ISO 27001 klauzula po klauzula: 10.2 — Neusaglašenost i korektivne mere

Poslednji tekst u glavnoj seriji klauzula po klauzula. Klauzula 10.2 formalno propisuje obrazac koji smo, bez da smo ga imenovali, koristili u primerima kroz gotovo svaki prethodni tekst u ovoj seriji — šta firma treba da uradi kad nešto ipak krene naopako.

U jednoj rečenici: klauzula 10.2 traži da firma, kad se pojavi neusaglašenost, ne samo ispravi tu jednu situaciju, nego pronađe i otkloni njen stvarni uzrok, proveri da li se isti problem može pojaviti i na drugom mestu, i potvrdi da je preduzeta mera zaista delotvorna.

Šta klauzula 10.2 traži

Kad se pojavi neusaglašenost — bilo incident, nalaz audita, ili bilo koje odstupanje od onoga što sistem treba da radi — standard traži pet koraka:

a) reagovati na neusaglašenost — preduzeti radnju da se ona kontroliše i ispravi, i pozabaviti se posledicama, b) oceniti potrebu za uklanjanjem uzroka, kako se ne bi ponovila ili pojavila na drugom mestu, kroz pregled neusaglašenosti, utvrđivanje njenog uzroka, i proveru da li slične neusaglašenosti već postoje ili bi mogle da se pojave, c) sprovesti potrebnu radnju, d) proveriti efikasnost preduzete korektivne mere, e) izmeniti sistem, ako je to potrebno.

Standard eksplicitno traži dokumentaciju o prirodi neusaglašenosti, preduzetim radnjama i rezultatima korektivne mere — direktna veza sa klauzulom 7.5, koju smo ranije obradili.

Najvažniji, a najčešće preskočen deo ovog niza je tačka b) — provera da li slična neusaglašenost postoji ili bi mogla da se pojavi na drugom mestu. Razlika između plitkog i pravog rešavanja problema je upravo tu: plitko rešenje ispravlja samo ono što se desilo; pravo rešenje pita se da li se isti uzrok krije i negde drugde.

Zašto je ova klauzula bitna

Ako ste pratili ovu seriju, prepoznaćete ovaj obrazac — prijava, analiza uzroka, korektivna mera, obuka — iz gotovo svakog primera koji smo koristili, počev od incidenta u tekstu o klauzuli 4.1, preko čitavog vodiča za klauzulu 4.4, do nalaza internog audita u 9.2. Klauzula 10.2 je mesto gde se taj obrazac, koji smo kroz seriju primenjivali intuitivno, konačno formalno imenuje i propisuje kao zahtev standarda.

Primer iz prakse

Vratimo se na nalaz iz teksta o klauzuli 9.2 — dvoje novozaposlenih u knjigovodstvenoj agenciji nije prošlo obuku o svesti u propisanom roku. U tekstu o klauzuli 9.3 pomenuli smo da je nalaz zatvoren za nedelju dana. Ovde pokazujemo šta se tačno desilo iza te jedne rečenice, korak po korak kroz klauzulu 10.2.

• Reagovanje: oba zaposlena odmah su upućena na obuku, nadoknađujući propušteno.
• Analiza uzroka: koordinatorka je istražila zašto se to desilo, i otkrila da uzrok nije bio nemar tih konkretnih ljudi, nego rupa u samom onboarding procesu — HR proces za nove zaposlene i ISMS proces za obuku nikad nisu bili formalno povezani, pa je obuka zavisila od toga da li se neko slučajno seti da je organizuje.
• Provera da li postoje slične neusaglašenosti: kad je ovo otkriveno, agencija je proverila i ostale zaposlene primljene u prethodnih dvanaest meseci. Ispostavilo se da je još jedna osoba, zaposlena šest meseci ranije, takođe propustila obuku — slučaj koji do tada nikad nije bio ni primećen, jer niko sistemski nije proveravao.
• Sprovedena radnja: onboarding checklist je zvanično izmenjen tako da uključuje korak „obuka o svesti završena", koji HR ne može da označi kao gotov dok koordinatorka to ne potvrdi — strukturna izmena procesa, ne samo naknadna obuka za dvoje pojedinaca.
• Provera efikasnosti: na naredna tri onboardinga posle ove izmene, svi novi zaposleni završili su obuku u roku — potvrđeno kroz pokazatelj uveden na pregledu menadžmenta opisanom u 9.3.
• Izmena sistema: onboarding checklist ostaje trajno izmenjen, ne kao privremena mera nego kao stalan deo procesa.

Razlika između ovog i plićeg pristupa — samo poslati dvoje ljudi na naknadnu obuku i zatvoriti nalaz — jeste tačno ono što klauzula 10.2 traži: otkrivanje da problem nije bio u ljudima, nego u procesu, i da bi se, bez izmene tog procesa, sledeći novozaposleni verovatno našao u istoj situaciji.

Gde se dokumentuje

Svaka neusaglašenost obično se vodi kroz isti registar koji smo opisali za incidente u vodiču za klauzulu 4.4 — opis, uzrok, preduzeta radnja, provera efikasnosti, status. Nema potrebe za odvojenim sistemom za „incidente" i posebnim za „neusaglašenosti" — u praksi, za malu firmu, to je često isti registar, samo primenjen na širi krug situacija.

Najčešća greška

Najčešća greška je zaustavljanje na koraku a) — ispraviti trenutnu situaciju i smatrati stvar zatvorenom, bez ikad postavljenog pitanja zašto se to uopšte desilo. Druga česta greška, možda i najskuplja, jeste preskakanje provere da li se ista stvar dešava i na drugom mestu — u primeru iznad, bez te provere, treći propušten slučaj ostao bi zauvek neotkriven.

Ovim se zatvara serija klauzula po klauzula

Od klauzule 4.1 do klauzule 10.2, prošli smo kroz čitav glavni deo standarda — dvadeset i dva teksta, jednu firmu čiju smo priču pratili kroz gotovo svaku klauzulu, i desetak primera iz drugih delatnosti u mini-seriji usput.