за управление. А защо един консултант би написал такава статия? - защото за професионално работещите консултанти е за предпочитане на работят с клиенти, които знаят "правилата на играта". За всякакви допълнителни въпроси, можете да се обръщате на www.mscservices.eu
В самото начало бих искал да уточня, че тази статия не се отнася до мениджъри, които бих искали да си "купят" система за управление или още по-направо казано - да си купят сертификат. За тях критерият е ясен - най-ниската цена и тази статия е излишна загуба на време. Тази статия е за мениджърите, които освен сертификат, биха желали да получат и предимствата на една наистина работеща система в тяхната организация.
Как постъпвате, когато решите, че е дошло време да внедрите система за управление (ISO система) във Вашата организация? Няма проблем - ще отговорите Вие - на пазара има над 60 консултантски организации. Обикновено се обръщате към консултанта, който вече е внедрявал при Вас друга система за упарвление. Или искате препоръка за консултант, внедрявал система за управление при Ваш колега. Или пък просто търсите в интернет по ключова дума, избирате 4-5 консултанта от първите страници на гугъл и избирате консултанта, предложил на най-добра финансова оферта.
А сигурни ли сте, че така правите най-добрия избор? Всеки може да даде отговор за себе си, но ето как бих постъпил аз на база досегашния си опит в тази сфера:
Идеята за първичен подбор сред консултантите, внедрявали при Вас и при Ваши колеги е добра - това дава информация относно коректността на консултанта. Ако нямам такава възможност бих потърсил по интернет по ключови думи, максимално детайлизиращи желаната система за упарвление. След като направим подбора на потенциалните консултанти, следва да изберем своя консултант. На първо място аз бих поискал информация и доказателства какви внедрявания има всеки от така подбраните консултанти. Някои от системите за управление се считат за "масови" - такива са например системите за управление на качеството, околната среда, здравословни и безопасни условия на труд, разработвани по изискванията на стандартите ISO 9001, ISO 14001, OHSAS 18001. По тези системи работят на практика почти всички консултанти и тук рискът да попаднете на неопитен консултант е по-малка. Независимо от това внедряването на такива системи също изисква съответната компетентност и аз бих поискал доказателства за внедряване и обратна връзка от съответния клиент. По-различно стои въпросът с внедряване на някои системи, изискващи по-специфичен опит и познания - такива са системите, внедрявани според изискванията на по-нови за българския пазар стандарти - такива са ISO 20000-1 (за системи за управление на услугите), ISO 27001 (за системи за управление на сигурността на информацията), ISO 22000 (за системи за управление на безопасността на храните), ISO 22301 (за системи за управление на непрекъснатостта на бизнеса), ISO 50001 (за системи за енергиен мениджмънт), ISO 31000 (за управление на риска). Изборът на консултант по тези стандарти е значително по-рисков тъй като не са много консултантите с опит в нашата страна. И докато по стандартите ISO 22000 и ISO 27001 наистина опитните консултанти не са много, но избор има, то по стандартите ISO 20000-1, ISO 22301, ISO 31000, ISO 50001 изборът е изключително затруднен пордаи малкото количество внедрени системи в страната. В този случай от изключително важно значение е внимателното проучване на консултантския опит на кандидата. Тук лесно можете да бъдете подведени, ето няколко популярни начина:
=======================================
www.mscservices.eu - Вашите ISO консултанти
=======================================
1. Избирате консултанти от първите страници на гугъл Грешка - класирането в гугъл е на база платена услуга или просто много добра SEO оптимизация, а не на консултантски умения 2. Избирате консултант, който е изброил огромно количество стандарти в своето портфолио Грешка - някои консултанти залагат в портфолиото си всички известни им стандарти и чакат някой клиент "да клъвне" през търсачките на някой от тях. Честно казано аз бих се обърнал към по-тясно специлизран консултант, а не към "специалист по всичко". Обяснението не е трудно - всеки от изброените стандарти има своя специфика и изисква задълбочено познаване на материята, като в много случаи е физически невъзможно да бъде обхваната толкова разнообразна и обемна материя. Например в групата стандарти ISO 27000 има над 20 актуални стандарта, подпомагащи внедряването и одита на системи за управление на сигурността на информацията. Като се има предвид, че консултантските компании в България по правило разполагат с до 6-7 специалисти по системи за управление, сами разбирате че практически не е възможност да се покрият задълбочено всички посочени в началото сатандарти. 3. Избирате най-ниската предложена цена и най-кратък срок за внедряване. Груба грешка - това в общия случай означава, че ще получите някакви типови документи (т.нар. темплейти), които в бъдеще ще се принудите сами да оптимизирате за своята дейност. И без да се опитвам да бъда ментор, ще кажа че цени под 8000 - 9000 лв за внедряване на ISO 27001 в малка организация са меко казано съмнителни, а за внедряване на ISO 20000-1, ISO 22301 - направо абсурдни. Също така срокове за внедряване под 5-6 месеца са доста авантюристични и нереални.
След като съм проучил професионалния опит и съм избрал своя консултант от съществено значение е да дефинирам ясно задълженията на страните, плана за внедряване и начините за отчитане на етапите от проекта. Често срещана грешка от страна на клиента тук е да не се навлиза в детайлизиране на плана по етапи, срокове и отговорности за изпълнение. По този начин може да получите нещо съвсем различно от това, което сте очаквали, а липсата на ясен регламент може да Ви вкара в нескончаеми спорове с консултанта при неясен победител в края на договора. И още нещо важно, което не бих пропуснал - задължително ще включа свои служители активно да участват в процеса на внедряването. На пръв поглед това е разхищение на ресурс при положение, че сме платили за внедряването на консултант. Но в дългосрочен план ще имам подготвени хора за управление на системата за управление и ще намаля бъдещата зависимост от консултанта.
Надявам се, че с настоящата статия съм бил полезен на тези, които са решили да внедряват система за управление. А защо един консултант би написал такава статия? - защото за професионално работещите консултанти е за предпочитане на работят с клиенти, които знаят "правилата на играта". За всякакви допълнителни въпроси, можете да се обръщате на www.mscservices.eu
