ISO/IEC 20000-1, klauzula 4.1 — Razumevanje organizacije i njenog konteksta

Šta standard zahteva

Klauzula 4.1 traži da organizacija odredi spoljašnja i unutrašnja pitanja koja su relevantna za njenu svrhu i koja utiču na sposobnost da ostvari planirane rezultate sistema upravljanja uslugama (SMS). Standard napominje da "pitanje" (issue) može biti i pozitivan i negativan faktor — nije reč samo o problemima, nego o svemu što je bitno za sposobnost organizacije da isporučuje usluge dogovorenog kvaliteta svojim korisnicima.

Primer

Primer: IT sektor Adria Trade-a, prilikom prvog razmatranja konteksta, prepoznaje sledeća pitanja:

  • Spoljašnja:
    • kompanija planira otvaranje deset novih prodavnica u narednih 18 meseci, što direktno povećava obim posla IT sektora bez najavljenog povećanja broja zaposlenih;
    • zakon o fiskalizaciji zahteva da sav POS softver bude sertifikovan i redovno ažuriran, što stvara stalnu regulatornu obavezu;
    • cloud ERP dobavljač ima sopstveni SLA koji ograničava koliko brzo IT sektor može da reaguje na probleme koji potiču iz same ERP platforme.
  • Unutrašnja:
    • IT sektor godinama radi neformalno, bez definisanog kataloga usluga;
    • ostatak firme IT doživljava kao "trošak", a ne kao davaoca usluge sa jasnim obavezama;
    • znanje o starijim on-premise sistemima u prodavnicama skoncentrisano je kod dvoje ljudi koji su u firmi najduže.

Šta treba uraditi

  • Organizovati kratku radnu sesiju sa rukovodstvom IT sektora (i po potrebi predstavnicima drugih sektora) posvećenu isključivo pitanju "šta utiče na to koliko dobro možemo da pružamo usluge".
  • Razdvojiti spoljašnja pitanja od unutrašnjih, jer zahtevaju različit pristup:
    • spoljašnja — zakonske i regulatorne obaveze, poslovni planovi kompanije (širenje, spajanja, nove lokacije), zavisnost od spoljnih dobavljača i njihovih SLA obaveza, trendovi u tehnologiji koje treba pratiti;
    • unutrašnja — raspoloživi budžet i broj ljudi, znanje koncentrisano kod pojedinaca, stanje postojeće infrastrukture, način na koji ostatak firme trenutno doživljava IT sektor.
  • Pregledati postojeću poslovnu dokumentaciju (planove razvoja, budžetske projekcije) umesto da se pitanja izmišljaju iz glave — najvažniji spoljašnji faktori obično već postoje zapisani negde u firmi, samo ih IT sektor nikad nije pogledao iz sopstvenog ugla.
  • Zapisati prepoznata pitanja u kratak dokument — ne mora biti opširan, ali mora postojati, jer se na njega kasnije oslanja definisanje obima SMS-a (klauzula 4.3).
  • Odrediti kada se ovaj pregled ponavlja — razuman minimum je jednom godišnje, plus svaki put kad se desi nešto krupno (nova ERP migracija, značajno širenje broja lokacija, promena u zakonskoj regulativi).

Comments

Post a Comment

Popular posts from this blog

Šta je ISO 27001 i da li je mojoj firmi stvarno potreban?

  Prvi tekst na blogu InfoSec bez stresa — i pitanje koje sebi postavi skoro svaki vlasnik male ili srednje firme onog trenutka kad prvi put čuje za ovaj standard. Realna situacija Zamislite ovo: firma ima 15 zaposlenih, radi razvoj softvera ili pruža IT usluge, posluje solidno, sve funkcioniše. Onda stigne mejl od velikog klijenta — banke, osiguravajuće kuće ili strane kompanije s kojom se pregovara o saradnji. U prilogu je bezbednosni upitnik, a na dnu jedna rečenica koja pokvari popodne: „Molimo dostavite ISO 27001 sertifikat ili plan implementacije u naredna tri meseca." Ili, druga verzija iste priče: firma konkuriše na tenderu, sve uslove ispunjava — sem jednog. Traži se ISO 27001. Prva reakcija je obično paničan Google upit u stilu „šta je ISO 27001" i „da li mi to stvarno treba", u ponoć, uz osećaj da se upravo otvorila rupa u budžetu i rasporedu koje niko nije planirao. Ako je ovo vaša situacija — ili slutite da bi mogla postati — ovaj tekst je tu da va...
Read more

ISO 22301:2019 u praksi — Praktična obuka na primeru fabrike piva

Ova serija od osam članaka provodi vas kroz sve zahteve standarda ISO 22301:2019 — Sistemi upravljanja kontinuitetom poslovanja (BCMS) , klauzulu po klauzulu, na konkretnom praktičnom primeru: fiktivnoj proizvodnoj pivari „Zeleni Hmelj" d.o.o. , sa sopstvenom varionicom, punionicom i hibridnom IT/OT arhitekturom (SCADA/PLC industrijski sistemi, lokalni ERP i cloud servisi — Microsoft 365, cloud backup/DR, SaaS CRM). Umesto apstraktnog prepričavanja teksta standarda, svaki post gradi stvaran, upotrebljiv dokument — politiku, matricu, BIA analizu, BCP plan, zapisnik — kakav bi auditor tražio na sertifikacionoj proveri. Kroz celu seriju provlači se jedan princip: zahtevi kontinuiteta poslovanja dolaze od biznisa ka IT sektoru, a ne obrnuto — proizvodnja i komercijala definišu koliko dugo mogu da izdrže bez svog sistema, a IT/OT sektor sprovodi tehnička rešenja koja taj zahtev ispunjavaju. Sadržaj serije Deo 1 Uvod u BCMS i Klauzula 4 — Kontekst organizacije Razlika BCMS v...
Read more

ISO 27031: Upravljanje IRBC-om i usklađivanje sa ciljevima kontinuiteta (klauzula 6.1–6.3)

6.1 – Opšte Standard deli uzroke prekida u nekoliko grupa: prirodni uzroci – požar, poplava. Retki, ali fizički pogađaju celu lokaciju odjednom, ne samo jednu komponentu. tehnički kvarovi – hardver, softver, napajanje, klimatizacija. Najčešća kategorija u praksi, i ona za koju firme obično imaju najviše iskustva. ljudska greška – loše podešen bekap, propust u upravljanju izmenama. Retko ko je namerno kriv, ali posledice su iste kao da jeste. namerna akcija – hakovanje, malver, sabotaža. Ovde je pored oporavka bitna i istraga – ko je i kako ušao. društveni faktori – pandemija, štrajk. Ne pogađaju tehnologiju direktno, nego ljude koji je održavaju. cyber napadi – DoS, DDoS, napadi koji preplave sistem saobraćajem dok ne prestane da radi. lanac snabdevanja – prekid kod cloud provajdera, nejasni bezbednosni uslovi u ugovoru sa dobavljačem. Ovde firma nema direktnu kontrolu, samo ugovor i poverenje. Rizik da IT prestane da radi ima jedan prepoznatljiv obrazac: retko se ...
Read more