GoldenLine
Zaloguj się
Jerzy Brańka

Jerzy Brańka inż.mechanik

Temat: O wyższości zapewnienia nad zarządzaniem.

Parafrazując teorię prof. Stanisławskiego o wyższości najważniejszych Świąt coraz bardziej skłonny jestem postawić tezę, że zarządzanie jakością "utrupiło" jakość. Na uzasadnienie tej tezy niech posłużą przykłady dnia codziennego. Życie wielu kształconych i realizujących swoje specjalistyczne funkcje zawodowe zalane zostało przez "prominentnych" osobników. To, że na zarządzaniu zna się każdy potwierdzają nawet ci którzy odpowiadają przed "narodem i partią" (bez żadnych skojarzeń). Wokół organizacji zamiast fachowców którzy kiedyś zapewniali jakość namnożyła się szeroka gama znawców zarządzania (Sigmy, Black Belt'y, Green Belt'y, różne odmiany Lean'ów itp...). Liczne grono zapewniających jakość wyrobów w ramach systemów podmienieni zostali przez "hobbystów" zarządzania przynależnych np. środowiskom aptekarzy, akwarystów, budowniczych fortepianów, historyków........).
Zawsze miałem przekonanie, że jakość trzeba osiągnąć i w przedziale czasowym ją zapewniać a dopiero potem próbować brać się za zarządzanie.
Za nową normą tworzącą "nowomodę" jakości wielu trudno nadążyć i mam na to wiele dowodów, dlatego aby nie przeszkadzać entuzjastom "nowości" życzę powodzenia w nic nie robieniu, bo do obowiązywania nowej wersji normy jeszcze czas (szkoleniowcy nabijajcie kasę).
Osobiście pozostaję przy zapewnianiu jakości niż w jej procesowo "ryzykownym" zarządzaniu.
Nie ma jakości to czym tu zarządzać ?.
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

Kiedy pisałem we wcześniejszym wątku, że system zarządzania jakością to nie jakość, a jedynie wyrób czekoladopodobny to Pan negował - a tu nagle taki odwrót o 180 stopni.
Ja też pawie z łezką w oku wspominam normy z roku 1996, które można powiedzieć, że bardziej dobrą praktyka były w zakresie zapewnienia jakości.
W organizacjach, które rozpoczęły nazwijmy to "Zabawę" z ISO 9001 po roku 2000 to niestety wielu założeń normy ISO nie rozumieją. Nie do końca też niestety rozumieją ideę zarządzania procesowego. Ja miałem okazję wdrożyć 4 systemy zarządzania ISO 9002 z celowym pominięciem ISO 9001 bo to taka moda była aby szybciej certyfikat dostać dlatego zawsze na swoje szkolenia zabieram też normę ISO 9001 z 1996 roku albo jak kto woli z 1994 roku aby naświetlić ideę zapewnienia jakości.
Super Pan to określił - nie ma jakości to nie ma czym zarządzać
Teraz wszyscy zarządzać ryzykiem będą do tego stopnia że za chwilę zapomną o wyrobie (usłudze).
Link do wypowiedziLink
Jerzy Brańka

Jerzy Brańka inż.mechanik

Temat: O wyższości zapewnienia nad zarządzaniem.

Maciej W.:
Kiedy pisałem we wcześniejszym wątku, że system zarządzania jakością to nie jakość, a jedynie wyrób czekoladopodobny to Pan negował - a tu nagle taki odwrót o 180 stopni.

Dobrze byłoby Panie Macieju zacytować tą moją negację, wzbogaci to ten wątek.
Proszę się tylko nie pomylić bo mój pogląd nt. jest niezmienny.
"X" lat temu pisałem "Jakościowcy do jakości, zarządzający do zarządzania samymi sobą".Ten post został edytowany przez Autora dnia 14.06.17 o godzinie 17:22
Link do wypowiedziLink
Alfreda Pośnik

Alfreda Pośnik dyrektor ds jakości
"war-REMEDIUM "Sp. z
o.o.

Temat: O wyższości zapewnienia nad zarządzaniem.

Panowie Macieju i Jurku,myślę,że nowa norma nie podoba się większości,ale niestety jest i obowiązuje i póki się nie zmieni musimy ją stosować ,jeżeli chcemy kontynuować certyfikację.Ja w sierpniu br. mam ostatni audyt nadzorczy zgodny z ISO 9001:2009,ale już w następnym roku muszę odnowić certyfikację już na podstawie normy ISO 9001:2015 .I chociaż na nią warczę to już wszystko sukcesywnie zmieniam (zmieniam głównie Księgę) dopasowując do nowych wymagań,bo procedury są jednocześnie do ISO jak i ZKP i są mocno rozbudowane i tak zostanie.W procedurach dokonam tylko zmian niezbędnych.Ten post został edytowany przez Autora dnia 15.06.17 o godzinie 18:11
Link do wypowiedziLink
Jan D.

Jan D. nie wszystko na raz
- mam ochotę na
zmiany

Temat: O wyższości zapewnienia nad zarządzaniem.

Cokolwiek byśmy nie robili to mamy styczność z "ryzykiem" i jakością usługi/produktu. Oferując produkt/usługę w oczekiwanej przez klienta "jakości|" jesteśmy zmuszeni utrzymać powtarzalność wykonania czyli zapewnić "jakość" . Samo dostarczenie produktu/usługi we właściwej jakości wiąże się z różnymi zdarzeniami, które nie są zależne całkowicie od nas np. uszkodzenie przesyłki, przerwy w dostawie prądu, awarie urządzeń, absencje pracowników.
Jednym z elementów zarządzania firmą jest zaplanowanie reakcji na konkretne ryzyko np. choroba pracownika - reakcja to wprowadzenie zastępstw. To robi każda firma, a niektóre gdy ich ryzyko działalności zależy mocno od zdarzeń zewnętrznych np. gospodarczych tworzą zespołu, które zajmują się wyłącznie analizą i oceną możliwości zdarzeń w otoczeniu w którym działa i jest zależna ich firma. Umownie nazywają to "zarządzaniem ryzykiem" co nie jest do końca zgodne z prawdą, a tak naprawdę akceptują zdarzenia przygotowując się na ich materializację np .sprzedając lub kupując papiery wartościowe na giełdach.

Firma, w której pracuję, przestała ubiegać się o certyfikację, uznając, że nie rezygnując z rozwiązań sam proces nadzoru i certyfikacji już nie przynosi wartości dodanej oceniając, iż brak certyfikacji nie wpłynie na postrzeganie firmy,
Link do wypowiedziLink
Alfreda Pośnik

Alfreda Pośnik dyrektor ds jakości
"war-REMEDIUM "Sp. z
o.o.

Temat: O wyższości zapewnienia nad zarządzaniem.

Jan D.:

Firma, w której pracuję, przestała ubiegać się o certyfikację, uznając, że nie rezygnując z rozwiązań sam proces nadzoru i certyfikacji już nie przynosi wartości dodanej oceniając, iż brak certyfikacji nie wpłynie na postrzeganie firmy,

Oczywiście nie miał Pan na to wpływu na decyzję firmy.Ja jednak myślę,że jest to zła decyzja Państwa firmy.
Jeżeli moja firma planowałaby zacząć proces certyfikacji teraz to bym miała wątpliwości,bo rzeczywiście system ISO się zdewaluował i nie ma już takiej wartości jak miał we wcześniejszych latach.
Ala jeżeli my mamy Certyfikat ISO od 2001 r,to zaprzestanie kontynuacji,nasi klienci odebrali by negatywnie. Uważaliby że coś z nami jest nie tak jeżeli nie mamy ISO ,a to zaszkodziłoby firmie.
Dodatkowo,my konkurujemy z koncernami ,które kiedyś mówiły ,że produkcję tworzymy w stodole,a mieszamy w wiadrze.Po certyfikacji w TUV zamilkli,bo podlegamy tym samym procedurom nadzoru co oni.Ten post został edytowany przez Autora dnia 16.06.17 o godzinie 22:29
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

Jednym z elementów zarządzania firmą jest zaplanowanie reakcji
na konkretne ryzyko np. choroba pracownika - reakcja to wprowadzenie zastępstw. To robi każda firma, a niektóre gdy ich ryzyko działalności zależy mocno od zdarzeń zewnętrznych np. gospodarczych tworzą zespołu, które zajmują się wyłącznie analizą i oceną możliwości zdarzeń w otoczeniu w którym działa i jest zależna ich firma. Umownie nazywają to "zarządzaniem ryzykiem" co nie jest do końca zgodne z prawdą, a tak naprawdę akceptują zdarzenia przygotowując się na ich materializację np .sprzedając lub kupując papiery wartościowe na giełdach.

Racja
Ja jednak problem naświetlam trochę inny.
Mnie chodzi o to, że Norma ISO 9001 w punktach 0.0.3 i 6 .1 treść zaciągnęła z normy ISO 31000 w dodatku tak aby było "śmieszniej czy zabawniej czy sam już nie wiem jak" zrobiła to w sposób niekompletny.
I teraz jeden z Audytorów Jednostki certyfikującej powie "no wiecie państwo w zasadzie to należało by zastosować podejście z normy ISO 31000 a drugi inny audytor nawet z tej samej Jednostki może powiedzieć przecież podejście do zarządzania ryzykiem nie musi być takie jak opisano w normie ISO 31000 i obaj będą mieli rację.
Tak więc jak to już wcześniej pisał Pan Jerzy Norma ISO 9001 to takie bla bla lanie wody i brak jakichkolwiek konkretów .
Kolejną kwestią jest to, że zarządzanie ryzykiem jako dobra praktyka do normy ISO 9001 powinno być przede wszystkim systemem kompetencyjnym.
Proszę Państwa to pracownik i tylko pracownik, a nie organizacja musi być przygotowany do zarządzania ryzykiem.
Naszym managerom i różnym takim przyda się trochę wiedzy w zakresie tak zwanych systemów behawioralnych.
Już na początku lat 90tych firma DuPont opracowała system behawioralny, którym udowodniła całemu światu, iż tylko podnosząc kompetencje w zakresie zarządzania ryzykiem można doprowadzić do poprawy bezpieczeństwa wśród pracowników.
Nowa NORMA iso 9001 przedstawia bezpieczeństwo w organizacji jako zdolność do ciągłego dostarczenia wyrobów i usług zgodnych z oczekiwaniami interesariuszy.
Niestety droga nie prowadzi przez opracowywanie dokumentacji dotyczącej ryzyka, a prowadzi przez takie szkolenie pracowników oraz menadżerów aby umieli tym ryzykiem właściwie zarządzać.
Zawsze powtarzam na szkoleniach menadżerom tym wybitnym i tym trochę mniej wybitnym aby trochę poczytać bo wszystko co najlepsze zostało już wymyślone i fajnie funkcjonuje ale trzeba postępować zgodnie z instrukcją podaną przez autora, a nie wymyślać żadnej drogi na skróty.
Bo droga na skróty w jakości to się strasznie wydłuża.
I teraz aby osiągnąć sukces jaki osiągnęła firma DuPont należy przeszkolić pracowników po czym następnie przystąpić do szkolenia pracowników, a następnie w kolejnym już ostatnim etapie przeszkolić pracowników i wtedy wszystko fajnie zadziała no tylko, że to trochę kosztuje, a jak Pana firmy nie stać już na certyfikację to co dopiero na taka drogę ... :-)
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

Jednym z elementów zarządzania firmą jest zaplanowanie reakcji na konkretne ryzyko np. choroba pracownika - reakcja to wprowadzenie zastępstw. To robi każda firma, a niektóre gdy ich ryzyko działalności zależy mocno od zdarzeń zewnętrznych np. gospodarczych tworzą zespołu, które zajmują się wyłącznie analizą i oceną możliwości zdarzeń w otoczeniu w którym działa i jest zależna ich firma. Umownie nazywają to "zarządzaniem ryzykiem" co nie jest do końca zgodne z prawdą, a tak naprawdę akceptują zdarzenia przygotowując się na ich materializację np .sprzedając lub kupując papiery wartościowe na giełdach.

Jeszcze tak w woli uzupełnienia.
Aby odpowiedzieć sobie na pytanie czy to co napisałem powyżej jest prawdziwe wystarczy sprawdzić w swojej firmie czy ocena ryzyka zawodowego według metody PHA została przeprowadzona w firmie przez pracowników mojej firmy czy może została zlecona jakże modnemu angielsko brzmiącemu słowu czyli outsourcing'owi.
I teraz czy jeżeli ocena ryzyka zawodowego została opracowana przez jakąś jednostkę zewnętrzną to czy ta ocena ryzyka zawodowego może być właściwie zarządzana przez pracowników?
Powiem Panu jak wygląda prawda. Prawda jest taka i dotyczy to ponad 90% firm, iż została zrobiona przez organizację zewnętrzną a następnie trafiła na biurko BHPowca który, ukrył ją gdzieś w czeluściach, że już nawet sam zapomniał gdzie to schował, pytanie czy BHPowiec to przeczytał może być aż nadto zaskakujące i pytaniem poniżej pasa, a pytanie czy w ogóle ktokolwiek to przeczytał to już naprawdę tendencyjne żeby nie powiedzieć bezczelne pytanie.
Dlatego nie mówmy dalej już może o wdrożeniu, a jeszcze, że metoda PHA to już jest mocno nieaktualna i trzeba najpierw dokonać oceny metody i wyboru metody to już naprawdę można powiedzieć, że to jest chamstwo z mojej strony.
Link do wypowiedziLink
Grzegorz Krzemiński

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: O wyższości zapewnienia nad zarządzaniem.

Tak sobie czytam i postanowiłem się włączyć.

Na początek kilka rzeczy, które już w ISO 9001 się nieco ... zmaterializowało. Nazywam to modą. Bo przecież bardziej modnie jest mówić o ryzyku i szansach, a nie o zagrożeniu i szansach. Bo co to takie tam zagrożenie... Przecież dziś każdy zarządza ryzykiem.

A tymczasem... Stara analiza SWOT mówi o zagrożeniach i szansach. Pytanie dlaczego nie o ryzyku? Może dlatego, że ryzyko jest kombinacją prawdopodobieństwa i skutku? A skutek może być zarówno pozytywny (wykorzysta czy zmaterializuje szanse) lub negatywny (wykorzysta czy też zmaterializuje... zagrożenia). Czyli niezależnie czy to szansa czy zagrożenie - w ostatecznym rozrachunku mówimy o ryzyku.

Co ciekawe - analizy zagrożeń wcale nie wyłączają ani prawdopodobieństwa ani siły oddziaływania (impact). Dlatego czytając ISO 9001 ciągle mi coś zgrzyta, bo tam gdzie powinno być zagrożenie, często jest ryzyko i tam gdzie ryzyko - też jest ryzyko...

PHA to też analiza ZAGROŻEŃ, nie analiza RYZYKA. Też i HAZOP, HACCP, i wiele innych - to analizy zagrożeń. A po co - to na końcu.

Bo hazard (H) to zagrożenie. Threat - to zagrożenie. Ale risk - to ryzyko.

I tu jest zbieżność z tym, co Jerzy pisze. Ludziom od jakości - jako takiej, ryzyko to jest.. na plaster. Idąc dalej - nawet nie mają odpowiednich narzędzi, aby z nim pracować.

Idąc jeszcze dalej - zrzucanie na głowę jakościowcom, ale też BHP-owcom, strażakom, gościom od ochrony fizycznej i innym, wielu innym na głowę ryzyka jest jakimś kolosalnym nieporozumieniem.

Z bardzo prostej przyczyny, która ma nieco inne źródło. Otóż w założeniu - nie dopuszczamy do tego, aby zagrożenie "uszkodziło" nam naszego podopiecznego. Niezależnie jaki będzie miał "zbiór inherentnych cech".

I teraz ten koniec. W przypadku BHP, czy PPOŻ - nie wolno nam w ogóle myśleć o skrzywdzeniu człowieka a już nawet o jego zabiciu. W jakości - ale tej jakości, o której chyba powinniśmy myśleć, też nie wolno nam myśleć, o jej utracie. Tak jak w przypadku żywności (HACCP) i wielu, wielu innych sprawach. A i zapomniałbym - w danych osobowych też. ;-) Też mówimy o zagrożeniach, a nie ryzyku, bo nie dopuszczamy przetwarzania danych inaczej niż to określone w przepisach.

Innymi słowy, w tych wszystkich obszarach, po prostu nie jest dopuszczalne utracenie "inherentnych cech", atrybutów, etc. Bo w przypadku człowieka mamy prawa (w tym do życia i zdrowia) gwarantowane Konstytucją. W jakości - naszą Konstytucją są parametry produktu i usługi. I do ryzyka nawet się nie zbliżamy, bo w ogóle nie powinniśmy szacować skutku zabicia człowieka, grupy ludzi i... jakości. I przyjmować - że ok, jednego zabijemy i nic tam. Ale dwóch to już ryzyko poniżej akceptacji.

Żeby może nieco rozjaśnić, bo ja wiem co chcę napisać, ale nie wiem, czy robię to dobrze. Otóż w bezpieczeństwie takim dużym, korporacyjnym, gdzie mam narzędzia i dane używam analizy BOW-TIE. Czyli po prostu muszka.
- Po lewej stronie muszki jest drzewo błędów czyli analiza potencjalnych przyczyn i ich kombinacji, które doprowadzić mogą do zdarzenia szczytowego.
- po prawej stronie muszki - drzewo zdarzeń czyli analiza potencjalnych skutków i ich kombinacji

A po środku mamy zdarzenie szczytowe (top event). I dla nas - w jakości ZS jest utrata cech produktu, czy usługi. Czy naprawdę trzeba robić "prawą stronę" muszki? Zastanawiać się ile osób zabije wadliwy zawór? Jakie będą roszczenia do firmy - skutek finansowy, czy zarząd pójdzie siedzieć skutek ... a właśnie - wcale nie prawny ;-) O tym za chwilę.

I jak już te skutki będę oszacowane - to w którym przedziale się znajdą? W sensie, czy jakościowiec naprawdę ma wiedzieć, że:
1. Strata (lub odszkodowania płacone z własnej kieszeni) na poziomie 1 mln jest akceptowalna (poziom ryzyka niski)
2. strata na poziomie 5 mln - należy się przyjrzeć (poziom ryzyka śrenim)
3. a strata na poziomie 10 mln i wyżej - jest krytyczna i kładzie firmę.

Ale to tylko są finansowe. A gdzie reputacyjne? I wiele, wiele innych.

O tym prawnym dla zarządu dwa zdania. Odpowiedzialność karna zarządu nie jest ryzykiem firmy ;-) Poważnie - bo jest personalna, w sensie każdy przepis karny wskazuje na odpowiedzialność osoby, a nie firmy (słowo w każdym przepisie - KTO..). Dla firmy... no właśnie - dla firmy będą to skutki w procesach zarządczych (zawieszenie, zmiany w zarządzie, bądź w ogóle utrata jego części).

A w przypadku człowieka - czy naprawdę kara więzienia jest RYZYKIEM? Czy może znów - zdarzeniem szczytowym, wywołującym skutki? rozwód, utrata statusu, zarobków, swobody dysponowania sobą, popsute CV. Czyli skutki zarówno w krótkim czasie jak i długim.

Ale tak samo jak w przypadku jakości, tak i swojego życia. Większość ludzi nie zastanawia się w jakości jakie będą skutki "puszczenia" niespełniającego wymagań jakościowych produktu, czy usługi, tak człowiek też nie zastanawia się jaką kancelarię wynajmie i jak będzie kombinował aby trafić w system elektronicznego nadzoru, a nie do pudła.

Podsumuję nieco, bo się rozwinąłem.
Zgadzam się w pełni, że jakość to jakość. A obecna ISO 9001 nieco zamotała i idzie w kierunku "doskonałego podręcznika zarządzania wszystkim". Moim zdaniem nie jest to dobrze, choć na szczęście ISO 9001 nie wymaga formalnych systemów, czy metod, a jedynie nakazuje rozważanie (annex - strona 31 pkt. A.4).
Link do wypowiedziLink
Alfreda Pośnik

Alfreda Pośnik dyrektor ds jakości
"war-REMEDIUM "Sp. z
o.o.

Temat: O wyższości zapewnienia nad zarządzaniem.

Panie Grzegorzu
W pełni się z Panem zgadzam.Ja jako jakościowiec powinnam koncentrować uwagę na jakości produkowanych przez nas wyrobów.Oczywiście wyroby muszą być bezpieczne i dopuszczone do zbytu.A z uwagi na to ,że jest to chemia budowlana to wszystkie zagrożenia muszą być znane odbiorcy. Produkty odpowiednio oznakowane i posiadające dokumenty formalne z grupy bezpieczeństwa (Karty Charakterystyki Produktu w naszym przypadku opracowane przez Instytut Chemii Przemysłowej i Atesty Higieniczne wydane przez Państwowy Zakład Higieny)
Natomiast jeżeli byłaby mi potrzebna dodatkowa rozszerzona wiedza z zakresu bezpieczeństwa
wspierałabym się między innymi takimi ludźmi jak Pan.
Nie muszę być obnibusem w każdej dziedzinie.Każdy ma swoją specjalizację w której jest specjalistą.
Link do wypowiedziLink
Grzegorz Krzemiński

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: O wyższości zapewnienia nad zarządzaniem.

Dzięki bardzo. Dla mnie ważne słowa.

Ale najważniejsze, aby rozumieć, że nowa ISO 9001 wcale nie wywróciła tak bardzo. To ewolucja, nie rewolucja, a ryzyko ma byc ROZWAŻONE, a nie ZARZADZANE.

Niedługo szykuję seminarium w tym temacie. Zastanawiam się czy nie nazwać go - jak się bronic przed audytorem ;-)

Oczywiście to żart, ale w sumie do tego zmierza.
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

A czy to rozważenie to musi być na piśmie czy nie? Czy potrzebna jest udokumentowana informacja z tych czynności, które nazwiemy rozważeniem?
Link do wypowiedziLink
Grzegorz Krzemiński

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: O wyższości zapewnienia nad zarządzaniem.

Mnie sprawdzasz, czy znam normę czy jak? Przecież napisałem w poście, gdzie szukać informacji o tym, co robić z zarządzaniem ryzykiem. O tym, czy udokumentowana - jest dokładnie w tym samym miejscu.
Link do wypowiedziLink
Alfreda Pośnik

Alfreda Pośnik dyrektor ds jakości
"war-REMEDIUM "Sp. z
o.o.

Temat: O wyższości zapewnienia nad zarządzaniem.

Grzegorz K.:

Niedługo szykuję seminarium w tym temacie. Zastanawiam się czy nie nazwać go - jak się bronic przed audytorem ;-)

Oczywiście to żart, ale w sumie do tego zmierza.

Rozumiem,że to żart,bo są różni audytorzy i w większości jednak podchodzący do normy
ze zrozumieniem i traktują nową normę jako rozszerzenie starej, a nie coś zupełnie nowego.Tak więc nową normę traktują jako ewolucję, a nie rewolucję.
Myślę,że audyt z nowej normy nie będzie groźnyTen post został edytowany przez Autora dnia 29.06.17 o godzinie 18:41
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

Grzegorz K.:
Mnie sprawdzasz, czy znam normę czy jak? Przecież napisałem w poście, gdzie szukać informacji o tym, co robić z zarządzaniem ryzykiem. O tym, czy udokumentowana - jest dokładnie w tym samym miejscu.

Nie sprawdzałem - normalnie pytałem ale może jakoś źle sformułowałem pytanie.
Ok ale zajrzę i sprawdzę na pewno.
Jeżeli tak jest, a przypuszczam, że jest skoro tak piszesz to może wyjaśniać dlaczego treść zaciągnięta z normy ISO 3100 jest niekompletna i niespójna.
Pytanie czy organizacje to wiedzą - może być bardzo trudne.
Ale jeszcze wrócę do tematu
HLS w obszarze zarządzania ryzykiem przywołuje jako podstawę terminologii podręcznik ISO Guide 73: 2009, a tam ryzyko jest zdefiniowane e jako skutek niepewności uzyskania oczekiwanego wyniku, przy czym ten skutek oznacza zarówno pozytywne jak i negatywne odchylenie od
oczekiwanego wyniku.
I dlatego nowa norma różni się od starej tym, że większość wymagań w systemie powinna być
opartych na wynikach a nie na formalnych ustaleniach.
Czy jeżeli przyjmiemy założenie, że ryzyko powinniśmy rozważyć w SJP przemyśleć jakąś sprawę, jakieś zagadnienie, zastanowić się nad czymś, rozpatrzyć coś; przeanalizować czy nie oznacza to nawrotu do starej normy, która przedkładała ustalenia albo decyzje zarządów nad wyniki.
W normie nie ma formalnego wymogu zarządzania ryzykiem to fakt ale szanse i zagrożenia powinny być przecież ustalone i ukierunkowane powinny również być uwzględnione w kontekście organizacji.
Pytam bo jak sobie coś rozważę i stwierdzę, że nie muszę tego robić to skąd mam potem wziąć wyniki?
Link do wypowiedziLink
Grzegorz Krzemiński

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: O wyższości zapewnienia nad zarządzaniem.

Maciej W.:
Grzegorz K.:
Mnie sprawdzasz, czy znam normę czy jak? Przecież napisałem w poście, gdzie szukać informacji o tym, co robić z zarządzaniem ryzykiem. O tym, czy udokumentowana - jest dokładnie w tym samym miejscu.

Nie sprawdzałem - normalnie pytałem ale może jakoś źle sformułowałem pytanie.
Ok ale zajrzę i sprawdzę na pewno.
Organizacja decyduje. Ostatnie zdanie str. 31 - w polskim wydaniu.
Jeżeli tak jest, a przypuszczam, że jest skoro tak piszesz to może wyjaśniać dlaczego treść zaciągnięta z normy ISO 3100 jest niekompletna i niespójna.
To nie do końca tak, że coś było zaciągane. Od jakiegoś czasu zaczyna w normach i standardach "bezpiecznikowskich" funkcjonować koncepcja dojrzałości organizacji. Kiedyś nawet miałem wykład na kilku konferencjach i w nim opisałem to nieco inaczej niż w normach, ale to było dużo wcześniej. W dużym skrócie - organizacje są bardziej lub mniej dojrzałe. Dla przykładu (z mojego wykładu):
1. Okres niemowlęctwa - nie patrzy się na żadne inne ryzyko, niż to, czy firmę zamkną.
2. Okres wczesnego dzieciństwa - firma już robi zgodność z prawem, nie tylko w obszarach gdzie istnieje zagrożenie zamknięcia.
3. Okres nastoletni - gdzie firma ma już pełną zgodność, ale chce coś więcej. Chce być poukładana, ale jeszcze nie ma na tyle dojrzałości, że zrobi to sama (często jeszcze ścierają się księstewka w firmie). Tu firmy wchodzą w standardy
4. Okres dojrzałości - gdzie standardy nie są już potrzebne, bo firmy są już dojrzałe i sobie same dziabią.

I jak popatrzysz po wymaganiach ISO 9001, to właśnie taki model też zaczyna przebijać. Z doświadczenia - odmówiłem kilka razy wdrożenia ISO 27001 dla firm na 1 i 2 etapie dojrzałości. Bo same były nie ułożone w procesach. I teraz wyobraź sobie, że np. firma z takiego poziomu 1, ledwie spełniająca przepisy prawa chce wejść w bardzo dojrzałe zarządzanie ryzykiem (poziom 3 dojrzałości) i nie tylko chce frameworka z ISO 31000, ale też chce mieć obszary posprzątane:
ISO 27001 + ISO 27005 dla informacji
OHSAS (czy za chwilę ISO 45001) dla BHP
ISO 22000/BRC/IFS - bo np. żywność produkuje.

Ale żeby było lepiej - chce też zarządzać etapami procesu związanego z ryzykiem, więc robi sobie poza ISO 31000 i tych wyżej - jeszcze ISO 22301 (rozwijając np wymagania z ISO 27001 w zakresie ciągłości działania) dla kryzysów robi BS 11200, a w ogóle to chce byc odporna, więc BS 65000 i ISO 22316....

Sorry, ale ja nie wierzę. Z doświadczenia, jak pokazałem ilość materiałów i dokumentów systemowych do wytworzenia, to nagle było w dwie strony:
1. Oświeciło... że najpierw trzeba sie poukładać
2. Ku...rcze ale te ISO to papierologia (tu siłą rzeczy dałem spokój).

Dlatego moim zdaniem ISO 9001 nie narzuca rozwiązań ISO 31000 a traktuje raczej jako wskazanie, że można. Zależy od dojrzałości. I jeśli firma nie jest dojrzała w ryzyku, niech robi sobie "ekspercko" Siądzie i coś tam na kolanie, coś przemyśli, przegada.

A jak dojrzała - niech robi całe ISO 31000. Na pewno wesprze wszystkie pozostałe wdrożenia na normach opartych o HLS (BSI też już idzie z krajowymi pomału w tym kierunku).
Pytanie czy organizacje to wiedzą - może być bardzo trudne.
Ale jeszcze wrócę do tematu
HLS w obszarze zarządzania ryzykiem przywołuje jako podstawę terminologii podręcznik ISO Guide 73: 2009, a tam ryzyko jest zdefiniowane e jako skutek niepewności uzyskania oczekiwanego wyniku, przy czym ten skutek oznacza zarówno pozytywne jak i negatywne odchylenie od
oczekiwanego wyniku.
I dlatego nowa norma różni się od starej tym, że większość wymagań w systemie powinna być
opartych na wynikach a nie na formalnych ustaleniach.
Czy jeżeli przyjmiemy założenie, że ryzyko powinniśmy rozważyć w SJP przemyśleć jakąś sprawę, jakieś zagadnienie, zastanowić się nad czymś, rozpatrzyć coś; przeanalizować czy nie oznacza to nawrotu do starej normy, która przedkładała ustalenia albo decyzje zarządów nad wyniki.
W normie nie ma formalnego wymogu zarządzania ryzykiem to fakt ale szanse i zagrożenia powinny być przecież ustalone i ukierunkowane powinny również być uwzględnione w kontekście organizacji.
Pytam bo jak sobie coś rozważę i stwierdzę, że nie muszę tego robić to skąd mam potem wziąć wyniki?
Problem, który chyba dostrzegli (na pewno dostrzegli, bo pamiętam pracę nad ISO 9001 przez portal BSI - tam gdzie omawiamy nowe standardy) jest to, że czasem jest NADMIAR informacji. Której firma nie wykorzystuje. Dlatego pozostawiona jest elastyczność co do tego, co dokumentować a co nie.

Analogicznie - zadam pytanie. Tak ogólnie do forum. Ilu z Was używa znaczników ryzyka (kategorii z rejestru ryzyka) w protokołach niezgodności i w obserwacjach (czy potencjale doskonalenia - jak ja to nazywam)?

Nie spotkałem się z firmą, która ma "gołe" ISO 9001 aby pamiętała o tym, że każda niezgodność to zmaterializowanie zagrożenia. I z takiej niezgodności można:
1. Wyprowadzić statystykę (dane do analizy zagrożeń - z historii, czyli dane ex-post)
2. Wyprowadzić nowe kategorie i węzły zagrożeń, jeśli okazałoby się że nikt wcześniej na to nie wpadł.
3. Eskalować (scenariuszowo) niezgodność czyli tu już oszacować ryzyko. Czyli dodając kilka pól na protokole opisać co się mogło dalej zadziać, jak kontrola by nie wyłapała.

To jest standardowe zarządzanie incydentami w systemach dojrzałych. Ale... nikt nie wymaga. Bo to wymaga osoby/działu oraz czasu na obróbkę tego materiału. Pytanie - czy zawsze jest sens? Znam co najmniej kilka firm, w których to byłoby mało celowe ekonomicznie a i zagrzebali by się w danych. Ale te firmy mają to w planach na 3-5 lat. I pomału budują.

Także podsumuję. To nie tak, że ISO 9001 zaciągneło z 31000. WSKAZAŁO jako podręcznik, ale nie nakazuje.
Link do wypowiedziLink
Jan D.

Jan D. nie wszystko na raz
- mam ochotę na
zmiany

Temat: O wyższości zapewnienia nad zarządzaniem.

Grzegorz K.:


Nie spotkałem się z firmą, która ma "gołe" ISO 9001 aby pamiętała o tym, że każda niezgodność to zmaterializowanie zagrożenia. I z takiej niezgodności można:
1. Wyprowadzić statystykę (dane do analizy zagrożeń - z historii, czyli dane ex-post)
2. Wyprowadzić nowe kategorie i węzły zagrożeń, jeśli okazałoby się że nikt wcześniej na to nie wpadł.
3. Eskalować (scenariuszowo) niezgodność czyli tu już oszacować ryzyko. Czyli dodając kilka pól na protokole opisać co się mogło dalej zadziać, jak kontrola by nie wyłapała.

jak zawsze ciekawie :-)

To zależy jak zdefiniowane jest 'gołe" ISO 9001. Przykładem jest firma w której pracuję. Od samego początku stosowaliśmy (18 lat) podejście systemowe w naszej działalności, bez względu czy 9001:1987 (nie pamiętam czy nie 1984) pierwotne było prostym przewodnikiem, czy zalecało podejście procesowe czy skupiało się na skuteczność nie uwzględniając ekonomiczności rozwiązań. Z tego też względu jak również na specyfikę działalności identyfikacja zagrożeń/szans oraz wybory reakcji na nie.
Przewrotnością naszą jest to, że sami nie mając aktualnego certyfikatu wymagamy od naszych dostawców nie tylko ISO 9001, ale spełnienia jeszcze innych norm ISO i nie tylko wprzęgając to wszystko elementy aktywnego monitorowania ich działań. :-)

Standardy ISO są pomocne w poruszaniu się na rynku, są platformą inaczej "wspólnym językiem" różnych organizacji. Moim zdaniem jest to dopiero mały krok w dążeniu do uczącej się organizacji.
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

Od jakiegoś
czasu zaczyna w normach i standardach "bezpiecznikowskich" funkcjonować koncepcja dojrzałości organizacji. Kiedyś nawet miałem wykład na kilku konferencjach i w nim opisałem to nieco inaczej niż w normach, ale to było dużo wcześniej. W dużym skrócie - organizacje są bardziej lub mniej dojrzałe. Dla przykładu (z mojego wykładu):
1. Okres niemowlęctwa - nie patrzy się na żadne inne ryzyko, niż to, czy firmę zamkną.
2. Okres wczesnego dzieciństwa - firma już robi zgodność z prawem, nie tylko w obszarach gdzie istnieje zagrożenie zamknięcia.
3. Okres nastoletni - gdzie firma ma już pełną zgodność, ale chce coś więcej. Chce być poukładana, ale jeszcze nie ma na tyle dojrzałości, że zrobi to sama (często jeszcze ścierają się księstewka w firmie). Tu firmy wchodzą w standardy
4. Okres dojrzałości - gdzie standardy nie są już potrzebne, bo firmy są już dojrzałe i sobie same dziabią.

Ciekawe to nawet.
Faktycznie z dojrzałością organizacyjną spotkałem się z takim sformułowaniem ale przy tworzeniu BSC - strategicznej karty wyników. A to co napisałeś powyżej to twój wymysł.
Zastanawiam się czy mogę się na to powołać przy jakimś swoim wykładzie?
Link do wypowiedziLink
Grzegorz Krzemiński

Grzegorz Krzemiński 600+ projektów w
bezpieczeństwie |
Trener | RODO | HSSE
|...

Temat: O wyższości zapewnienia nad zarządzaniem.

Jak najbardziej. Koncepcja dojrzałości organizacji pojawiła się już w normach ISO - głównie w ciągłości działania. Też ma podobny układ - 4 poziomy, plus zdefiniowane mierniki, wskazujące na którym poziomie organizacja się znajduje. NP ISO 22325 - ma 4 grupy i 9 tabel do oceny.

Moim zdaniem koncepcja bardzo ładnie rozwija i uzupełnia ISO 9001 - tłumacząc, dlaczego pasuje do dużych i małych organizacji. Ale nie przez wielkość ale przez dojrzałość. Dyskutowałem o tym w październiku 2015 na konferencji w Londynie, bo tzw "kraje rozwinięte" nadal uważają, że należy mówić o organizacji przez jej wielkość, a nie dojrzałość.

A ja uważam, że to błąd. Mała organizacja, taka do 50 osób może mieć tak kozackie rozwiązania, której potężny koncern nie jest w stanie dorównać. Najczęściej taka organizacja przez ten koncern w perspektywie czasu jest kupowana, właśnie często dzięki doskonale zrozumianym i ogarniętym procesom, co jakby nie patrzeć łatwiej zrobić w małej niż w dużej organizacji.
Link do wypowiedziLink
Maciej Walicki

Maciej Walicki ISO ekspert

Temat: O wyższości zapewnienia nad zarządzaniem.

Tak myślałem o tym rozważeniu i wydaje mnie się, że to nie może być takie rozważenie, że sobie coś rozważyłem i nie będę tego robił w ogóle tylko to musi być takie rozważenie gdzie ustalę kryteria w jakich przypadkach analiza ryzyka musi być wdrożona, a w jakich przypadkach ewentualnie nie. Te kryteria powinny stanowić wykładnię (tworzyć wymaganie).

Tak mnie się wydaje po dosyć długim namyśle.
Link do wypowiedziLink
« Wróć do tematów
Odpowiedz

Podobne tematy


Następna dyskusja:

Praca w Poznaniu dla specja...




Wyślij zaproszenie do
Anuluj