Samoprocjena prema Uredbi nije upitnik s odgovorima da i ne. Riječ je o bodovanju s dva praga koja moraju biti zadovoljena istovremeno, a organizacije koje to shvate kasno u pravilu otkriju da su posao radile prema krivom cilju.
Dva praga, ne jedan
Svaka podmjera ima svoj set kontrola. Za svaku kontrolu okvir propisuje minimalni bodovni prag za prolaz, ovisno o razini provedbe. Ali to nije sve.
1. Svaka pojedina kontrola mora dosegnuti svoj minimalni prag (Oi ≥ Pi, za svaku kontrolu i).
2. Prosječna ocjena svih kontrola unutar podmjere mora dosegnuti dodatni prag (∑Oi / n ≥ T).
Oba uvjeta moraju vrijediti. Ako prosjek ne prolazi, podmjera nije zadovoljena bez obzira na to što je svaka kontrola pojedinačno prošla.
Primjer iz okvira: podmjera 3.2, procjena rizika nad kritičnom imovinom. Na osnovnoj razini kontrole imaju pragove ≥3, ≥2, ≥2 i ≥2, a dodatni prag prosjeka je >2,5. Organizacija koja svaku kontrolu dovede točno na minimum dobiva prosjek od 2,25 i pada podmjeru unatoč tome što je formalno zadovoljila svaki pojedinačni kriterij.
Zašto je drugi prag uopće uveden
Okvir to izrijekom obrazlaže: dodatni prag služi kao završna provjera stvarne primjene i integracije kontrola, a ne samo formalnog ispunjavanja kriterija. Cilj je spriječiti sustav u kojem svaka kutijica ima kvačicu, a mjera u praksi ne funkcionira.
Ista logika ide i korak dalje. Ako se utvrdi da mjera unatoč formalno zadovoljenim kontrolama nije djelotvorna ili nije integrirana u sustav upravljanja rizicima, može biti ocijenjena kao nezadovoljavajuća. To je prostor za prosudbu, i on postoji namjerno.
Što to mijenja u planiranju
- Ne ciljajte minimum. Planiranje "taman koliko treba" po pojedinačnoj kontroli matematički vodi u pad na prosjeku. Ciljajte prag prosjeka, pa unatrag rasporedite kontrole.
- Jedna slaba kontrola ruši podmjeru dvaput. Ne prolazi sama i istovremeno vuče prosjek. Kontrole s najnižom ocjenom najisplativije su za popravljanje.
- Prosjek se računa unutar podmjere, ne unutar mjere. Dobar rezultat na jednoj podmjeri ne kompenzira lošu drugu.
- Ocjene dodjeljujete prema katalogu kontrola. Ocjenjivanje "po osjećaju" ne prolazi provjeru jer se svaka ocjena mora moći obrazložiti dokazom.
Razine mijenjaju pragove, ne kontrole
Prijelaz s osnovne na srednju razinu u pravilu ne donosi novi popis kontrola nego više pragove na istima. Tipičan uzorak je pomak s ≥2 na ≥3, uz dodatni prag prosjeka koji se pomiče s 2,0 na 3,0. To je važno jer znači da organizacija koja se pripremala za osnovnu razinu, pa je prekategorizirana, ne mora graditi novi sustav - mora produbiti postojeći.
Iznimka su kontrole označene zvjezdicom, koje se primjenjuju uvjetno, ovisno o procjeni rizika. Njih procjena rizika može aktivirati i na osnovnoj razini.
Praktična provjera prije formalne samoprocjene
Prije nego što se samoprocjena preda, isplati se napraviti internu provjeru koja simulira postupak: ocijeniti svaku kontrolu, izračunati prosjeke po podmjerama i pogledati koje podmjere padaju na drugom pragu. Popis će gotovo uvijek biti kraći nego što se očekuje, i gotovo uvijek će sadržavati podmjere za koje je tim bio siguran da su gotove.
Napomena o verzijama. Formula i pragovi iz ovog teksta odnose se na Prilog B, verzija 1.0. Prije formalne samoprocjene provjerite koja je verzija okvira na snazi.
Izvori
Ne znate gdje stojite?
Pola sata razgovora i ništa vas ne obvezuje. Kad završimo, znate što trebate napraviti i kojim redom.