TISAX® ocena nivo 2: Zašto najjeftinija opcija nije uvek i najisplativija

Uobičajena pretpostavka o oceni nivoa 2

Kada dobavljači automobilske industrije prvi put istražuju TISAX® opcije ocene, nivo ocene 2 (AL2) se obično čini kao logična polazna tačka. Naknade za eksternu ocenu su niže od onih za više nivoe. Radi se na daljinu, tako da nema potrebe za putovanjem, a na papiru, put do TISAX® oznake izgleda kraće i jeftinije.

Međutim, organizacije koje planiraju svoje TISAX® putovanje samo na osnovu naknada za ocenu često se susreću sa složenijom stvarnošću. Ukupan napor potreban za dobijanje i održavanje TISAX® oznake zavisi od faktora koji daleko prevazilaze ono što se pojavljuje na fakturi auditora.

Ključno je da dobavljači automobilske industrije razumeju potpunu sliku prije nego što se obavežu na određeni nivo ocene.

Šta zapravo zahteva nivo 2 ocene

TISAX® ocena nivoa 2 je ocena verodostojnosti. Zadatak auditora je da oceni da li samoocena organizacije uverljivo opisuje funkcionalni Sistem upravljanja bezbednošću informacija (ISMS) koji je u skladu sa zahtevima ISA kataloga.

Za razliku od ocene nivoa 3, AL2 ne uključuje proveru implementiranih kontrola na licu mesta. Ocena se provodi prvenstveno na osnovu pisane samoocene organizacije i prateće dokumentacije.

Ovo ima ključnu implikaciju: kvalitet samoocene određuje uspeh procesa.

Za AL2, auditor mora biti u stanju razumeti kako se svaki kontrolni cilj ispunjava samo na osnovu pisanog opisa u ISA katalogu. Dokumenti s dokazima služe za podršku tim objašnjenjima - oni ih ne zamenjuju. Ako je tekst samoocene nejasan, nedosledan ili nedovoljno detaljan, nikakva dodatna dokumentacija ne može to nadoknaditi. U takvim slučajevima, auditi i dalji ciklusi pregleda postaju neophodni, produžujući i vremenske rokove i interni napor.

Zašto se interni napor često potcenjuje

Naknade za ocenu su vidljive. Interni napor nije - i tu su mnoge organizacije zatečene nespremne.

Priprema uverljive samoocene zahteva detaljno, dokumentovano razumevanje načina na koji kontrole bezbednosti informacija funkcionišu u celoj organizaciji. To obično uključuje doprinos od:

• Sektori za bezbednost informacija i IT
• Sektori za ljudske resurse i upravljanje objektima
• Funkcije usklađenosti i pravnih poslova
• Izvršni menadžment

Potrebno vreme uveliko zavisi od stručnosti i marljivosti osobe odgovorne za dokumentovanje kontrola u ISA katalogu. Organizacije sa dobro uspostavljenim ISMS-om i osobljem koje je upoznato sa TISAX® zahtevima često mogu efikasno završiti proces. Nasuprot tome, organizacije sa manje zrelim ISMS-om obično se suočavaju sa znatno većim naporom u prikupljanju potrebnih informacija i opisivanju osnovnih procesa i kontrola na jasan i razumljiv način. Na osnovu iskustva u oceni, dobro pripremljene organizacije obično ulažu otprilike 24 sata u pripremu uverljive samoocene. Manje pripremljenim organizacijama može biti potrebno 48 sati ili više - a dodatne iteracije pregleda zatražene tokom provere verodostojnosti mogu ovo dodatno povećati.

AL2 u odnosu na AL2.5: Uravnoteženiji pogled na ukupni napor

Pretpostavka da niži nivo ocene automatski znači nižu ukupnu investiciju ne važi uvek.

Prilikom poređenja AL2 i AL2.5 na osnovu ukupnog napora - uključujući i internu pripremu organizacije i rad auditora na pregledu - slika izgleda drugačije od onoga što sugerišu same naknade za ocenu:

AL2.5 podrazumeva veću dubinu ocene i aktivniju ulogu auditora, što rezultira većim eksternim troškovima. Međutim, smanjeno opterećenje interne pripreme može učiniti AL2.5 zaista efikasnijom opcijom za organizacije kojima nedostaje disciplina u dokumentaciji ili ljudski resursi za efikasno snalaženje u visokokvalitetnoj samooceni AL2.

Nijedna opcija nije sama po sebi poželjnija. Odgovarajući izbor zavisi od specifičnih okolnosti organizacije, a ne od toga koja se opcija čini jeftinijom u predlogu ocene.

Rizik promene zahteva

Mnoge organizacije započinju svoje TISAX® putovanje s jasnim, specifičnim zahtevom jednog kupca: dobiti oznaku na nivou ocene 2. U tom trenutku, AL2 se čini kao jedini razuman izbor.

Međutim, automobilski ekosistem je dinamičan. Novi odnosi s kupcima, prošireni obim projekta ili promenjene klasifikacije informacija mogu stvoriti potrebu za višim nivoima ocene - ponekad unutar istog perioda važenja. Scenariji koji se često javljaju uključuju:

• Rukovanje strogo poverljivim informacijama
• Zahtevi koji uključuju vrlo visoku dostupnost
• Proširenje opsega koje pokriva zaštitu prototipa
• Dodatni zahtevi specifični za OEM

Nijedna organizacija ne može sa sigurnošću predvidjeti sve buduće zahteve. Ali razmatranje potencijalnih poslovnih dešavanja u fazi planiranja - umesto kasnijeg reagovanja na njih - može pomoći u izbegavanju nepotrebnog dupliranja napora.

Razumevanje stvarnih troškova nadogradnje sa AL2 verzije

Za organizacije koje počinju s AL2, a kasnije im je potreban AL3, put nadogradnje nije tako jednostavan kao što se može činiti.

Budući da se AL2 fokusira na verodostojnost, a ne na proveru kontrole na licu mjesta, metodološko preklapanje između AL2 i AL3 je ograničeno. Nadogradnja s AL2 na AL3 je uopšteno uporediva po trudu sa sprovođenjem početne ocene AL3 od nule. Za jednu lokaciju, to može značiti otprilike 24 sata napora ocene - u suštini potpuni novi početak.

Nasuprot tome, organizacije koje počinju s AL2.5 mogu ispunjavati uslove za diferencijalnu ocenu prilikom prelaska na AL3. U zavisnosti od obima i oznaka, ovo može značajno smanjiti napor ocene za nadogradnju.

To ne znači da je AL2 pogrešna početna tačka. Ali za organizacije s bilo kakvom realnom verovatnoćom da će im AL3 biti potreban u budućnosti, ekonomija početka na višem nivou zaslužuje pažljivo razmatranje.

Kada je AL2 pravi izbor

Uprkos gore navedenim faktorima, nivo ocene 2 je odgovarajući i efikasan izbor za mnoge organizacije. Može biti posebno pogodan kada:

• Organizacija već održava dobro dokumentovan ISMS.
• Relevantno osoblje ima solidno iskustvo sa zahtevima i terminologijom TISAX®-a.
• Visokokvalitetna samoocena može se pripremiti uz minimalnu iteraciju.
• Ne postoji predvidljiva potreba za nadogradnjom na AL3 tokom trenutnog ciklusa ocene.

Pod ovim uslovima, AL2 može obezbijediti pouzdan put do TISAX® oznake, uz istovremeno ograničavanje troškova eksternog audita.

Ključna pitanja koja će vam pomoći u odluci o nivou ocene

Umjesto da počnu od naknada za ocenu, organizacije imaju koristi od razmatranja sledećih faktora:

1. Koliko je zrela naša postojeća dokumentacija ISMS-a? Mogu li se jasni i razumljivi opisi kontrola lako izvesti iz dokumentovanih procesa?
2. Imamo li interne resurse za vođenje temeljnog procesa samoocene bez stvaranja uskih grla?
3. Koje oznake su potrebne našim trenutnim kupcima? Da li se neke od njih nalaze u AL3 danas ili potencijalno u bliskoj budućnosti?
4. Da li se širimo na nove odnose s klijentima koji možda imaju drugačija ili viša TISAX® očekivanja?
5. Koji je naš realan put nadogradnje? Ako AL3 postane neophodan, koliko bi nas ta tranzicija koštala sa svake početne tačke?

Odgovaranje na ova pitanja u vezi sa nivoima ocene TISAX®-a, uz doprinos timova za bezbednost informacija, IT i poslovnih timova, pruža daleko pouzdaniju osnovu za donošenje odluka nego jednostavno poređenje naknada za ocenu.

Pogled dalje od naknada za ocenu

Često se pretpostavlja da je nivo ocene 2 najekonomičniji put do TISAX® oznake. Za organizacije sa snažnim praksama dokumentacije i bez predvidljive potrebe za višim nivoima ocene, ova pretpostavka može biti tačna.

Međutim, za druge, stvarni troškovi AL2 - mereni u internom pripremnom trudu, iteracijama pregleda i potencijalnim troškovima nadogradnje - mogu premašiti očigledne uštede na naknadama za ocenu.

Najisplativiji nivo ocene nije nužno onaj sa najnižom početnom cenom. To je onaj koji pruža pravu ravnotežu truda, sigurnosti i fleksibilnosti za specifičnu situaciju vaše organizacije.