Далее рассмотрим возможные подходы к измерениям и контролю в моделях непрерывного совершенствования, включая совершенствования системы менеджменты информационной безопасности бизнеса.
2.4. Контроль и аудит (оценки, измерения) в моделях менеджмента (управления)
Измерения и контроль в моделях менеджмента предназначены для удовлетворения информационных потребностей тех или иных заинтересованных сторон в информации, касающейся функционирования объекта измерения и контроля. Все результаты измерений и контроля имеют информационную природу. Потребители информации (заинтересованные стороны) могут быть как внутренними (органы управления и контроля, сервисные подразделения и т. п.), так и внешними (собственники/акционеры, органы надзора и регулирования, инвесторы и т. д.) по отношению к организации.
В вопросах совершенствования деятельности организации информация измерений и контроля необходима в том числе и для актуализации виртуальной модели материального мира, используемой органами управления в системе принятия решений. В случаях, если поступающие данные от измерений и контроля в организации «не ложатся» (не находят своего места) в виртуальной модели материального мира органа управления, они не могут быть им использованы, а следовательно, являются бесполезными. В связи с этим все затраты организации на осуществление таких измерений можно относить к ущербу (упущенной выгоде, уменьшенной добавочной стоимости и т. п.).
«Классические» рекомендации по роли информации в управлении организацией можно найти во многих известных стандартах, например, таких как ГОСТ Р ИСО 9004. В них отмечается, что лица органов управления должны обращаться с данными как с фундаментальным источником для преобразования в информацию и постоянного развития базы знаний организации, которая важна при принятии решений, основанных на фактах. Это среди прочего может стимулировать нововведения, инновации, объективную основу для решений по совершенствованию деятельности. Для этого органам управления организацией следует:
— определить потребности в информации (категориях и типах, формах ее представления);
— преобразовывать информацию в знания, используемые в организации;
— проводить оценку выгод, получаемых за счет использования информации, с целью улучшения менеджмента информации и знаний организации.
В то же время неэффективно и неадекватно спроектированные измерения и меры контроля могут сформировать ложную уверенность в надлежащем (правильном, эффективном, адекватном условиям и т. д.) функционировании объекта контроля, что способно привести к еще большим издержкам организации.
Какие результаты дает произвольная система измерений, мы можем видеть на улицах российских городов. Метрики контроля эффективности деятельности, устанавливаемые для сотрудников патрульно-постовой службы, инспекторов безопасности дорожного движения, зачастую далеки от факторов, оказывающих действенное влияние на снижение уличной преступности и безопасности на дорогах. Подобные проблемы не являются характерными только для российской действительности. Например, Г. Нив в своей книге [6] приводит пример, когда Деминг показывает ему заголовок из одной газеты: «Констебль виновен в неисполнении обязанностей — не выполнил план по арестам». За это невыполнение полицейский из Торонто был смещен с должности.
Этот достаточно наглядный пример приведен в пятой части книги Г. Нива «Четырнадцать пунктов снова перед нами», где он рассматривает с практической стороны «работу» 14 принципов программы Деминга для менеджмента, иллюстрируя их характерными примерами. Материалы данной главы Нива и других, могут быть полезны всем, кто не на словах, а на деле желает что-либо изменить в лучшую сторону в своей управленческой деятельности.
Что касается рассматриваемого вопроса, то в принципах программы Деминга для менеджмента ожидаемо нашлось место и вопросам измерения и контроля. В главе 29 «Пункт 11: исключите произвольные количественные цели» ярко и на примерах рассмотрены ситуации и последствия поверхностного и непродуманного подхода к измерениям и сформулированы соответствующие рекомендации. Где-то они носят идеалистический характер, но многие из них вполне практичны. Например, нельзя не согласиться с тезисом Деминга «Измерения — всегда только верхушка айсберга».
В срезе моделей менеджмента (управления) информационных технологий в организации и систем обеспечения информационной безопасности организаций практически все стандартизированные для целей проектирования и реализации измерений решения основываются на единой эталонной структуре, отражающей сущности предметной области измерений и их отношения. В каждом конкретном случае все сущности предметной области измерений имеют свое наполнение или решения «по умолчанию».
Рис. 51 иллюстрирует обобщенную модель измерений в системах менеджмента информационных технологий и информационной безопасности организации.
Лица органов управления организации соответствующего уровня устанавливают нормы и требования к организации и реализации деятельности в подразделениях организации (эталон), отражающие видение руководства того, что и как должно осуществляться в подразделениях организации для достижения поставленных целей. Это может включать нормы и требования организации функционирования и совершенствования деятельности объекта, нормы и требования риск-менеджмента объекта и т. д. Установление лицами органов управления организации норм и требований к организации и реализации деятельности в подразделениях организации порождает потребность контроля их исполнения и измерений достигнутых результатов.
Задачи контроля и измерений достигнутых результатов формулируются в терминах информационной потребности в информации результатов тех или иных видов оценок. Потребность представляет собой понимание, включающее необходимость выявления и разрешения целей, задач, рисков и проблем. Для реализации данной потребности определяются цели, объекты и предмет измерений и контроля. Они наряду с эталоном предопределяют модель оценки, включающую установление того, что и как может быть проверено, учитывая аспекты достоверности и правила реализации сбора сведений и их анализа, оценивания (вычисления качественных и /или количественных значений) и интерпретации результатов.
Модели и методы измерений и контроля могут быть отражены в любой форме, в том числе и в виде отдельного документа. Уровень формализации моделей и методов измерений и контроля может быть любым, при условии, что он позволяет использовать данные модели и методы в операционной среде организации на объектах оценки. Композиция эталона и оценочной модели и методов измерений и контроля образуют основу для формирования и использования методической базы (методики, регламенты, инструментальные средства), что формирует основания для проведения практической деятельности на объектах. Эталон в обязательном порядке должен учитываться при формировании методик оценки объекта, так как в противном случае будет затруднительно отобразить и интерпретировать результаты измерений и контроля в терминах того, что должно было быть выполнено на объекте относительно результатов измерений.
