Ministerstwo Cyfryzacji opublikowało 28 września komunikat przypominający o Wykazie KSC. Komunikat wskazuje materiały o samoidentyfikacji i samorejestracji oraz różne tryby wpisu. To okazja, by sprawdzić, kto w organizacji odpowiada za ocenę zakresu regulacji i jakie dane uzasadniają jej wynik. Sam komunikat o rejestracji nie rozstrzyga, czy obowiązek dotyczy konkretnego czytelnika.
Czy na pytanie o kwalifikację organizacji do Wykazu KSC wystarczy odpowiedzieć, że ktoś przekazał już komunikat właściwemu zespołowi? Z perspektywy zarządczej potrzebna jest jeszcze możliwość wskazania osoby prowadzącej analizę, danych do oceny i zatwierdzonego wniosku. Punktem wyjścia do takiego sprawdzenia jest komunikat Ministerstwa Cyfryzacji z 28 września. We wtorek 29 września proponujemy wykorzystać go do przeglądu odpowiedzialności za samoidentyfikację. Poniższe zalecenia dotyczą organizacji tej pracy; nie przesądzają jej wyniku. Zacznijmy od ustalenia, gdzie znajduje się analiza i kto potrafi wyjaśnić jej podstawy. Jeżeli oceny jeszcze nie ma, zapiszmy ten stan wprost, bez zastępowania go domysłem o podleganiu regulacji albo o wyłączeniu z jej zakresu.
Wykaz KSC wymaga rozdzielenia oceny i trybu wpisu
Jak podaje Ministerstwo Cyfryzacji, materiały wskazane w komunikacie dotyczą samoidentyfikacji i samorejestracji. Komunikat rozróżnia również tryby wpisu do Wykazu KSC. W przeglądzie organizacyjnym proponujemy więc osobno odnotować wynik oceny zakresu regulacji oraz ustalenie dotyczące właściwego trybu wpisu. Przy każdym z tych ustaleń poprośmy o podstawę, na której się opiera.
Właścicielowi analizy zalecamy rozpoczęcie od zebrania danych o sektorze, świadczonych usługach i wielkości organizacji. Przy sektorze, usługach i wielkości powinien wskazać dokument lub informację wykorzystaną w ocenie. Brak danych o usługach zapisuje jako brak wymagający uzupełnienia, bez samodzielnego dopowiadania ich charakteru. Podobnie postępujmy z niepotwierdzonym opisem sektora albo wielkości organizacji.
Taki zapis proponujemy przekazać do zatwierdzenia wraz z uzasadnieniem kwalifikacji. Materiały Ministerstwa Cyfryzacji mogą być punktem odniesienia dla analizy, ale sam odnośnik do nich nie pokazuje jeszcze, jak oceniono konkretną organizację. Poprośmy zatem o powiązanie wniosku z zebranymi danymi, tak aby osoba zatwierdzająca mogła prześledzić podstawy rozstrzygnięcia.
Właściciel oceny zakresu KSC powinien umieć pokazać drogę od danych o organizacji do zatwierdzonego wniosku.
Sprawdzenie KSC powinno sięgnąć do dokumentów
Komunikat z 28 września nie opisuje przebiegu samoidentyfikacji w konkretnej organizacji. Nie wiadomo z niego, kto przygotował jej analizę, jak wyglądała wewnętrzna procedura ani czy organizacja ją wykonała. Zamiast przypisywać organizacjom zaniedbania, proponujemy sprawdzić własne ustalenia: zestawić zapisaną odpowiedzialność z osobą rzeczywiście prowadzącą ocenę.
Jeżeli istnieje dokument kwalifikacji do KSC, poprośmy jego właściciela o wskazanie danych dotyczących sektora, usług i wielkości. Sprawdźmy, czy wniosek odnosi się do tych danych i czy zapisano jego zatwierdzenie. Jeżeli dokument pozostawia któryś z tych punktów otwarty, zachowajmy tę informację w notatce z przeglądu. Nie zamieniajmy nieukończonej oceny w deklarację, że sprawa jest rozstrzygnięta.
Gdy odpowiedzią na prośbę o analizę KSC jest jedynie przekazany komunikat, zalecamy poprosić o wskazanie miejsca zapisu oceny albo potwierdzenie, że trzeba ją przygotować. To pytanie kontrolne, a nie opis zdarzenia udokumentowanego przez ministerstwo. Jego celem jest ustalenie, jakie materiały organizacja rzeczywiście ma i czego brakuje osobie odpowiedzialnej za dalszą pracę.
Zarząd powinien ustalić właściciela analizy KSC
Na pytanie zawarte w tytule proponujemy odpowiedzieć decyzją wewnętrzną: wskażmy osobę koordynującą samoidentyfikację oraz osobę zatwierdzającą wynik. Nie przypisujemy tu odpowiedzialności prawnej konkretnemu stanowisku. Przypomnienie Ministerstwa Cyfryzacji traktujemy jako powód do sprawdzenia, komu organizacja powierzyła zebranie danych i doprowadzenie oceny do rozstrzygnięcia.
Dla osoby zatwierdzającej analizę KSC przygotujmy krótki zapis obejmujący wniosek, jego uzasadnienie oraz brakujące informacje. Rekomendujemy wskazanie przy każdej luce osoby, od której trzeba uzyskać dane. Jeśli nie potrafimy potwierdzić opisu usług, odnotujmy dokładnie tę niewiadomą. Ogólna adnotacja o trwającej analizie daje mniej konkretne zadanie niż wskazanie informacji, której brakuje do oceny.
W przeglądzie KSC proponujemy również ustalić termin przedstawienia uzupełnionej analizy osobie zatwierdzającej. Nie wyznaczamy go za organizację i nie utożsamiamy z terminem wymienionym w tytule komunikatu. Harmonogram dalszej pracy powinien wynikać z jej sytuacji i stanu oceny. Na spotkanie decyzyjne przynieśmy listę nierozstrzygniętych pytań wraz z odpowiedzialnością za ich wyjaśnienie.
Zatwierdzenie analizy KSC powinno obejmować jej uzasadnienie i jawnie wskazane niewiadome.
Polski komunikat nie kwalifikuje każdej organizacji
Przypomnienie Ministerstwa Cyfryzacji jest krajowym punktem odniesienia dla przeglądu samoidentyfikacji. Nie daje jednak podstaw do uznania, że każda organizacja czytająca wiadomość podlega samorejestracji. Ocena sytuacji konkretnego podmiotu wymaga odrębnej analizy, a w tej pracy zachowajmy informację o różnych trybach wpisu.
W wewnętrznej notatce o KSC proponujemy oddzielić treść komunikatu od ustaleń dotyczących organizacji. Przy informacji ministerstwa wpiszmy źródło i datę publikacji. Przy kwalifikacji organizacji wskażmy autora analizy, wykorzystane dane i zatwierdzenie. Jeżeli wynik pozostaje nieznany, napiszmy to wprost oraz określmy następny krok potrzebny do jego ustalenia.
Tę samą ostrożność zalecamy przy przekazywaniu wiadomości o KSC dalej w organizacji. Dołączmy prośbę o weryfikację odpowiedzialności i podstaw oceny, zamiast przedstawiać sam tytuł komunikatu jako rozstrzygnięcie obowiązku. Zachowajmy też rozróżnienie samoidentyfikacji i samorejestracji. Odbiorca wewnętrznej wiadomości powinien wiedzieć, czy prosimy go o dane do analizy, zatwierdzenie wniosku czy ustalenie dalszego postępowania na podstawie jej wyniku.
Co z tym zrobić w poniedziałek
Poniższy przegląd KSC rozpocznij już 29 września; nazwa stałej sekcji nie jest zaleceniem odłożenia pracy.
- W ciągu 30 minut sprawdź zapis odpowiedzialności za samoidentyfikację KSC. Zanotuj osobę prowadzącą analizę i osobę zatwierdzającą wynik. Jeśli przypisania brakuje, przygotuj propozycję do zatwierdzenia, zamiast uznawać odpowiedzialność za ustaloną.
- W ciągu 30 minut sporządź listę dostępnych dokumentów o sektorze, usługach i wielkości organizacji. Przy każdym wskaż miejsce przechowywania; brakujące informacje oznacz do uzupełnienia przez właściciela analizy KSC. Ogranicz ten krok do inwentaryzacji dostępnych danych.
- W ciągu 30 minut przejrzyj istniejącą ocenę KSC pod kątem uzasadnienia, zatwierdzenia i rozróżnienia trybów wpisu. Zapisz pytania wymagające wyjaśnienia. Jeśli analizy nie ma, przygotuj dla jej właściciela notatkę z tymi elementami jako zakresem dalszej pracy.
Przypomnienie o Wykazie KSC wykorzystajmy do postawienia konkretnego wymagania wobec własnego procesu: ocena ma mieć właściciela i sprawdzalne podstawy. Zatwierdzający powinien otrzymać dane oraz uzasadnienie wniosku, a przy brakach także jasno zapisany zakres niewiedzy. Dopiero odrębna analiza pozwala odnieść komunikat do sytuacji organizacji.
Źródła
Redakcja cyberinsight.pl.