Fragebögen fragen häufig, ob ein Lieferant eine Politik hat. Der daraus resultierende Beweis ist oft ein PDF, das Zweck, Umfang und Verantwortlichkeiten enthält. Das mag notwendig sein, aber es beantwortet nur eine Frage: Hat die Organisation eine Absicht dokumentiert?
Die Bedienungsnachweisleiter
- Erklärung: Die Organisation sagt, dass die Kontrolle existiert.
- Genehmigtes Dokument: die Kontrolle festgelegt und genehmigt ist.
- Eigentum: Benannte Personen verstehen ihre Verantwortung.
- Verwendung: Aufzeichnungen zeigen, dass die Steuerung bei normaler Arbeit arbeitet.
- Ausnahme: Ausfälle oder Abweichungen werden erkannt.
- Berichtigung: Maßnahmen richten sich nach der Ursache und werden durchgeführt.
- Überprüfung: Das Management untersucht die Leistung und verändert das System.
Die geeignete Sprosse hängt von der Risiko- und Beschaffungsphase ab. Ein Käufer sollte kein übermäßiges Beweispaket für ein risikoarmes Marktgespräch verlangen. Ein Anbieter sollte sich nicht auf eine unterzeichnete Richtlinie verlassen, bei der ein Ausfall den Nutzern, der Servicekontinuität oder der Informationssicherheit schaden könnte.
Beispiel: Beschwerden
Eine Beschwerderichtlinie kann durch ein Beispielprotokoll, eine Bestätigungszeit, Untersuchungshinweise, Ergebnis, Trendklassifizierung und Hinweise darauf, dass eine wiederkehrende Ursache den Prozess verändert hat, getestet werden. Eine leere Vorlage ist nicht dasselbe wie ein Betriebsbeschwerdesystem.
Beispiel: Business Continuity
Ein Kontinuitätsplan ist stärker, wenn das Unternehmen Kontaktbäume, Fernzugriff, Lieferantenabhängigkeiten, Datenwiederherstellung oder alternative Kapazitäten getestet hat. Der Test sollte aufzeichnen, was fehlgeschlagen ist und was sich geändert hat.
Beweise sollten auch Grenzen zeigen
Glaubwürdige Aufzeichnungen erklären Abdeckung, Datum, Stichprobengröße und ungelöste Schwäche. "Keine Beschwerden" können ausgezeichneten Service, geringes Volumen, schlechte Berichterstattung oder eine fehlende Route bedeuten. Beweise ohne Kontext können falsches Vertrauen schaffen.
Die Standards & Systems Clinic hilft Organisationen, diese Evidenzkette aufzubauen, ohne zu behaupten, dass die Implementierung einer unabhängigen Zertifizierung gleichkommt.