Download pdf - Bune Practici v1.1 Print

8/19/2019 Bune Practici v1.1 Print

1/50

Tudor Jitianu: +40 722 379992

[email protected]

Elaborarea şi aplicarea procedu r i lor d e cal i tate

Monitorizarea implementării şi funcţionării soluţiilor IT&C

“Bune practici IT”

Proiect cofinanțat din Fondul Social European prinProgramul Operațional Sectorial DezvoltareaResurselor Umane 2007-2013


2/50


2

Industria (domeniul) – factorii ce o influenţează

Rivalitatea între

competitori

Autorităţi şi altegrupuri de

interese

Puterea de

negociere a

furnizorilor

Presiunea noilor

veniţi

Presiunea

produselor desubstituţie

Puterea de

negociere a

clienţilor

Piaţa


3/50


3

Cine-i primul?

Clientul

Acționarii

Managementul

Angajații

Plătește pentru un produs

Primesc bani pentru că au finanțat inițialcompania

Primesc bani pentru conducerea

companiei

Primesc bani pentru munca specifică pecare o prestează în companie


4/50


4

Strategia

Clientul

Management

Producţie

Achiziţii

...

Vânzări

IT

Strategie

Michael Porter

interviu HBR

http://www.youtube.com/watch?v=mYF2_FBCvXwhttp://www.youtube.com/watch?v=mYF2_FBCvXwhttp://www.youtube.com/watch?v=mYF2_FBCvXwhttp://www.youtube.com/watch?v=mYF2_FBCvXwhttp://www.youtube.com/watch?v=mYF2_FBCvXwhttp://www.youtube.com/watch?v=mYF2_FBCvXw


5/50


Strategia – Balanced Score Card

[Titlu scurt curs] 5

Cascadarea obiectivelor – schema COBIT


6/50


6

Management - condiții de bază

ManagementControlMăsurare Definire

Operație dedeterminare a

însușirilor propriiunui lucru, uneinoțiuni etc

Nu pot măsura cenu este definit

Comparare cu unetalon recunoscut

Nu pot controla ce

nu este măsurat Nu pot sa gestionez

ce nu pot controla


7/50


7

Control – definiţie

verificare a unei activități pentru a urmări mersul ei șipentru a lua măsuri de îmbunătățire. [MDN] cf. vhttp://dexonline.ro/definitie/control

Control

to check, test, or verify by evidence or experiments cf.

http://www.merriam-webster.com/dictionary/controlsControl (EN)

Action de contrôler quelque chose, quelqu'un, de

vérifier leur état ou leur situation au regard d'une

norme cf. http://www.larousse.fr/encyclopedie/nom-

commun-nom/contr%C3%B4le/36949

Contrôle (FR)

Î mbunătățire

Dovezi

Normă


8/50


8

Activități guvernanță IT

Stabilește cadrul

Optimizare valoare

Optimizare riscuri

Optimizare

resurse

Transparență

către interesați

Definție

http://en.wikipedia.or

g/wiki/Corporate_gov

ernance


9/50


9

Managementul si guvernanța IT – cf. COBIT 5

COBIT® 5, © 2012 ISACA® Toate drepturile rezervate

Guvernanţa – COBIT5 Draft


10/50


10

Procesul – definiţie şi caracteristici

O serie de acţiuni executate într -o ordine bine precizată cu ajutorul unor resursespecificate în scopul obţinerii unor rezultate.

Intrările şi ieşirile (de exemplu documente, fizice sau electronice)

Descrierea lui – serie de activităţi cu precizarea actorilor, sistemelor, intrărilor şi ieşirilorpentru fiecare activitate din cadrul proceselor

Rolurile persoanelor

Uneltele

Există procese în orice organizaţie, ele pot fi:

Documentate

Nedocumentate

Caracteristicileprocesului – COBIT


11/50


11

Matricea RACI

Cine va îndeplinisarcina?

Acesta se referă laasumarea de roluri caprincipal obiectivoperațional pentru

îndeplinirea activității menționate și crearea derezultate așteptate.

Responsabil

Cine va răspunde desuccesul sarcinii?

Acesta este cel caredesemnează totalitatearesponsabilitățilornecesare îndepliniriiactivității.

Ca regulă, răspundereanu poate fi împărțită.

Autorizează

Cine va furnizainformațiile?

Acestea sunt rolurilecheie care genereazăinformație. Depinde decel care autorizează șide responsabil pentrua obține informații de laalte departamente saude la partenerii din

exterior.

Consultat

Cine primeșteinformația?

Acestea sunt poziţiileinformate desprerealizările și/saurezultatele unei sarcini.

Informat

Trebuie să existe un A şi numai unul şi cel puţin câte un R, C şi I


12/50


12

Matricea RACI – exemple poziţii

IT

Conducere,Director Executiv (CEO)

Director Financiar (CFO)Director Operațiuni (COO)Directori AfaceriComitetul Executiv de StrategieBiroul pentru Managementul Proiectelor (PMO)Director departament risc (CRO)Manager Securitatea Informațiilor Comitetul de Risc

Manager Resurse UmaneDepartament Conformitate (Juridic)

Audit (intern)

NON-IT

Director IT (CIO),

Arhitect Șef Șef Dezvoltare

Șef Operațiuni IT

Șef Administrare IT

Manager Servicii

Manager Securitatea Informațiilor

Manager Continuitatea Afacerii


13/50


13

Procesul – nivelul de maturitate – ISO/IEC 15504

Conform ISO/IEC 15504 există mai multe niveluri de maturitate în care se încadrează un proces Incomplet

Executat

Gestionat

Definit

Predictibil

Optimizat

COBIT 4 are o descriere pentru nivelul de maturitate al fiecarui proces in parte similar CMMI

(http://www.sei.cmu.edu/cmmi/solutions/svc/), COBIT 5 - se sprijina pe ISO/IEC 15504

COBIT – aderă laaceste niveluri dematuritate


14/50


14

Indicatori de performanta (KPI) si de rezultat (KGI)

Indicatori de performanta = valoarea care masoara performanta executiei unui proces.Indicatori de rezultat = valoarea care masoara gradul de atingere a unui obiectiv.

Masurarea:

Sistemul de raportare - scala

Valoarea tinta

Valoarea observata

Obiectivele trebuie sa fie SMART

Specifice

Masurabile

Ambitioase

Realiste Timp clar stabilit


15/50


15

Catalogul de servicii

Lista serviciilor disponibile (în funcțiune).

Din punct de vedere al expunerii

Vizibile către client

De suport (pentru cele directe către client)

Ele pot fi clasificate și după cât de critice sunt pentru organizație, continuitatea utilizăriietc. Acest catalog este baza relației cu restul organizației. Pe baza lui se stabilescniveluri de servicii, indicatori, incidente etc.


16/50


16

Catalogul de active

Lista activelor cu ajutorul cărora sunt livrate serviciile.

Se pot regăsi (reconcilia) cu inventarele din contabilitate. A nu se confunda lista dincontabilitate cu cea a activelor IT.

Se clasifică în general după cât de critice sunt pentru buna funcționare a IT-ului. Acestaeste un punct important de plecare pentru securitatea IT.

Sunt implicate în livrarea serviciilor IT

Există cadre de lucru (ITIL) care se concentrează mai mult pe serviciu decât pe active.


17/50


17

Politica

Un principiu enunţat pentru managementul unei organizaţii.

http://www.merriam-webster.com/dictionary/policy

Nivelul la care sunt ele stabilite

Unde la găsesc?

A nu se confunda cu politicile Active Directory

Există politici în orice organizaţie, ele pot fi:

Documentate

Nedocumentate – „reguli nescrise”

http://www.merriam-webster.com/dictionary/policyhttp://www.merriam-webster.com/dictionary/policyhttp://www.merriam-webster.com/dictionary/policyhttp://www.merriam-webster.com/dictionary/policyhttp://www.merriam-webster.com/dictionary/policy


18/50


18

Framework-ul – cadrul de lucru

Un cadru definit pentru organizarea unui domeniu (IT, dar nu numai)

http://www.merriam-webster.com/dictionary/framework

Nu sunt standarde ISO

Se sprijina pe ISO si ISO preia in timp din ele

Pot exista mai multe “concurente” pe acelasi subiect (partial) Acopera un domeniu intreg sau numai parti din el (ex. Dezvoltare software)

Incorporeaza experienta a mai multor experti din domeniile respective

Au acoperire globala sau cel putin regionala (din punct de vedere al autorilor si utilizarii)

http://www.merriam-webster.com/dictionary/frameworkhttp://www.merriam-webster.com/dictionary/frameworkhttp://www.merriam-webster.com/dictionary/frameworkhttp://www.merriam-webster.com/dictionary/frameworkhttp://www.merriam-webster.com/dictionary/framework


19/50


19

Business drivers

Guvernantacorporativa

Guvernanta IT

Bune practici

Procese, proceduri

Performanta Conformitate

BalancedScorecards (BSC)

COSO

COBIT

RiscIT

ITILISO

27000PMI CMMI

IT RiscManag.

IT ServiceManag.

Principiisecuritate

Principiigestiuneproiecte

Dezvoltaresisteme

Cadre de lucru, standarde


20/50


20

Domenii de activitate IT – conform COBIT

Aliniere, Planificare,Organizare

Strategie IT

Arhitectura info

Inovație

Investiții

Resurse umane

Calitate

Risc

PM

...

Construire, Achiziție,Implementare

Proiecte

Cerințe

Soluții

Cunoștințe

...

Furnizare, Service,Asistență

Operare

Configurație

Securitate

Continuitate

Incidente

Probleme

Active

Control procese

Monitorizare șiEvaluare

Internă

Conformitate

internă şi externă

Cerințe

Controlul

controlului

Traducerile termenilor in romana nu reprezinta unele oficiale COBIT


21/50


MEA BAIDSS

21

Ciclul Deming - COBIT

Adjust(Act)

Plan

Do

Check

InputOutput

APO

Plan/Planifică

Do/Execută

APO

Adjust/Ajustează

Check/Verifică

http://en.wikipedia.org/wiki/W._Edwards_Deming

EDM

http://en.wikipedia.org/wiki/W._Edwards_Deminghttp://en.wikipedia.org/wiki/W._Edwards_Deminghttp://en.wikipedia.org/wiki/W._Edwards_Deming


22/50


22

Exercitiu definire procese

Aliniere, Planificare, OrganizareManagement Contracte Niveluri Servicii (SLA) - APO09

Construire, Achiziție, Implementare

Managementul Configuratiei - BAI10

Furnizare, Service, Asistență Managementul Continuitatii – DSS04

Monitorizare și Evaluare

Monitorizare Performanta si Conformitate – MEA01

Traducerile termenilor in romana nu reprezinta unele oficiale COBIT


23/50


23

Riscul

Incertitudine:http://www.larousse.com/en/dictionaries/french/incertain_incertaine/42220

http://www.merriam-webster.com/dictionary/uncertainty

http://dexonline.ro/definitie/incertitudine

Caracteristici

un eveniment posibil cu efecte negative nominalizat deci identificat

Riscul NU este:

Ceva necunoscut

Ceva imprevizibil

http://www.larousse.com/en/dictionaries/french/incertain_incertaine/42220http://www.merriam-webster.com/dictionary/uncertaintyhttp://dexonline.ro/definitie/incertitudinehttp://dexonline.ro/definitie/incertitudinehttp://dexonline.ro/definitie/incertitudinehttp://www.merriam-webster.com/dictionary/uncertaintyhttp://www.merriam-webster.com/dictionary/uncertaintyhttp://www.merriam-webster.com/dictionary/uncertaintyhttp://www.merriam-webster.com/dictionary/uncertaintyhttp://www.larousse.com/en/dictionaries/french/incertain_incertaine/42220http://www.larousse.com/en/dictionaries/french/incertain_incertaine/42220


24/50


24

Managementul riscurilor este procesul care permite conducerii sa asigure un echilibru intrecosturile operationale si resursele financiare pentru atingerea obiectivelor IT care sustinactivitatea organizatiei.

Caracteristici

Proces ciclic

I se aloca resurse

Este comunicat

Este sustinut de conducerea organizatiei

Trasabilitate

Managementul riscurilor


25/50


25

ale elementelor

domeniului IT: Hardware,Software (OS, aplicatii), date

asociate mediului IT:dezastre naturale, furt de

date, eroare umana

Riscuri



26/50


26

Evaluareariscurilor

Stabilireacontextului

Tratareariscurilor

Intern Extern Al procesului Criterii de risc



27/50


27

Evaluareariscurilor


Tratareariscurilor

Identificarea Analiza Estimarea (in raport cu criteriile de risc)



28/50


28

Ratingprobabilitate

(eventual numeric)

Determinareaprobabilitatii

Rating impact

(eventual financiar) Analiza impactului

(C.I.A)

Riscuri si niveluride risc asociateDeterminarea riscului

Managementul riscurilor - estimarea


29/50


29

Scazut (10) Mediu (50) Mare (100)

Impact

Mare (1)

Medie (0.5)

Scazuta (0.1)

Probabilitateaamenintarii

Mediu (10) Mare (50) Mare (100)

Scazut (5) Mediu (25) Mare (50)

Scazut (1) Scazut (5) Mediu (10)

Managementul riscurilor - ratinguri

Valorile de mai sus din paranteze nu reprezinta probabilitati si nici bani, sunt ratinguri numerice pe o

scara aleasa pentru exemplificare


30/50


30

Impact

P r o b a b i l i t a t e Mediu Mare Mare

Scazut Mediu Mare

Scazut Scazut Mediu



31/50


Securitatea Informatiilor 31

Evaluareariscurilor


Tratareariscurilor

Evitare (renuntare, prevenire, limitare consecinte) Asigurare Asumare



32/50


Metode de tratare a riscurilor

32

Reducere Metode ce vizeaza implementarea controalelor tehnice si operationale

* Cea mai utilizata

Asumare

Transfer

Evitare

Metode de acceptare a riscului, a valorii asociate si a potentialelorconsecinte

(mentinerea riscului)

Metode ce implica transferarea riscului unei organizatii catre o altaorganizatie

(ex. asigurarea )

Metode ce implica schimbarea radicala a mediului ce genereaza riscul

(eliminarea riscului)


33/50


Metode de tratare a riscurilor

33

Mare

Mic

P r o b

a b i l i t a t e

Reducerea riscului Evitarea riscului

Transferul riscului Acceptarea riscului

(Nivel tolerabil)

* Analizati probabilitatea riscului si costul pierderii inainte de a decide asupra metodei de tratare a riscului

Impact Mare


34/50


Monitorizeaza Trateaza riscurile

34

Managementul riscului – Ciclul PDCA

Adjust(Act)

Plan

Do

Check

InputOutput

Identifica AnalizeazaEvalueaza

Title Plan / Planifică

Do / Execută

Revizuieste

Adjust / Ajustează

Check/ Verifică


35/50


35

Calitatea – definitie

Conformitatea cu cerintele clientului

In sensul definit de standarde si framework-uri

Este in sensul de atribut cerut de client deci conformitate

Nu este o calitate intrinseca a produsului ci in relatie cu clientul

„Livram servicii la calitatea ceruta”

nu

„Livram servicii de calitate”


36/50


36

Calitatea – terminologie (1)

Parte a managementului calitatii, concentrata pe furnizarea

increderii ca cerintele referitoare la calitate vor fi indeplinite Asigurarea calitatii

Parte a managementului calitatii, concentrata pe indeplinireacerintelor referitoare la calitateControlul calitatii

Activitati coordonate pentru a orienta si controla o organizatie inceea ce priveste calitatea. Include: Politica referitor la calitate – intentii si orientari generale ale unei organizatii

referitoare la calitate asa cum sunt exprimate oficial de top-management Obiectivele calitatii – ceea ce se urmareste sau este avut in vedere referitor la

calitate Planificarea calitatii – parte a managementului calitatii concentrata pe

stabilirea obiectivelor calitatii si care specifica procesele operationale siresursele aferente necesare pentru a indeplini obiectivele calitatii

Imbunatatirea calitatii – partea a managementului calitatii concentrata pecresterea abilitatii de a indeplini cerinte ale calitatii

Asigurarea si controlul calitatii

Managementulcalitatii


37/50


37

Calitatea – terminologie (2)

Sistem de management prin care se orienteaza si se controleaza oorganizatie in ceea ce priveste calitatea

Sistemul de

management alcalitatii

Actiunea de eliminarea a cauzei unei neconformitati detectate sau aaltei situatii nedorite Actiune corectiva

Actiune intreprinsa pentru a elimina o neconformitate constataCorectie

Actiunea de eliminarea a cauzei unei neconformitati potentiale sau aaltei posibile situatii nedorite

Actiune preventiva

Document prin care se declara rezultatele obtinute sau se furnizeazadovezi ale activitatilor realizate

Inregistrare

Nesatisfacerea cerintelor care afecteaza implementarea saumentinerea SMC (pot fi majore sau minore)

Neconformitate


38/50


38

Calitatea – principii

Implicarea personalului Focalizare catre client

Abordare procesuala

Abordarea sistemica

Relatii reciproc avantajoasecu furnizorii

Abordarea pe baza defapte in luarea deciziilor

Imbunatatire continua

LeadershipPrincipii

conform seriei destandarde ISO

9000


39/50


39

Calitatea – ciclu, relatii

Sursa: Standardul SR EN ISO 9001:2001

Imbunatatirea continua a SMC

CLIENT

(CERINTE)

CLIENT

(SATISFACTIE)

RESPONSABILITATEAMANAGEMENTULUI

REALIZAREA

PRODUSULUI

MANAGEMENTULRESURSELOR

MASURARE, ANALIZA,

IMBUNATATIRE

Intrari Iesiri

ProceseProceseProcese Produs


40/50


40

Calitatea – abordarea bazata pe proces

Intelegerea si satisfacerea cerintelor clientilor

Necesitatea de a considera procesele in functie de valoareaadaugata

Obtinerea de performante in ceea ce priveste performanta sieficacitatea procesului

Imbunatatirea continua a proceselor pe baza masurarilorobiective


41/50


41

Calitatea – seria ISO 9000

9000

Sisteme demanagement al

calitatii: Principiide baza sivocabular

utilizat pentruuniformizarealimbajului sidescrierea

conceptelor debaza

9001


calitatii: Cerinte Documentul care

cuprinde cerinteleobligatorii pentrucertificarea ISO(standardul dereferinta pentru

procesul decertificare)

9004


calitatii: Ghidpentruimbunatatireaperformantelor

Includerecomandaripentru perioada

post certificare

19011

Ghid pentruauditarea

sistemelor demanagement alcalitatii si/sau demanagement demediu


42/50


42

Calitatea – seria ISO 10000

Standarde in relatie cuseria ISO 900

ISO 10006 - Linii directoare pentrumanagementul calitatii in proiecte

ISO 10007 – Linii

directoare pentrumanagementulconfiguratiei

ISO 10002 - Linii directoare pentrutratarea reclamatiilor

ISO 10013- Linii directoarepentru documentaţiasistemului de managemental calităţii

ISO 10001 – Linii directoarepentru coduri de conduita inorganizatii

ISO 10005 - Linii directoarepentru planurile calitatii


43/50


43

Calitatea – cerinte

Cerinte generale

Identificarea proceselorcorespunzatoare SMC Determinarea succesiunii si

interactiunii acestor procese Determinarea criteriilor simetodelor pentru controlul acestora Disponibilitatea resurselor necesarepentru monitorizarea acestora Monitorizarea si analiza proceselor Actiuni pentru atingerea

rezultatelor planificate si imbunatatirecontinua a proceselor

Cerinte referitoare la documentatie(aspecte generale)

Documentatia SMC trebuie sa includa Politica si obiectivele organizatieiin domeniul calitatii

Un manual al calitatii Procedurile documentate cerutede standardul ISO 9001 Documente necesare pentruplanificarea, desfasurarea sicontrolul eficacitatii proceselor sale Inregistrarile cerute de

standardul ISO 9001


44/50


44

Calitatea – cerinte documente

Aprobarea documentelor inainte de a fi utilizate

Analiza si actualizarea documentelor

Asigurarea disponibilitatii documentelor acolo unde acestea sunt

necesare

Identificarea documentelor si asigurarea lizibilitatii acestora

Identificarea si tinerea sub control a distribuirii documentelor deprovenienta externa (de la clienti, reglementari aplicabile, etc.)

Identificarea corespunzatoare a documentelor perimate (nevalabile)sau retragerea acestora pentru a preveni utilizarea lor neintentionata

Cerinte principaleprivitoare la


45/50


45

Calitatea – cerinte pentru inregistrari

Inregistrari cerute de ISO 9001 Analize de management Pregatirea personalului, training,

calificari Gestionarea proprietatii clientului Rezultatele auditurilor interne si

actiunilor rezultate Rezultatele activitatilor corective

si preventive Neconformitatile identificate si

masurile luate, s.a.

Procedura pentru tinerea sub control ainregistrarilor trebuie sa prevada: Identificarea inregistrarilor si asigurarea

lizibilitatii acestora Arhivarea si pastrarea inregistrarilor pe o

durata determinata Retragerea inregistrarilor nevalabile


46/50


46

Calitatea – manualul calitatii

Definitie Manualul calitatii este un document care descrie SMC-ul

unei companii, servind ca referinta permanenta inimplementarea si mentinerea acestui sistem

Cerinteprincipale

Domeniul de aplicare a SMC Procedurile documentate care au fost stabilite pentru SMC Descrierea interactiunii dintre procesele SMC

Avantaje

Faciliteaza intelegerea unitara a SMC si comunicarea ininteriorul si exteriorul companiei referitor la SMC

Asigura instruirea unitara a personalului privind SMC Serveste ca document principal pentru auditul SMC


47/50


47

Calitatea – responsabilitate conducere

Elementele de baza

ale responsabilitatiiconducerii din perspectiva

ISO

Angajamentul conducerii

Politica in domeniul

calitatii

Orientare spre client

Responsabilitate,

autoritate si comunicare

Planificare – a obiectivelorreferitoare la calitatea si a SMC

Analiza efectuata deconducere – aspecte generale


48/50


48

Calitatea – managementul resurselor

Elemente ce tin de managementulresurselor din perspectiva ISO

Asigurarea resurselornecesare pentru bunaderulare a proceselordin SMC si pentrumentinerea acestuia

Asigurarea resurselorumane necesareconform cerintelorclientilor(disponibilitate,

competente, instruire)

Asigurareainfrastructurii

Asigurarea unui mediude lucru adecvat


49/50


49

Calitatea – monitorizare, evaluare

Aspecte generale

Analizaconformitatii

produsului

Monitorizare simasurare

Satisfactiaclientului

Audit intern Monitorizarea sievaluareaproceselor

Tinerea subcontrol aprodusului

neconform

Analiza

Furnizareainformatiilor

referitor lasatisfactiaclientului

Conformitatea cucerintelestandardului

Imbunatatire

Actiuni corective Actiuni

preventive


50/50

Vă mulțumim!Pentru informaț ii suplimentare, v ă rug ăm să ne contactaț i!

Ensight Management Consulting

Str. Uranus nr. 150, 050826București, RomaniaTelefon: +40 31 4055468

Fax: +40 31 [email protected]

www.ensight.ro

mailto:[email protected]://www.ensight.ro/http://www.ensight.ro/mailto:[email protected]