Dojrzałość ISO 28000 · Bezpieczeństwo łańcucha dostaw
Bezpieczeństwo Państwa łańcucha dostaw, zmierzone według ISO 28000 i przełożone na wyceniony plan działania.
10 obszarów tematycznych, 84 pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO 28000 · Bezpieczeństwo łańcucha dostaw
10 obszarów tematycznych, 84 pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO 28000:2022 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) zamienia stwierdzenie faktu w ścieżkę rozwoju.
Czy wymagania bezpieczeństwa mające zastosowanie do przewoźników i usługodawców logistycznych są określone i weryfikowane?
- N1
Żadne wymaganie bezpieczeństwa nie jest formułowane wobec usługodawców. Wybór opiera się na cenie, terminie i zdolnościach.
- N2
Wymagania istnieją w niektórych umowach lub specyfikacjach, bez wspólnego sformułowania ani weryfikacji po podpisaniu.
- N3
Podstawowy zestaw wymagań bezpieczeństwa jest włączony do umów i dokumentacji kwalifikacyjnej. Główni usługodawcy dostarczają dowody.
- N4
Wymagania są systematycznie uwzględniane w umowach, weryfikowane zgodnie z planem kontroli, a stwierdzone luki prowadzą do działań monitorowanych aż do ich zamknięcia.
- N5
Zestaw wymagań jest aktualizowany na podstawie incydentów i zmian przepływów, rozszerzony na podwykonawstwo drugiego poziomu, a wyniki kontroli zasilają decyzje o odnowieniu umów.
Działanie umożliwiające przejście z poziomu 2 na poziom 3
Opracowanie jednolitego zestawu wymagań bezpieczeństwa, dołączenie go do umów transportowych przy najbliższych odnowieniach oraz włączenie go do siatki kwalifikacji dostawców, weryfikowanej na kwartalnym komitecie zakupowym.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 28000.
O czym jest ten model referencyjny
ISO 28000 określa wymagania systemu zarządzania bezpieczeństwem łańcucha dostaw. Wersja z 2022 roku dostosowała normę do struktury wysokiego poziomu, wspólnej dla norm zarządzania ISO: kontekst organizacji, przywództwo, planowanie, wsparcie, działania operacyjne, ocena wyników, doskonalenie. Obejmuje bezpieczeństwo przepływów fizycznych i informacyjnych, ocenę ryzyk bezpieczeństwa, środki ochrony, zarządzanie partnerami i podwykonawcami oraz zdolność do utrzymania działalności w przypadku zdarzenia zakłócającego. Norma podlega certyfikacji przez akredytowaną jednostkę.
W praktyce trudność nie polega na zrozumieniu wymagań, lecz na ustaleniu, gdzie Państwo się znajdują w obszarze w dużej mierze wymykającym się bezpośredniej kontroli. Czy oceny ryzyka bezpieczeństwa obejmują wszystkie ogniwa, czy tylko lokalizacje eksploatowane bezpośrednio? Czy wymagania bezpieczeństwa figurują w umowach z dostawcami i czy są weryfikowane inaczej niż poprzez deklarację? Czy incydenty transportowe, przeładunkowe lub związane z dostępem do danych logistycznych trafiają do jednego systemu, czy pozostają obsługiwane lokalnie?
Jedna kwestia kontekstowa zasługuje na doprecyzowanie, ponieważ kształtuje obecne projekty: bezpieczeństwo łańcucha dostaw przesunęło się w stronę cyfrową. Systemy zarządzania transportem, wymiana danych ze spedytorami, platformy identyfikowalności oraz wbudowane urządzenia połączone wchodzą dziś w zakres bezpieczeństwa na równi z plombami i strefami ograniczonego dostępu. ISO 28000 jest często mylona z ISO 28001, dotyczącą dobrych praktyk i kryteriów stosowanych wobec operatorów międzynarodowego łańcucha logistycznego, lub sprowadzana do programów celnych typu AEO. Są to odrębne mechanizmy, które się nakładają, lecz się nie zastępują.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt certyfikujący. Audyt kończy się stwierdzeniem zgodności lub niezgodności z daną wymogiem. Diagnoza umieszcza każdą praktykę na skali progresywnej, w pięciu poziomach inspirowanych metodą CMMI, i wskazuje działanie prowadzące do kolejnego poziomu. Datamensio mierzy dojrzałość i przygotowuje do audytu, nie wydaje żadnego certyfikatu. To właśnie takie podejście pozwala rozpocząć, zanim będą Państwo gotowi, i prowadzić postęp między dwoma cyklami audytu.
W Datamensio model referencyjny jest gotowy do użycia i pozostaje Państwa własnością. Sztuczna inteligencja dostosowuje obszary tematyczne, pytania i sformułowania poziomów do Państwa branży i zakresu działania, lub tworzy wariant na podstawie Państwa własnych dokumentów: polityki bezpieczeństwa, mapy przepływów, specyfikacji transportowych. Mogą Państwo ocenić kilka jednostek biznesowych, porównać ich wyniki i skonsolidować wspólną mapę drogową.
Norma referencyjna: ISO 28000:2022
Oceniane obszary tematyczne
Kontekst i zakres systemu zarządzania
Mapowanie przepływów i objętych ogniw, identyfikacja stron zainteresowanych, mające zastosowanie wymagania prawne i umowne, określenie granic zakresu bezpieczeństwa.
Przywództwo i polityka bezpieczeństwa
Zaangażowanie kierownictwa, sformalizowana i rozpowszechniona polityka bezpieczeństwa łańcucha dostaw, role i odpowiedzialności, alokacja zasobów.
Ocena ryzyk bezpieczeństwa
Metoda identyfikacji zagrożeń dla przepływów fizycznych i informacyjnych, ocena prawdopodobieństwa i skutków, hierarchizacja, częstotliwość przeglądów.
Operacyjne środki bezpieczeństwa
Kontrola dostępu do lokalizacji i stref wrażliwych, integralność jednostek transportowych i plomb, bezpieczeństwo załadunku i rozładunku, weryfikacja personelu.
Bezpieczeństwo partnerów i podwykonawców
Kwalifikacja przewoźników i usługodawców, klauzule bezpieczeństwa w umowach, weryfikacja dokumentacyjna lub na miejscu, zarządzanie kaskadą podwykonawstwa.
Bezpieczeństwo danych i systemów logistycznych
Ochrona wymiany danych ze spedytorami i platformami, prawa dostępu do systemów zarządzania transportem, identyfikowalność cyfrowa, wbudowane urządzenia połączone.
Przygotowanie i reagowanie na incydenty
Zidentyfikowane scenariusze zakłóceń, procedury alarmowania i eskalacji, przeprowadzone ćwiczenia, plany ciągłości i wznowienia krytycznych przepływów.
Kompetencje i świadomość
Szkolenia zespołów logistycznych i kierowców, uwrażliwianie na podejrzane zachowania, informowanie usługodawców, identyfikowalność działań szkoleniowych.
Ocena wyników
Monitorowane wskaźniki bezpieczeństwa, audyty wewnętrzne obszaru łańcucha dostaw, przegląd zarządzania, obsługa niezgodności i słabych sygnałów.
Ciągłe doskonalenie
Wnioski z doświadczeń po incydentach, aktualizacja ocen ryzyka, porównywanie wyników w czasie i między podmiotami, monitorowanie działań korygujących.
Krótsza wersja modelu referencyjnego, licząca 28 pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i 84 pytań.
Najczęściej zadawane pytania
Czy ISO 28000 podlega certyfikacji?
Tak, przez akredytowaną jednostkę certyfikującą, na podstawie wymagań wersji z 2022 roku. Datamensio nie certyfikuje: diagnoza mierzy Państwa poziom dojrzałości i przygotowuje do audytu, identyfikując luki i działania do podjęcia.
Jaka jest różnica między tą diagnozą a audytem certyfikującym?
Audyt weryfikuje obecność danego wymogu i kończy się stwierdzeniem zgodności lub niezgodności. Diagnoza umieszcza każdą praktykę na pięciu progresywnych poziomach i wskazuje działanie prowadzące do kolejnego poziomu. Diagnoza przygotowuje do audytu, audyt potwierdza.
Ile czasu zajmuje ocena?
Krótka samoocena wypełniana jest w trakcie jednej sesji roboczej. Pełna wersja, w trybie współpracy z lokalizacjami, działem zakupów i IT, trwa od tygodnia do dwóch, przy czym większość czasu poświęcona jest na zebranie dowodów.
Czy można dostosować model referencyjny do naszej branży?
Tak. Mogą Państwo zmieniać pytania, poziomy i obszary tematyczne lub dodawać własne. Sztuczna inteligencja generuje wariant na podstawie Państwa wewnętrznych dokumentów, na przykład polityki bezpieczeństwa lub specyfikacji transportowych. Model referencyjny pozostaje Państwa własnością.
Jak ocenić wiele lokalizacji lub krajów?
Ten sam model referencyjny jest rozpowszechniany w każdym podmiocie, co czyni wyniki porównywalnymi. Benchmark sytuuje każdą jednostkę biznesową na tle pozostałych oraz jej własnych wcześniejszych wyników. Wspólna mapa drogowa konsoliduje wspólne działania bez ich powielania.
Czy do udzielenia odpowiedzi potrzebna jest wiedza specjalistyczna z zakresu ochrony?
Pytania dotyczą praktyk zarządzania, a nie specyfikacji technicznych sprzętu. Odpowiedzieć na nie może kierownik łańcucha dostaw lub audytor wewnętrzny. Pytania techniczne lub informatyczne są przypisywane odpowiedniemu uczestnikowi w trybie współpracy.
Jaki jest związek z ISO 28001 i programami celnymi?
ISO 28001 dotyczy dobrych praktyk operatorów międzynarodowego łańcucha logistycznego, programy typu upoważniony przedsiębiorca podlegają administracji celnej. Zakresy się nakładają: solidna diagnoza ISO 28000 dostarcza podstawowy zbiór dowodów, który może być wykorzystany w tych procedurach.
Gdzie przechowywane są dane?
We Francji, u operatora OVH, z kopią zapasową u Scaleway. Brak transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.