Eine Maßnahme ohne Verantwortlichen und Testdatum ist eine Absicht

Zwischen dem Wissen, was geschehen muss, und dem nachweisbaren Erledigen klafft in vielen Organisationen eine stille Lücke. Der Behandlungsplan ist beschlossen, die guten Absichten sind vorhanden, und ein Jahr später zeigt sich, dass die Hälfte liegen geblieben ist. Die Phase Lösen überbrückt diese Lücke mit einer einfachen Regel: Jede Lösung erhält einen Verantwortlichen, eine Form und ein Datum.

Eine Maßnahme ohne Verantwortlichen und Testdatum ist eine Absicht

Eine Sicherheitsmaßnahme wird erst dann zu einer Maßnahme, wenn jemand dafür verantwortlich ist und es einen Zeitpunkt gibt, an dem ihre Wirksamkeit getestet wird. Halten Sie deshalb je Maßnahme fest, was sie tut, wer der Verantwortliche ist und wann der nächste Wirksamkeitstest stattfindet. Die Testhäufigkeit darf pragmatisch sein; entscheidend ist, dass aus „Wir haben ein Backup“ ein „Der letzte Wiederherstellungstest fand an diesem Datum statt, und das war das Ergebnis“ wird.

Richtlinien brauchen einen Lebenszyklus

Eine Richtlinie, die einmal geschrieben und danach nie wieder angesehen wird, verliert unbemerkt sowohl ihre Autorität als auch ihren Wert als Nachweis. Geben Sie deshalb jedem Dokument einen Lebenszyklus: Ein Verantwortlicher erstellt es, eine zweite Person genehmigt es nach dem Vier-Augen-Prinzip, und ein Überprüfungszyklus legt fest, wann es erneut bewertet wird. Verstreicht das Überprüfungsdatum, gilt das Dokument nicht länger als aktuell, und das sollte sichtbar sein.

Was noch nicht existiert, wird zum Projekt

Für Lücken, für die noch keine Lösung läuft, ist das Projekt die richtige Form. Ein Projekt hat einen Verantwortlichen, ein Enddatum und eine Verknüpfung mit den Risiken oder Normanforderungen, die es abdecken soll. So bleibt sichtbar, welche Abdeckung bereits aktiv ist und welche unterwegs ist, und bei Fertigstellung wird das Projekt mit einem Klick zu einer aktiven Maßnahme, einschließlich aller Verknüpfungen.

Akzeptieren ist erlaubt, aber formell

Nicht jedes Risiko muss beseitigt werden; manche akzeptieren Sie bewusst. Tun Sie das dann aber formell, mit einer Ausnahme, nämlich einer festgehaltenen Abweichung mit einer Begründung, einem Genehmigenden und einem Enddatum. Das Enddatum ist der wesentliche Unterschied zum stillschweigenden Dulden, denn rechtzeitig vor dem Ablauf erhalten Antragsteller und Genehmigender eine Erinnerung, um zu verlängern, zu ersetzen oder kontrolliert auslaufen zu lassen.

Die Überwachung übernimmt danach die Arbeit

Sobald Maßnahmen, Richtlinien, Projekte und Ausnahmen ihre Daten haben, übernimmt die automatische Überwachung. Überprüfungszyklen, Wirksamkeitstests und Ablaufmeldungen führen von selbst zu Aufgaben und E-Mails bei der richtigen Person. Damit wird Pflege keine Frage der Disziplin mehr, sondern eine Frage des Rhythmus.