Analiza kontekstu organizacji

Nie można chronić czegoś, czego nie jesteśmy świadomi. Analiza kontekstu organizacji to pierwszy krok do odpowiedzi na pytanie: co należy chronić, dla kogo i z jakiego powodu. Dopiero po tym etapie można rzetelnie ocenić ryzyka i zaplanować dalsze działania

Umów się na bezpłatną konsultację

Ta strona jest dla Ciebie, jeśli:

Kierujesz ryzykiem operacyjnym lub cyberbezpieczeństwem w instytucji finansowej objętej DORA i musisz udokumentować ramy zarządzania ryzykiem ICT wymagane przez regulatora.

Zarządzasz ciągłością działania lub compliance w operatorze infrastruktury krytycznej objętym NIS2 i ustawą o Krajowym Systemie Cyberbezpieczeństwa (KSC).

Odpowiadasz za wdrożenie ISO 22301 lub ISO 27001 i potrzebujesz analizy kontekstu, która faktycznie przydaje się w ocenie ryzyka, a nie jest jedynie dokumentem stworzonym na potrzeby certyfikacji.

Przygotowujesz organizację do audytu nadzorczego i potrzebujesz dokumentacji, która jednoznacznie uzasadnia sposób definiowania zakresu oraz stron zainteresowanych.

Dlaczego lista aktów prawnych nie zastępuje analizy kontekstu

Analiza kontekstu organizacji jest wymagana przez punkt 4 norm ISO 22301 i ISO 27001. Obejmuje identyfikację wymagań prawnych, regulacyjnych i biznesowych, które określają zakres systemu zarządzania.

W praktyce wiele organizacji przygotowuje jedynie listę ustaw i rozporządzeń, które ich dotyczą. Jednak podczas audytu audytorzy często pytają o konkretne wymagania związane ze specyfiką systemu zarządzania, np. z ciągłością działania, czy bezpieczeństwem informacji, wynikające z poszczególnych aktów prawnych. Jeśli organizacja nie jest w stanie udzielić takiej odpowiedzi, oznacza to brak rzeczywistej analizy kontekstu, a jedynie posiadanie spisu przepisów.

Ma to praktyczne konsekwencje, jeśli analiza wpływu biznesowego (BIA) opiera się na niepełnym kontekście, nie obejmuje wszystkich wymaganych obowiązków. Braki w kontekście przekładają się na braki w całym systemie zarządzania. Organizacja może ich nie zauważyć, ale audytor lub organ nadzoru już tak.

W jaki sposób budujemy kontekst organizacji dowolnego systemu zarządzania?

W Davidson Consulting przygotowujemy projekt kontekstu organizacji samodzielnie, na podstawie regulaminu organizacyjnego klienta, statutu lub innych dokumentów opisujących zakres jego działalności.

Dwadzieścia lat projektów w różnych sektorach i jurysdykcjach regulacyjnych pozwala nam opracować kompletny projekt bez angażowania zespołu klienta. Gotowy projekt, zawierający zidentyfikowanych interesariuszy, ich wymagania z przypisaniem do źródeł prawnych oraz właścicieli procesów, trafia do klienta do weryfikacji, ewentualnych uzupełnień i akceptacji. Nasi eksperci są dostępni w tym czasie, żeby wyjaśniać przyjęte założenia i ułatwiać weryfikację. Dzięki takiemu podejściu proces budowy kontekstu organizacji jest krótszy, unikamy wielokrotnych iteracji i oszczędzamy czas pracowników klienta.

Warsztat z kierownikami komórek organizacyjnych stosujemy w uzasadnionych przypadkach, np. gdy organizacja działa w wielu jurysdykcjach poza Unią Europejską, prowadzi unikalną działalność bez gotowych wzorców regulacyjnych lub gdy projekt kontekstu wymaga szczegółowych uzupełnień, których nie da się wywnioskować z dokumentów.

Wyniki prac zasilają bezpośrednio i ocenę ryzyka, którą prowadzimy zgodnie z autorską metodyką ERAMIS (Evidence-based Risk Assessment Methodology for ICT Services), oraz analizę wpływu biznesowego z ImpactApp . Jeśli chcesz zobaczyć, jak wygląda próbka kontekstu przygotowanego dla Twojego profilu działalności, wypróbuj narzędzie ISOContext.

Jak przygotowujemy kontekst organizacji

Projekt kontekstu organizacji przygotowujemy samodzielnie na podstawie dokumentów opisujących działalność klienta.

Analizujemy m.in.:

regulamin organizacyjny
statut
dokumenty opisujące zakres działalności

Dzięki temu nie angażujemy zespołu klienta w etap przygotowawczy.

Co otrzymuje klient?

Gotowy projekt kontekstu organizacji do weryfikacji i akceptacji, zawierający:

zidentyfikowanych interesariuszy
wymagania interesariuszy wraz ze źródłami prawnymi
przypisanie właścicieli procesów

Nasi eksperci pozostają dostępni w czasie weryfikacji, aby wyjaśniać założenia projektu.

Zakres analizy kontekstu organizacji

Analiza obejmuje trzy wzajemnie powiązane obszary:

Zainteresowane strony

czyli podmioty, osoby lub grupy osób, które mają wpływ na Twoją organizację lub na które Wy macie wpływ.

Akty prawne

Wymagania

prawne oraz wymagania każdego interesariusza, które mają związek z danym systemem zarządzania (np. zarządzaniem ryzykiem, bezpieczeństwem informacji, ciągłością działania, itd.).

Prawidłowe wdrożenie dowolnego systemu zarządzania wymaga zastosowania wyników analizy kontekstu organizacji w kolejnych etapach prac, np. podczas oceny ryzyka lub planowania ciągłości działania. To sprawia, że budowa kontekstu organizacji przestaje się być sztuką dla sztuki, a staje się cennym narzędziem zarządczym (w zarządzaniu ryzykiem, zgodnością, BCM, cyberbezpieczeństwem, jakością, itd.).

Wskazujemy wszystkich zewnętrznych interesariuszy i przypisujemy im konkretne wymagania dotyczące ciągłości działania, a więc terminy i ew. poziom realizacji procesu, wraz z ich podstawami prawnymi i regulacyjnymi.

Na przykład w przypadku instytucji finansowych są to organy nadzoru (KNF, EBA, EIOPA lub ESMA w zależności od profilu działalności), zewnętrzni dostawcy usług ICT objęci obowiązkiem zarządzania ryzykiem na mocy artykułu 28 DORA, a także klienci, ze zobowiązaniami wynikającymi z umów i standardów obsługi, do których ich przyzwyczailiśmy. Te ostatnie mają przy analizie wpływu na wizerunek takie samo znaczenie jak wymagania formalne.

Wymagania interesariuszy

Interesariusze zewnętrzni i ich wymagania

Dla każdego wymagania wskazujemy proces, który je realizuje, oraz jego właściciela, czyli dział odpowiedzialny za definiowanie wytycznych i zasad dotyczących funkcjonowania procesu. Warto zwrócić uwagę, że właścicelem nie zawsze jest ten sam dział, który wykonuje proces, np. za usługi może odpowiadać Departament Produktów, który decyduje o tym, jak wygląda usługa, a nie działy sprzedaży lub usługowe. Zakres systemu zarządzania określa lista procesów, które bezpośrednio spełniają wymagania interesariuszy.

Procesy i zakres

Procesy, właściciele i zakres systemu zarządzania

Kontekst organizacji dokumentujemy począwszy od wskazania interesariusza, przez jego wymagania, podstawę prawną, aż po proces biznesowy, który je realizuje i właściciela procesu. DORA (UE 2022/2554), NIS2 (UE 2022/2555) i polska ustawa o KSC wymagają posiadania udokumentowanych ram zarządzania ryzykiem. Analiza kontekstu zgodna z ISO 22301 i ISO 27001 pozwala ustalić prawidłowy zakres tych ram.

Przepisy krajowe i EU

Dokumentacja zgodna z ISO, DORA oraz NIS2 i KSC

Dwadzieścia lat projektów w sektorach o najwyższych wymaganiach odporności operacyjnej.

Ponad 250 projektów dla instytucji finansowych, operatorów infrastruktury krytycznej, podmiotów administracji publicznej i organizacji przemysłowych w Polsce i Europie.

Certyfikacje zespołu

Nasi eksperci posiadają certyfikacje PECB — organizacji certyfikującej uznawanej przez ISO i akredytowanej przez międzynarodowe organy normalizacyjne.

Najczęściej zadawane pytania o analizę kontekstu organizacji

Czym jest analiza kontekstu organizacji według norm ISO 22301 i ISO 27001?

Analiza kontekstu organizacji to proces wymagany przez wszystkie normy ISO (w tym ISO 22301 i ISO 27001), który polega na identyfikacji czynników zewnętrznych i wewnętrznych, zainteresowanych stron (interesariuszy) i ich wymagań oraz zakresu systemu zarządzania.

Jej celem jest zapewnienie, że system zarządzania (np. ryzykiem) jest dopasowany do rzeczywistego otoczenia organizacji, regulacyjnego, biznesowego i operacyjnego. Norma nie narzuca konkretnego formatu dokumentu. Audytor szuka dowodów na to, że zarząd rozumie otoczenie organizacji i wymagania dotyczącego danego obszaru (np. bezpieczeństwa informacji) i podejmuje decyzje w oparciu o udokumentowane wymagania.

Czy lista aktów prawnych to to samo, co kontekst organizacji?

Nie. Lista aktów prawnych odpowiada na pytanie, co nas dotyczy. Analiza kontekstu odpowiada na inne pytanie: jakie konkretne wymagania w zakresie objętym normą (np. ciągłości działania lub bezpieczeństwa informacji) z tych aktów wynikają, który proces je realizuje i kto za ten proces odpowiada. W projektach wdrożeniowych i podczas audytów regularnie spotykamy organizacje, które mają starannie prowadzoną listę aktów prawnych, ale nie potrafią wskazać, które wymagania dotyczą ciągłości działania. To jest luka, którą wprawny audytor znajdzie bardzo szybko.

Czym są wymagania interesariuszy?

Wymagania interesariuszy (zainteresowanych stron) wobec Twojej organizacji najłatwiej zidentyfikować odpowiadając na pytanie: “Dlaczego dany podmiot, osoba lub grupa osób jest zainteresowana tym, abyśmy chronili informacje (ISO 27001), działali nieprzerwanie (ISO 22301), zarządzali ryzykiem (ISO 31000), dbali o BHP (ISO 45001), etc.?” Innymi słowy są to wszelkie zobowiązania wobec interesariuszy, które nakładają na organizację przepisy prawa, regulacje, które wynikają z podpisanych umów lub porozumień, a także niesformalizowane oczekiwania interesariuszy wobec Twojej organizacji.

Jak rozpoznać wymagania interesariuszy dotyczące dostępności lub ciągłości działania?

Wymagania ciągłości działania łatwo rozpoznać po tym, że:

dotyczą terminów wykonania jakiegoś zadania lub czasu przeznaczonego na realizację procesu. Może to być data, godzina lub czas reakcji, np. termin złożenia raportu regulacyjnego, czas usunięcia awarii systemu, czas obsługi reklamacji w ciągu 30 dni.
dotyczą poziomu realizacji zadania, np. kompletność danych w raporcie, przepustowość usługi, poziom dostępności systemu.

Organizacja może być prawnie zabezpieczona pod względem terminów, a jednocześnie narażona wizerunkowo przez niespełnienie wymagań dotyczących poziomu jakości, do których przyzwyczaiła klientów. Oba typy wymagań muszą trafić do analizy kontekstu, i oba muszą być uwzględnione jako kryteria oceny wpływu podczas analizy BIA.

Kim jest właściciel procesu i dlaczego jego wskazanie bywa zaskakujące?

Właściciel procesu to komórka organizacyjna, która definiuje (decyduje), jak proces ma być wykonywany, i która odpowiada za zobowiązania z nim związane, nie zawsze ta, która go wykonuje. W projekcie dla firmy telekomunikacyjnej okazało się, że właścicielem usługi połączeń głosowych powinna być sprzedaż, bo to sprzedaż podpisywała umowy z klientami i negocjowała warunki SLA, nawet jeśli sieć utrzymywał dział techniczny, a obsługa klienta przyjmowała reklamacje. Pytania pomocnicze przy identyfikacji właściciela są dwa:

kto decyduje o tym, jak ten proces powinien wyglądać? oraz
kto odpowie przed klientami, gdy proces zostaje przerwany?

Może wydawać się, że w przypadku awarii usług głosowych konsekwencje poniesie dział utrzymania sieci, ale to krótkowzroczne myślenie. Konsekwencje poniesie sprzedaż, gdyż klienci zagłosują swoimi portfelami i nie dość, że część klientów utracimy, to może także być trudniej pozyskać kolejnych.

Czy w kontekście organizacji trzeba uwzględniać wymagania nieformalne?

Wymagania nieformalne to standardy obsługi i zobowiązania, do których organizacja “przyzwyczaiła” klientów, a które nie zawsze są zapisane w umowie lub akcie prawnym. Jeden z naszych klientów z sektora telekomunikacyjnego miał zapisane w umowie, że aktywacja usługi nastąpi w ciągu tygodnia. Jego klienci oczekują jednak działającej usługi w ciągu godziny od zakupu. Organizacja jest zabezpieczona pod względem prawnym, ale ryzyko wizerunkowe pozostaje. Wymagania nieformalne powinny być identyfikowane jako element przewagi konkurencyjnej organizacji, np. szybkość, niezawodność, elastyczność. W kontekście wpływu na reputację i utratę klientów wymagania te mają podczas BIA takie samo znaczenie jak wymagania formalne.

Czemu służy kontekst organizacji?

Wymagania interesariuszy zebrane w kontekście organizacji stają się kryteriami oceny wpływu podczas analizy ryzyka lub analizy BIA, gdyż powinny one odpowiadać na pytanie nie tylko o straty finansowe, ale też o konsekwencje dla każdej zainteresowanej strony. Co się stanie, jeśli utracimy informacje? jeśli nie dotrzymamy terminu raportu regulacyjnego? Jeśli przekroczymy czas reakcji zapisany w SLA? Jeśli dostawca krytycznych usług ICT wstrzyma świadczenie z powodu niezapłaconych faktur? Kontekst organizacji, którego nie wykorzystujemy w systemie zarządzania, prowadzi do niezgodności i ryzyka pominięcia istotnych aspektów.

Czy analiza kontekstu organizacji jest wymagana przez DORA i NIS2?

Rozporządzenie DORA (UE 2022/2554) nakłada na instytucje finansowe obowiązek utrzymywania ram zarządzania ryzykiem ICT, które muszą obejmować identyfikację źródeł ryzyka i zakresu ekspozycji organizacji, co odpowiada wymaganiu analizy kontekstu z norm ISO. Dyrektywa NIS2 (UE 2022/2555) i polska ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) analogicznie wymagają udokumentowanej analizy środowiska organizacji. Analiza kontekstu zgodna z normami ISO 27001 i ISO 22301 dostarcza dokumentacji odpowiadającej tym wymaganiom bez konieczności tworzenia oddzielnych opracowań dla każdej regulacji.

Jak długo trwa analiza kontekstu organizacji przeprowadzana przez Davidson?

Davidson przygotowuje projekt kontekstu samodzielnie na podstawie dokumentów klienta, co eliminuje konieczność angażowania jego zespołu od zera. Czas opracowania projektu zależy od złożoności regulacyjnej i operacyjnej organizacji. Dla podmiotu z jasno zdefiniowanym zakresem działalności i jednym organem regulacyjnym projekt jest gotowy do weryfikacji w ciągu kilku dni roboczych. Weryfikacja i akceptacja po stronie klienta, przy wsparciu naszych ekspertów, zależy od dostępności menedżerów i zwykle zajmuje do dwóch tygodni. Dla organizacji działających w wielu krajach poza Unią Europejską lub prowadzących unikalną działalność czas ustalamy indywidualnie na etapie konsultacji wstępnej.

Co zyskuje organizacja, która zaczyna od precyzyjnego kontekstu?

Dobrze przeprowadzona analiza kontekstu skraca czas kolejnych etapów. Zakres systemu jest jasny od początku, a wymagania interesariuszy są przypisane do procesów i właścicieli. Podczas analizy ryzyka lub analizy BIA zespół ma gotowe kryteria oceny wpływu, a podczas audytu, logiczny ślad audytowy.

Każda organizacja ma kontekst organizacji, zdefiniowany bardziej lub mniej dokładnie. Ważne jest to, czy jest on udokumentowany tak, by łączył wymagania z procesami, procesy z właścicielami, a właścicieli z ryzykiem i planami działania na wypadek wystąpienia problemów.

Nie wiesz czy kontekst twojej ogranizacji jest prawidłowy?