Na redakční otázky odpovídá Ing.Lenka Stránská, Project Manager, TES Praha, a.s.

1) Jak správně a přesně vyčíslit přínosy auditů a zavádění norem ISO?

Přínosy zavedení systému řízení v souladu s ISO normami je třeba posuzovat individuálně, např. podle současného stavu systému řízení v organizaci, předmětu činnosti, požadavků zákazníků a v neposlední řadě také podle ISO normy, která je v organizaci zaváděna (kvalita, bezpečnost, environment…). Přesto lze vyjmenovat obecné přínosy systému managementu, který je zaveden podle ISO norem. Jedná se o např. o tyto:
- standardizace procesů organizace
- soulad s požadavky zákazníků a požadavky předpisů
- systematické monitorování a hodnocení činnosti organizace
- řízení rizik organizace
- optimalizace nákladů
- zlepšení image společnosti, marketingový nástroj, možnost účastnit se výběrových řízení (zejména pro zakázky ve státní správě)

2) S jak velkou pracovní i časovou náročností je nutné při zavádění ISO norem počítat?

Na tuto otázku je opět možné odpovědět pouze obecně, jelikož pracovní a časovou náročnost je třeba posuzovat individuálně. Pro malou a střední firmu je možné náročnost celého procesu odhadnout podle níže uvedené tabulky.

Tabulka je sestavena na základě našich zkušeností se zaváděním systému řízení v malých a středních firmách. Ve sloupci „Čas strávený v organizaci“ je definována časová náročnost pro interní pracovníky, kteří se zavedení systému řízení věnují (což odpovídá i času, který stráví konzultant ve firmě). Snahou TES Praha je co nejvíce našim zákazníkům proces zavedení ISO normy zefektivnit, a proto ve fázi dokumentační předkládáme při konzultacích vzorové dokumenty, které jsou zpracovány organizaci na míru na základě informací získaných při vstupní analýze, a poskytujeme další inspirační dokumenty, které jsou k dispozici na stránkách společnosti

Ve fázi implementační pak spolupracujeme na doladění systému a realizujeme interní audity, které jsou nedílnou součástí systémů řízení dle ISO norem a slouží firmám jako vnitřní kontrola správné funkčnosti systému a k zjišťování potenciálu ke zlepšování.
Pro konkrétnější definování náročnosti zavedení systému řízení je potřeba mít k dispozici informace o velikosti firmy, organizační struktuře, předmětu činnosti a o tom, jaké ISO normy bude společnost zavádět.

3) Jak obtížné je nasadit ISO normy do prostředí, která s nimi zatím nemají zkušenosti?

Podle závěrů ze vstupních analýz, které v organizacích provádíme, je možné říct, že u většiny firem je poměrně velká část požadavků ISO norem alespoň částečně realizována, i když organizace s normou ještě nemá zkušenost. Nejčastějším nedostatkem je, že činnost není dokladována. Jako příklad lze uvést situaci, kdy plány a úkoly jsou ve firmě stanoveny, ale vedení firmy je má „v hlavě“. Nápravou a tím i splněním požadavku normy je, že plány a úkoly jsou zaznamenány (formu normy neukládají, takže mohou být vedeny elektronicky, papírově jako tabulka nebo text – záleží na volbě organizace). 

4) Jak výrazný posun v kvalitě bezpečnosti představuje certifikace dle CSN ISO/IEC 27001? Pro koho je vhodná?

Mezi největší přínosy zavedení systému řízení bezpečnosti informací podle ISO/IEC 27001 patří:

- stanovení bezpečnostní strategie a souvisejících odpovědností
- získání přehledu aktiv, jejich ocenění a klasifikace
- identifikace hrozeb v oblasti bezpečnosti informací
- eliminace nebo snížení rizik v oblasti bezpečnosti informací
- vhodně vynaložené náklady na bezpečnost v poměru k hodnotě aktiv
- zvýšení povědomí i odpovědnosti zaměstnanců při práci s informacemi
- identifikace a vynucení dodržování legislativních a smluvních požadavků
- konkurenční výhoda, v některých případech i zásadní požadavek na důvěryhodnost organizace (např. výběrová řízení, image firmy, zákonné požadavky ochrany informací).
- systém ISMS může certifikovat nezávislá třetí strana včetně vydání certifikátu.

Vhodnost systému řízení bezpečnosti informací (ISMS):

- oblast zakázek pro státní správu a velké firmy
- organizace, které zpracovávají osobní data občanů (úřady, nemocnice, banky, pojišťovny……)
- oblast outsourcingu ( CRM, DATAWAREHOUSE….)
- oblasti, kde zákazník vyžaduje důkaz o uplatňování důvěryhodných postupů v oblasti bezpečnosti informací

5) Lze smysluplný audit provést i s interními zdroji, nebo je za každých okolností kvůli „provozní slepotě“ využívat externích služeb?

Efektivní interní audit je možné provést proškolenými interními pracovníky. Z pohledu požadavků ISO norem je potřeba „provozní slepotu“ eliminovat tím, že auditor musí být nezávislý na auditované oblasti. Zejména u malých firem může nastat problém s naplněním tohoto požadavku a v těchto případech je vhodnější využít externích služeb.
Dalším typem auditu jsou certifikační resp. dozorové audity, které provádějí auditoři nezávislých certifikačních společností.

Audity a ISO