Sıra
- Bağlam ve ilgili taraflar — neyin içindeyiz, kim bizi ilgilendiriyor.
- Kapsam — sınırı çiz, yazıya dök.
- Liderlik ve roller — kim neyden sorumlu, hangi yetkiyle.
- Risk değerlendirmesi ve yasal yükümlülükler — sistemin gerçek girdisi burasıdır.
- Politika — üst yönetimin taahhüdü.
- Hedefler ve planlar — risklerden ve yükümlülüklerden türer.
- Süreçler ve kontroller — operasyonel planlama, acil durum hazırlığı.
- Yetkinlik, farkındalık, iletişim, dokümante bilgi.
- İzleme ve ölçme.
- İç tetkik.
- Yönetimin gözden geçirmesi.
- Uygunsuzluk ve düzeltici faaliyet — ve baştan döngü.
Neden bu sıra
Her adım bir öncekinin çıktısını girdi olarak kullanır. Kapsamı bilinmeyen bir sistemin risk değerlendirmesi eksik çıkar; riski bilinmeyen bir kuruluşun hedefi rastgele olur; hedefi olmayan bir izleme, ne izlediğini bilmez.
En sık yapılan iki hata
Birincisi, doküman yazarak başlamak. Şablon prosedürler kuruluşu değil şablonu anlatır ve bağlam netleştiğinde yeniden yazılır. İkincisi, hedefi risk değerlendirmesinden önce koymak; o zaman hedef, en büyük riskin değil en kolay ölçülenin peşine düşer.
Ne kadar sürer
Süreye tek bir rakam vermek yanıltıcı olur; kuruluşun büyüklüğüne, saha sayısına ve mevcut kayıt düzenine bağlıdır. Ölçülebilir olan şudur: bir adım tamamlanmadan sonrakine geçen kuruluş, sonunda başa döner.
Hazır sistem satın alınabilir mi
Doküman seti satın alınabilir, sistem alınamaz. Sistemi kuran şey kayıtlar değil, kayıtları üreten alışkanlıklardır.