Szenario 9:
OpenTech mit Hauptsitz in San Francisco ist auf Lösungen im Bereich Informations- und Kommunikationstechnologie (IKT) spezialisiert. Zu den Kunden zählen vor allem Datenkommunikationsunternehmen und Netzbetreiber. Das Kernziel des Unternehmens besteht darin, seinen Kunden den reibungslosen Übergang zu Multi-Service-Providern zu ermöglichen und ihre Geschäftsprozesse an die komplexen Anforderungen der digitalen Landschaft anzupassen.
Kürzlich führte Tim, der interne Prüfer von OpenTech, ein internes Audit durch, bei dem Abweichungen bei den Überwachungsverfahren und Systemschwachstellen aufgedeckt wurden. Als Reaktion auf diese Abweichungen entschied sich OpenTech für einen umfassenden Problemlösungsansatz, um die Probleme systematisch anzugehen. Diese Methode umfasst einen teamorientierten Ansatz mit dem Ziel, die Ursachen der Probleme zu identifizieren, zu beheben und zu beseitigen. Der Ansatz umfasst mehrere Schritte: Zunächst wird eine Gruppe von Experten mit fundierten Prozess- und Kontrollkenntnissen zusammengestellt. Anschließend wird die Abweichung in messbare Komponenten zerlegt und vorläufige Eindämmungsmaßnahmen implementiert. Anschließend werden mögliche Ursachen identifiziert und dauerhafte Korrekturmaßnahmen ausgewählt und überprüft. Schließlich werden diese Maßnahmen in die Praxis umgesetzt, validiert, Schritte zur Verhinderung eines erneuten Auftretens unternommen und die Bemühungen des Teams anerkannt und gewürdigt.
Nach der Analyse der Ursachen der Abweichungen entwickelte Julia, ISMS-Projektmanagerin bei OpenTech, eine Liste mit möglichen Maßnahmen zur Behebung der festgestellten Abweichungen. Julia prüfte die Liste sorgfältig, um sicherzustellen, dass jede Maßnahme die Ursache der jeweiligen Abweichung effektiv beseitigte. Bei der Bewertung möglicher Korrekturmaßnahmen identifizierte Julia ein Problem als signifikant und schätzte dessen Wiederholungswahrscheinlichkeit als hoch ein. Daher entschied sie sich für die Umsetzung temporärer Korrekturmaßnahmen. Anschließend fasste Julia alle Abweichungen in einem Aktionsplan zusammen und holte die Genehmigung der Geschäftsleitung ein. Der vorgelegte Aktionsplan hatte folgenden Wortlaut:
„Es wird eine neue Version der Zugriffskontrollrichtlinie eingeführt und neue Beschränkungen eingeführt, um sicherzustellen, dass der Netzwerkzugriff von der Abteilung für Informations- und Kommunikationstechnologie (IKT) effektiv verwaltet und überwacht wird.“ Julias eingereichter Aktionsplan wurde jedoch nicht von der Geschäftsleitung genehmigt. Als Grund wurde angegeben, dass ein allgemeiner Aktionsplan, der alle Nichtkonformitäten beheben sollte, als inakzeptabel erachtet wurde. Daher überarbeitete Julia den Aktionsplan und reichte separate Pläne zur Genehmigung ein. Leider hielt sich Julia nicht an die vom Unternehmen vorgegebene Einreichungsfrist, was zu einer Verzögerung des Korrekturmaßnahmenprozesses führte. Darüber hinaus fehlte den überarbeiteten Aktionsplänen ein definierter Zeitplan für die Umsetzung.
War es auf der Grundlage von Szenario 9 akzeptabel, dass das Topmanagement den von Julia vorgelegten Aktionsplan ablehnte?
- A. Nein, das Top-Management hätte den von Julia vorgelegten Aktionsplan genehmigen sollen
- B. Nein, es kann ein allgemeiner Aktionsplan eingereicht werden, um alle Nichtkonformitäten auf einmal zu beheben
- C. Ja, es muss ein Aktionsplan eingereicht werden, um jede Nichtkonformität separat zu behandeln
Reveal Solution
Discussion