Stappenplan: implementatietraject ISMS

• het wat, hoe en waarom van een managementsysteem, benadruk de vereisten inspanningen, maar ook de voordelen voor de organisatie.
• de rol van de directie (en middenmanagement) mbt een managementsysteem. Deze vereisten staan in hoofdstuk 5 van de norm, enkele voorbeelden:
  • Zorgdragen voor een eenduidige visie omtrent de scope van het managementsysteem
  • Zorgdragen voor het definiëren van heldere doelstellingen, welke aansluiting vinden op de organisatie brede doelstellingen.
  • Zorgdragen voor een duidelijke vastlegging van de eindverantwoordelijkheid en ondersteunende rollen
  • Primaire rol in het definiëren van de context van de organisatie (bijv. SWOT analyse), uitvoeren van de risicobeoordeling- en definiëren van het risicobehandelplan.
  • Zorgdragen voor benodigde middelen om het managementsysteem succesvol te laten worden (tooling, mensen, tijd).
  • Regelmatig beoordelen van het managementsysteem (zie stap 8)
• de rol van de directievertegenwoordiger (medewerker/afdeling) en de benodigde interactie met middenmanagement en directie om succesvol te kunnen functioneren (voorbeelden helpen).

Note: Het is belangrijk dat de rollen en bijbehorende taken later in het stappenplan (stap 6) ook vastgelegd worden.

Het helder hebben van de context van de organisatie draagt bij aan het kiezen van de juiste scope, het definiëren van de juiste risico’s en kansen en zorgdragen dat het managementsysteem zich kan aanpassen aan een veranderende omgeving. Concreet: Belangrijk om in deze stap in kaart te brengen:

• Interne en externe issues welke van invloed kunnen zijn op het managementsysteem. Een (onderbouwde) SWOT-analyse laat zich hiervoor goed lenen (maar er zijn ook andere mogelijkheden als: DESTEP, vijfkrachtenmodel).
• Geïnteresseerde partijen zijn personen of organisatie welke invloed hebben, beïnvloed worden (of de indruk hebben beïnvloed te worden) door activiteiten van de organisatie. Iedere persoon/partij kan uiteenlopende behoeften/verwachtingen/vereisten hebben welke relevantie hebben ten opzichte van het managementsysteem (denk aan: leveranciers, klanten, overheid, medewerkers, toezichthouders, partners, etc.). Denk hierbij aan een typische stakeholderanalyse.

De context van de organisatie, welke relevant is voor het managementsysteem legt men vast in het managementsysteem handboek of soortgelijk document.

Let wel: De context van de organisatie zal periodiek aangepast moeten worden als gevolg van de management review, waarin de context gereviewed dient te worden (hoofdstuk 9.3 van de norm).

Het kan bijvoorbeeld zijn dat op basis van de context-analyse (stap 2) het beter is om in eerste instantie de scope beperkt te houden (bijv. vestiging A: wel, vestiging B: nog niet). Keuzes kunnen eventueel nog leiden tot nuanceringen mbt de gedefinieerde context-analyse.

De scope van het managementsysteem legt men vast in het managementsysteem handboek of soortgelijk document. Daarnaast zal de scope van het managementsysteem uiteindelijk ook terecht moeten komen op een extern uitgegeven certificaat als gevolg van het succesvol doorlopen van een externe audit.

Risico’s (kans maal impact) hebben betrekking op het verlies van vertrouwelijkheid, integriteit en beschikbaarheid van informatie (binnen de scope van het managementsysteem).

Laat meerdere interne key-functionarissen (bijv. middenmanagement, senior engineers) aansluiten om input te leveren om een zo volledig mogelijk beeld te krijgen. De directie heeft de eindverantwoordelijkheid om de risicolijst en eigenaren vast te stellen.

Een risicobeoordelingsproces dient vastgesteld en daarmee reproduceerbaar te zijn.

Een 0-meting kan relevante input leveren om de juiste maatregelen te selecteren voor betreffende risico’s. Daarnaast kan ook eenvoudig vastgesteld worden voor welke maatregelen de organisatie geen behoefte heeft in-scope te plaatsen van het managementsysteem. Let wel: Het vereist een deugdelijke beargumentering om maatregelen out-of-scope te plaatsen.

De verdere concretisering van de benodigde maatregelen tbv risicobehandeling wordt het plan om het managementsysteem in te richten. Kansen kunnen gezien worden als verbetermogelijkheden: vanuit risico-oogpunt geen verplichting om door te voeren, maar het kan de organisatie wel helpen.

Concreet betekent dit dat doelstellingen en beleid gedefinieerd te zijn/worden, welke aansluiting vinden op de organisatiebehoefte. Aanvullend dienen specifieke ondersteunende technische/organisatorische geformuleerd te zijn/worden, waarbij meteen voorgesorteerd dient te worden op:  

• KPI’s; om de werking van processen meetbaar te maken;
• Controlemechanismen; om de goede werking van maatregelen vast te stellen.

Op basis van de risico-analyse en aanvullende directiekeuzen zal een zekere prioritering gemaakt kunnen worden en relevante interne actoren geïdentificeerd kunnen worden.