iT邦幫忙

2024 iThome 鐵人賽

DAY 4
0

對一個沒有導入過ISO管理系統標準制度的組織來說,因為沒有接觸過,也沒有任何經驗,連什麼叫「管理系統」可能都不知道,多數的組織都會選擇請管理顧問或是專門輔導管理系統的顧問團隊協助組織進行導入,在過程中給予適當的教育訓練以及制度建立上的協助,這基本上是再正常不過的事,組織也會擔心在沒有協助的情況下難以通過驗證稽核 (俗稱的認證稽核或第三方稽核),畢竟導入一套管理制度,通過驗證一定是主要目標。

不過,尋求顧問協助,不能免除組織自己學習與了解管理系統標準的工作,顧問再怎麼厲害,終究不是組織的員工,也不了解組織的很多事務 (比如日常的業務的執行方式),更沒有立場去介入組織制訂管理制度的過程,只有組織自己能指派具有適當權力的人員來執行這件事,顧問充其量只能協助檢視組織所設計的制度是否符合管理系統的標準,並且適時提出建議,不是什麼都讓顧問做,若都讓顧問做,很容易產生出無法與組織相容的制度,執行起來反而會加重組織本身的負擔,甚至有可能出現窒礙難行的情況。

通常顧問在開始進行導入專案的時候,都會先給予簡單的教育訓練,說明將導入的管理系統標準的要求項目,然後安排階段進行逐步導入,顧問可能會提供「公版」的制度文件給組織參考,讓組織依「公版」的內容去設計組織自己的制度,這聽起來似乎沒什麼問題,然而這可能就是最大的問題,因為:

  1. 「公版」內容多數為通用型的制度,無法反映出組織的特定要求,若導入的範疇中有包含組織的特定要求 (可能是業務、產業或是特別的要求) 時,「公版」可能無法滿足,若是為了要遷就「公版」,可能會衍生出很多不必要的過程,反而對組織現有的營運造成負面影響。
  2. 「公版」內容不會特別針對某個產業設計,即便組織剛好與顧問公司同一個產業,但業務及營運流程一定不會相同,「公版」多半是顧問公司自己依自己的特性發展,或是集合多數產業都會有的通用要求所編排調整而成,雖然能符合管理系統的要求,但卻難以與組織現行管理制度融合。
  3. 顧問本身並非組織所處產業或領域的專家,組織很難要求顧問針對特別的需求予以協助 (比如軟體公司導入ISMS,但顧問不懂軟體開發),即便可以,最終的成果仍然要由組織自行調整,不可全然讓顧問執行。
  4. 組織可能無法或難以產出「公版」表單所要求的資訊,或是「公版」與組織現行流程差異太大,組織可能要被迫調整原本已運行順暢的過程,只為了要產出「公版」所要的記錄資料,對組織反而有害。

除了制度與執行外,當要進行第三方稽核時,稽核員 (Auditor) 必定會要求組織說明其制度規劃、設計、執行等的相關問題,雖然ISO並未規定協助導入的顧問不能在場,但實際上ISO並不建議這麼做。ISO 9001稽核實務小組 (Auditing Practices Group) 於2016年頒布一份「Deal with consultants」的文件,內容有提到:

In some cases, the organization may request their consultant to be present during audits by the certification body. Depending on the way in which this is managed by the audit team, the involvement of a consultant can be beneficial or detrimental to achieving the audit objectives. (ISO 9001 Auditing Practices Group Guidance on: Deal with consultants, Introduction)
在某些情況下,組織可能會要求其顧問在認證機構稽核期間在場。根據稽核團隊的管理方式,顧問的參與可能有利於或有害於實現稽核目標。

同一份文件中給予第三方稽核團隊的指引是:

Remember that it is the implementation of organization’s Management System that is being audited, not the consultant! (ISO 9001 Auditing Practices Group Guidance on: Deal with consultants, Guidance for third party auditors)
請記住,正在稽核的是組織管理系統的實施,而不是顧問!

…that the consultant should not try to influence or interfere in the audit process or in the outcome of the audit. … (ISO 9001 Auditing Practices Group Guidance on: Deal with consultants, Guidance for third party auditors)
…顧問不應試圖影響或介入稽核過程或稽核結果。…

也就是說,基本上在第三方稽核過程中,稽核員要評鑑的是組織的管理系統制度,顧問雖然可以在場,但只能作為觀察員 (Observer) 的角色,或是在稽核員與組織過程中協助解釋稽核員所用的特定術語給組織理解,實際上的稽核過程仍然是要由組織自己面對,無法由顧問代勞,事實上也不允許如此做。

所以,組織在導入管理系統的過程中,不能因為找了顧問就認為可以把制度設計與執行這件事都丟給顧問,組織自己也必需要做足功課,只在必要時請顧問協助,一來組織會逐漸有能力掌握導入的管理系統標準要求、指引等能力,二來組織也會逐漸有能力檢視顧問所給予的各項協助是否能符合組織的目標。

若想要了解選擇與運用顧問公司的服務的事項,可參考ISO 10019:2005,內容包含了如何選擇顧問公司、顧問的角色與責任、評估顧問的能力及如何運用顧問的服務等內容,雖然ISO 10019是品質管理系統範圍內的文件,但內容基本上亦可適用於其他的管理系統標準。


上一篇
[Day 3] 傳說中的「說寫做一致」
下一篇
[Day 5] 「符合性評鑑」與「稽核」的概念
系列文
資訊安全管理系統制度白手起家27
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

尚未有邦友留言

立即登入留言