Kas ir iepazīšanās apliecinājumu izsekošana?

Īsā atbilde: Iepazīšanās apliecinājumu izsekošana ir process, kurā ar laika zīmogiem reģistrē, ka konkrētas personas ir saņēmušas, izlasījušas un apstiprinājušas dokumentu, piemēram, politiku, procedūru vai drošības paziņojumu. Tā aizstāj neizsekotu izplatīšanu e-pastā ar pārbaudāmiem pierādījumiem par to, kurš ko un kad apliecinājis. Organizācijām, kas strādā saskaņā ar ISO 9001, ISO 27001, GDPR vai HIPAA, iepazīšanās apliecinājumu izsekošana sniedz auditoru gaidītos pierādījumus, kad tie jautā, kā darbinieki informēti par kontrolētajiem dokumentiem.

Iepazīšanās apliecinājumu izsekošana ir prakse fiksēt katra saņēmēja dokumentētu apstiprinājumu ar laika zīmogu, ka viņš ir saņēmis un izlasījis konkrētu dokumentu. Tā pārvērš “mēs nosūtījām politiku visiem” par “šeit ir ieraksts, kas precīzi parāda, kurš un kurā datumā apstiprinājis 3.2. versijas izlasīšanu”.

Šī pieeja ir būtiska kontrolētai dokumentu izplatīšanai. Procedūras vai politikas publicēšana ir tikai puse darba. Regulatoriem, auditoriem un tiesām svarīga ir otra puse: pierādīt, ka personas, uz kurām dokuments attiecas, to patiešām ir redzējušas un apliecinājušas. Bez izsekošanas mehānisma šādu pierādījumu nav.

Biežākie dokumenti, kuriem nepieciešama iepazīšanās apliecinājumu izsekošana:

• Uzņēmuma politikas, piemēram, informācijas drošības, datu aizsardzības un rīcības kodeksa dokumenti, kurus parasti pārvalda, izmantojot politiku pārvaldības sistēmu
• Kontrolētas procedūras un darba instrukcijas kvalitātes vadības sistēmā
• Personāla dokumenti, tostarp darbinieku rokasgrāmatas, līgumu grozījumi un disciplinārās politikas
• Veselības un darba drošības paziņojumi un risku novērtējumi
• Atjauninātas versijas jebkuram no iepriekš minētajiem dokumentiem, kad darbiniekiem pēc labojumiem jāsniedz atkārtots apliecinājums

Kā darbojas iepazīšanās apliecinājumu izsekošana?

Dokumentu pārvaldības sistēmā iepazīšanās apliecinājumu izsekošana notiek pēc noteiktas darba plūsmas, nevis e-pasta sarakstes. Tipiskā secība ir šāda:

1. Dokumenta īpašnieks publicē vai pārskata dokumentu un izvēlas personas vai grupas, kurām jāapliecina iepazīšanās ar to.
2. Saņēmēji saņem paziņojumu ar lūgumu atvērt dokumentu un apstiprināt, ka viņi to ir izlasījuši.
3. Sistēma reģistrē katru apliecinājumu ar personas identitāti, dokumenta versiju un laika zīmogu.
4. Automātiski atgādinājumi atgādina visiem, kuri vēl nav atbildējuši, novēršot vajadzību pēc manuālas sekošanas.
5. Aktuāls statusa pārskats precīzi parāda dokumenta īpašniekam, kurš ir apliecinājis iepazīšanos, kurš to vēl nav izdarījis un cik ilgi pieprasījumi gaida atbildi.

Saikne ar versiju trešajā solī ir svarīgāka, nekā vairums komandu apzinās. Apliecinājumam ir nozīme tikai tad, ja tas saistīts ar konkrētu dokumenta redakciju. Ja darbinieks ir apliecinājis datu aizsardzības politikas 2. versiju, bet pašreizējā ir 4. versija, šis ieraksts pierāda ļoti maz. Dokumentu kontrolei paredzētas sistēmas, tostarp Folderit, sasaista katru apliecinājumu ar precīzi apstiprināto versiju un var automātiski ierosināt jaunus iepazīšanās apliecinājuma pieprasījumus, kad tiek publicēta jauna versija.

Šī procesa rezultāts ir eksportējams pārskats, parasti Excel, PDF vai CSV formātā, kas kalpo kā auditācijas pierādījums bez manuālas apkopošanas.

Kāpēc iepazīšanās apliecinājumu izsekošana ir svarīga atbilstībai?

Vairāki normatīvie un sertifikācijas ietvari prasa organizācijām pierādīt, ka darbinieki zina dokumentus, kas nosaka viņu darbu:

• ISO 9001 paredz, ka dokumentētā informācija ir “pieejama un piemērota lietošanai tur un tad, kad tā nepieciešama”, un auditori regulāri pārbauda, vai darbinieki zina aktuālās procedūras. Iepazīšanās apliecinājumu ieraksti atbild uz šo jautājumu, pirms tas uzdots.
• ISO 27001 prasa pierādījumus par drošības izpratni un politiku paziņošanu. Parakstīts informācijas drošības politikas iepazīšanās apliecinājumu žurnāls ir viens no tiešākajiem šādu pierādījumu veidiem.
• GDPR uzliek organizācijām pienākumu apliecināt pārskatatbildību par to, kā darbinieki apstrādā personas datus, sākot ar pierādījumiem par datu aizsardzības apmācību un politiku saņemšanu.
• HIPAA prasa dokumentētu darbinieku informētību par privātuma un drošības politikām.

Papildus sertifikācijas auditiem iepazīšanās apliecinājumu ierakstiem ir juridiska nozīme. Disciplinārā strīdā vai prasībā par nolaidību atšķirība starp “politika tika izplatīta” un “darbinieks 14. martā apstiprināja politikas izlasīšanu” var noteikt iznākumu. Darba strīdu izskatīšanā regulāri izšķiroši ir tas, vai organizācija var pierādīt, ka persona zināja par noteikuma esamību.

Pastāv arī darbības efektivitātes arguments. Kvalitātes vadītāji un personāla komandas bez izsekošanas sistēmas pavada stundas, pieprasot apliecinājumus e-pastā, manuāli uzturot izklājlapas un atjaunojot izplatīšanas vēsturi pirms katra audita. Automātiska izsekošana pilnībā novērš šo administratīvo slāni un aizstāj pirmsaudita steigu ar jau gatavu pārskatu.

Iepazīšanās apliecinājumu izsekošana salīdzinājumā ar izplatīšanu e-pastā un lasīšanas paziņojumiem

Daudzas organizācijas uzskata, ka e-pasts izpilda šo prasību. Tā nav trīs iemeslu dēļ.

Lasīšanas paziņojumi ir brīvprātīgi un neuzticami. Vairums e-pasta klientu ļauj saņēmējiem atteikt lasīšanas paziņojumu, un paziņojums pierāda tikai e-pasta atvēršanu, nevis pielikuma izlasīšanu. Auditori lasīšanas paziņojumus labākajā gadījumā uzskata par vājiem pierādījumiem.

E-pasts neveido centrālu ierakstu. Izplatīšanas vēsture atrodas individuālās iesūtnēs. Pierādījumu apkopošanai auditam jāmeklē nosūtīto ziņojumu mapēs, jāsalīdzina atbilžu pavedieni un manuāli jāveido izklājlapa. Kad e-pastu nosūtījušais darbinieks atstāj organizāciju, pierādījumi bieži aiziet līdz ar viņu.

E-pasts neņem vērā versijas. Ja politika pēc izplatīšanas tiek pārskatīta, nav mehānisma, kas pieprasa atkārtotu jaunās versijas apliecināšanu. Darbinieki turpina strādāt ar sākotnējam e-pastam pievienoto kopiju — tieši šāda versiju kontroles kļūme rada neatbilstības ISO auditos.

Iepazīšanās apliecinājumu izsekošana dokumentu pārvaldības sistēmā atrisina visas trīs problēmas: apliecinājums ir nepārprotams, nevis izsecināts, ieraksts ir centralizēts un pastāvīgs, to pamato pilni auditācijas pieraksti, un katrs apliecinājums ir saistīts ar konkrētu dokumenta versiju.

Iepazīšanās apliecinājumu izsekošana nav tas pats, kas apstiprināšanas darba plūsma. Apstiprināšanas darba plūsma fiksē norīkotu pārskatītāju apstiprinājumu pirms publicēšanas. Iepazīšanās apliecinājumu izsekošana fiksē plašākas auditorijas apliecinājumu pēc publicēšanas. Kontrolēta dokumenta dzīves ciklā izmanto abus: apstiprinājumi pierāda, ka dokuments ir autorizēts, savukārt iepazīšanās apliecinājumi — ka tas ir paziņots.

Komandām, kas izvērtē dokumentu pārvaldības sistēmu, iepazīšanās apliecinājumu izsekošana ir noderīgs pārbaudes kritērijs. Failu glabāšanas rīki, piemēram, kopīgie diski un patērētāju mākoņplatformas, to vispār nespēj nodrošināt, un tā ir viena no skaidrākajām atšķirībām starp failu glabāšanu un dokumentu kontroli. Ja organizācijai jāpierāda, ka cilvēki izlasījuši publicēto, tieši šajā atšķirībā slēpjas auditācijas risks.