Izbira programske rešitve: merila, vprašanja in pasti

Izbira programske rešitve se začne pri zapisanem procesu

Pred vami je nekaj ponudb za sistem za upravljanje dokumentov, poslovni informacijski sistem ali sistem za upravljanje odnosov s strankami. Vsaka predstavitev je bila prepričljiva, vsak ponudnik je pokazal, kar njegov sistem dela najbolje, in primerjava se počasi spreminja v štetje funkcij. Na tem mestu se izbira zalomi: predstavitev ponudnika postane seznam zahtev podjetja.

Izhodišče je vaš lastni proces, zapisan kot standard: namen, sprožilec, lastnik, koraki in vloge, vhodi in izhodi, izjeme ter zapisi, ki nastanejo. S takim zapisom se vprašanje spremeni. Ne sprašujete več, kateri sistem ima več možnosti, temveč kateri nosi proces, o katerem ste se dogovorili. Če zapisa še ni, ga pripravite, preden povabite ponudnike.

Iz standarda procesa naredite seznam zahtev

Vsak del standarda se prevede v zahtevo, ki jo lahko preverite. Vhodi postanejo obvezni podatki. Vloge postanejo pravice dostopa. Izjeme postanejo pot odobritve. Zapisi postanejo tisto, kar mora sistem hraniti in pomagati najti. Sprožilec pove, kako zadeva vstopi v sistem.

Zahteve zapišite kot scenarije iz svojih primerov in ne kot imena funkcij. Stavek »sistem podpira potek dela« ne pove ničesar. Stavek »ponudba s popustom nad dovoljeno mejo gre v odobritev vodji prodaje in je brez odobritve ni mogoče poslati« pove, kaj mora sistem narediti, in to lahko preizkusite na predstavitvi ali v pilotu.

Scenarije razdelite na nujne in zaželene. Nujni so tisti, brez katerih dogovorjeni proces ne teče. Zaželeni olajšajo delo, o izbiri pa ne odločajo.

Preden greste naprej, preverite, ali ima vsaka zahteva izvor v standardu. Zahteva brez izvora je navadno prišla s kake predstavitve. Če ta korak preskočite, boste ponudnike merili po tem, kdo ima več, in izbrali sistem, ki ga boste potem prilagajali procesu ali proces sistemu, ne da bi se za to zavestno odločili.

Ponudbe ocenite po istih merilih

Vsako ponudbo ocenite po istih merilih in pri vsakem zapišite, na čem ocena temelji: na pilotu, na pisni ponudbi ali na ustni izjavi. To niso enako trdni dokazi.

• Ujemanje s procesom. Koliko nujnih scenarijev sistem pokrije z nastavitvami in koliko šele z razvojem po meri. Razvoj po meri je treba nositi skozi prihodnje posodobitve, zato vprašajte, kdo ga vzdržuje in kdo krije njegove prilagoditve.
• Lastništvo podatkov, izvoz in izhod. Ali pogodba izrecno določa, da so podatki vaši in za kaj jih ponudnik sme uporabljati. Ali lahko kadarkoli izvozite vse svoje dokumente skupaj z metapodatki in zgodovino sprememb v obliki, ki jo prebere tudi drug sistem, in kaj se s podatki zgodi ob koncu pogodbe. To je vprašanje pogodbe in dobre prakse. Brez odgovora nanj je poznejša menjava sistema lahko zelo težavna.
• Pravice dostopa in revizijska sled. Ali se vloge v sistemu ujemajo z vlogami iz standarda in ali sistem beleži, kdo je kaj spremenil in kdaj. Kdo sme do česa, je odločitev podjetja, ki jo sistem le izvaja. O tem, kaj mora podjetje dogovoriti pred digitalizacijo, govori ločen prispevek.
• Povezljivost. S katerimi obstoječimi sistemi se mora nova rešitev povezati, na kakšen način in kdo vzdržuje povezavo, ko se ena od strani spremeni.
• Podpora in neprekinjenost. Kdo sistem podpira, v katerem jeziku, kako se sporočajo in odpravljajo napake, kako potekajo posodobitve in kaj se zgodi, če ponudnik izdelek spremeni ali ga preneha razvijati.
• Celoten napor uvedbe. Prenos obstoječih podatkov, nastavitve, usposabljanje, čas vaših ljudi med uvedbo in zgradba stroškov po njej. Licenca je le del tega.

Kaj o osebnih podatkih zahteva zakon

V pogovorih s ponudniki se zakonske zahteve in dobra praksa rade pomešajo, zato ju je vredno ločiti.

Kadar ponudnik v vašem imenu obdeluje osebne podatke, je po Splošni uredbi o varstvu podatkov (GDPR) obdelovalec. 4. člen GDPR ga v točki 8 opredeli kot osebo, ki obdeluje osebne podatke v imenu upravljavca, v točki 2 pa med obdelavo šteje tudi shranjevanje in vpogled. Ponudnik, ki vaše osebne podatke hrani na svojih strežnikih ali do njih dostopa pri vzdrževanju, je torej v tem položaju. Podjetje, v imenu katerega jih obdeluje, uredba imenuje upravljavec.

Za ta položaj uredba določa naslednje:

• Po prvem odstavku 28. člena upravljavec sodeluje zgolj z obdelovalci, ki zagotovijo zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov.
• Po tretjem odstavku 28. člena obdelavo ureja pogodba ali drug pravni akt, ki določa vsebino in trajanje obdelave, njeno naravo in namen, vrsto osebnih podatkov, kategorije posameznikov ter obveznosti in pravice upravljavca.
• Ta pogodba med drugim določa, da obdelovalec podatke obdeluje samo po dokumentiranih navodilih upravljavca, da so osebe, pooblaščene za obdelavo, zavezane k zaupnosti, da sprejme vse ukrepe, potrebne v skladu z 32. členom, da po zaključku storitev v skladu z odločitvijo upravljavca vse osebne podatke izbriše ali vrne in uniči obstoječe kopije, razen če pravo predpisuje shranjevanje, ter da upravljavcu da na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti, in omogoči revizije. To so točke (a), (b), (c), (g) in (h) istega odstavka, ki našteva še druge obveznosti obdelovalca, zato ob pripravi pogodbe preberite celotno besedilo.
• Po drugem odstavku 28. člena obdelovalec ne zaposli drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca. Pri splošnem dovoljenju upravljavca obvesti o nameravanih spremembah, tako da jim ta lahko nasprotuje.
• Po devetem odstavku 28. člena je pogodba v pisni obliki, vključno z elektronsko obliko.

Varnosti obdelave je namenjen 32. člen, ki v prvem odstavku določa, da upravljavec in obdelovalec zagotovita ustrezno raven varnosti glede na tveganje. Med ukrepi člen s pridržkom »kot je ustrezno« našteva psevdonimizacijo in šifriranje, zmožnost zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov, zmožnost pravočasno povrniti razpoložljivost in dostop do podatkov po incidentu ter postopek rednega testiranja in ocenjevanja učinkovitosti ukrepov. Drugi odstavek 32. člena kot tveganja, ki se pri tem upoštevajo zlasti, navaja nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov.

Pomembno je tudi, česa prvi odstavek 32. člena ne vsebuje. Ne imenuje nobenega izdelka ali standarda in nobenega od naštetih ukrepov ne zahteva za vsak primer. Ukrepi se izberejo glede na tveganje, zato splošno zagotovilo ponudnika, da je sistem varen, še ne pove, ali je varnost ustrezna za vaše podatke.

Vprašanja, ki jih postavite ponudniku

Vprašanja ločite po tem, čemu služijo. Tista, ki preverijo vsebino pogodbe po 28. členu, zadevajo zakonsko zahtevo. Tistih iz dobre prakse zakon ne predpisuje, razkrijejo pa, kako ponudnik dela.

Za pogodbo po 28. členu in ukrepe po 32. členu:

• Kako boste zagotovili, da podatke obdelujete samo po naših dokumentiranih navodilih?
• Kako so ljudje, ki imajo dostop do naših podatkov, zavezani k zaupnosti?
• Katere druge obdelovalce uporabljate in kako nas boste obvestili o spremembah?
• Kaj se ob koncu sodelovanja zgodi z osebnimi podatki in kako bomo izbrali med izbrisom in vračilom?
• Katere informacije nam boste dali na voljo za dokazovanje skladnosti in kako omogočite revizijo?
• Katere varnostne ukrepe izvajate za naše podatke in kako jih redno preizkušate?

Dobra praksa, ki je zakon ne predpisuje:

• Kje so podatki shranjeni in kdo vse ima do njih dostop?
• Kako je videti popoln izvoz naših podatkov in ali ga lahko preizkusimo pred podpisom?
• Kako so urejene vloge in pravice dostopa ter kako dolgo se hrani zapis sprememb?
• Kako in v kolikšnem času po incidentu povrnete dostop do podatkov?
• Kdo sistem podpira in kaj se zgodi, če izdelek spremenite ali ga prenehate razvijati?

Odgovore zapišite ob merilih v ocenjevalni preglednici. Kjer ponudnik na vprašanja o pogodbi nima odgovora, vprašanje ostane odprto na vaši strani, saj je po prvem odstavku 28. člena upravljavec tisti, ki sodeluje zgolj z obdelovalci, ki zagotovijo zadostna jamstva.

Preizkusite rešitev na enem procesu

Pred podpisom preizkusite rešitev iz ožjega izbora na enem standardiziranem procesu, z ljudmi, ki bodo z njo delali, na resničnih primerih in v dogovorjenem obdobju.

Merila uspeha so vaši scenariji. Pilot je uspešen, ko nujni scenariji tečejo tako, kot jih opisuje standard. Da je sistem uporabnikom všeč, je dobrodošlo, o uspehu pa ne pove dovolj.

Preizkusite predvsem tisto, kar se pozneje zalomi: pot izjeme, vloge in pravice dostopa, iskanje zapisov ter popoln izvoz, ki ga poskusite tudi prebrati nazaj.

Če ponudnik v pilotu v vašem imenu obdeluje resnične osebne podatke, tudi to obdelavo po tretjem odstavku 28. člena ureja pogodba ali drug pravni akt, zato ta dogovor uredite že pred pilotom. Kjer je mogoče, pilot izvedite na pripravljenih primerih brez osebnih podatkov.

O rezultatu odloči lastnik procesa na podlagi zapisanih ugotovitev. Če pilot preskočite, boste iste ugotovitve dobili po podpisu, ko jih je teže upoštevati.

Uvedba in pasti, ki jih je mogoče predvideti

Prenesite samo gradivo, ki ga poznate in potrebujete, kaj sploh imate, pa pokaže popis dokumentarnega gradiva. Usposabljanje pripravite po vlogah. Določite dan, od katerega stari način in stari sistem nista več v rabi ali sta le še za branje. Odločitve o nastavitvah naj sprejema lastnik procesa, ne ponudnik sam.

Pasti, ki se jim je mogoče izogniti:

• Izbira po najboljši predstavitvi. Zmaga ponudnik, ki se je bolje predstavil, in ne nujno sistem, ki bolje nosi vaš proces.
• Nakup pred dogovorom o procesu. Proces potem določijo privzete nastavitve sistema.
• Razvoj po meri za stare navade. Posnemanje starega načina dela se plača in vzdržuje, proces pa ostane tak, kot je bil.
• Nastavljanje brez lastnika procesa. Ponudnik odloča o stvareh, ki jih v vašem podjetju ne pozna.
• Brez izhodnega načrta. Ob menjavi ponudnika podatkov ni mogoče prenesti v celoti ali v uporabni obliki.
• Vzporedna sistema. Stari sistem ostane v rabi »za vsak primer« in podatki so odslej na več mestih.
• Pogodba o obdelavi in varnostna vprašanja po podpisu. Takrat je pogajalski položaj slabši, obdelava pa morda že teče.

Ocenjevalna preglednica in kontrolni seznam

Preglednica ne potrebuje točk. Pri vsaki ponudbi za vsako merilo zapišite »ustreza«, »delno« ali »ne ustreza« in vir ocene: pilot, pisna ponudba ali ustna izjava.

Pred podpisom preverite še naslednje:

• Zahteve izhajajo iz standarda procesa in so zapisane kot scenariji.
• Kjer ponudnik v vašem imenu obdeluje osebne podatke, je pripravljena pisna pogodba z vsebino iz tretjega odstavka 28. člena.
• Ponudnik je pisno odgovoril na vprašanja o varnosti in drugih obdelovalcih.
• Pilot je končan, izvoz je preizkušen in prebran nazaj.
• Obseg prenosa podatkov je znan.
• Znan je dan, ko stari način dela preneha.
• Izhodni načrt je zapisan.

Kaj imate v rokah pred podpisom

Na koncu tega zaporedja ne izbirate več med predstavitvami. V rokah imate zahteve iz lastnega procesa, ponudbe, ocenjene po istih merilih, pisne odgovore ponudnika o osebnih podatkih in varnosti ter rezultat pilota na resničnih primerih. Odločitev je vaša in jo lahko utemeljite.

V izobraževalnem programu 365°Digital so optimizirane in implementirane programske rešitve eden od korakov na poti do digitalnega poslovanja, neposredno za korakom optimizacije in standardizacije procesov. Stran ga poleg direktorjev in vodij priporoča tudi informatikom, ki skrbijo za informacijske sisteme upravljanja z dokumenti ali za informacijsko varnost. Za pogovor o izbiri, ki je pred vami, je na voljo posvet.

MEDARHIV d.o.o., so.p.
Vrečerjeva ulica 14
3310 Žalec

Davčna številka: SI 98579452
Matična številka: 3955338000
Kontaktna številka: 080 48 45

Informacije

Programi

Vsebina