„Dacă îți cunoști dușmanul și te cunoști pe tine, nu trebuie să te temi de rezultatul a o sută de bătălii. Dacă te cunoști pe tine, dar nu îl cunoști pe dușman, pentru fiecare victorie câștigată vei suferi și o înfrângere. Dacă nu cunoști nici dușmanul, nici pe tine însuți, vei pierde în fiecare bătălie.”Sun Tzu, traducere Lionel Giles · The Art of War · 1910 · The Art of War, traducerea Lionel Giles (1910), cap. III «Attack by Stratagem», §18
O analiză a decalajelor fără proprietari și termene este o listă de regrete.
Standardul cere explicit informații documentate în paisprezece locuri: domeniul de aplicare (4.3), politica (5.2), procesul de evaluare a riscului (6.1.2), procesul de tratare a riscului și Declarația de aplicabilitate (6.1.3), obiectivele (6.2), dovezile de competență (7.2), dovezile că procesele s-au desfășurat conform planului (8.1), rezultatele evaluărilor de risc (8.2), rezultatele tratării (8.3), rezultatele monitorizării și măsurării (9.1), programul și rezultatele auditului intern (9.2), rezultatele analizelor de management (9.3) și, la 10.2, natura neconformităților, acțiunile întreprinse și rezultatele lor. Peste ele se adaugă documentele cerute de controalele reținute în Declarație: politici tematice, inventarul informațiilor și al activelor asociate, regulile de utilizare acceptabilă și celelalte. O analiză a decalajelor bună are o linie pentru fiecare cerință și trei coloane: ce cere standardul, ce dovadă există astăzi și unde, apoi decizia — conform, parțial sau absent, cu un proprietar și un termen. Procentele fără proprietari nu închid nimic.
O analiză a decalajelor se strică în mod tacit atunci când dovada există doar pe hârtie. O politică semnată nu înseamnă nimic dacă nimeni nu o aplică. Verifică practica reală, nu doar fișierul din folder. Întreabă oamenii cum lucrează de fapt și compară răspunsul cu documentul. Dacă cele două nu se potrivesc, decalajul e mai mare decât scria în tabel. Exemplu simplu: regula spune că accesul se revizuiește trimestrial, dar ultimul extras datează de doi ani. Atunci cerința e parțială, nu conformă, indiferent cât de frumos e redactată politica. Următorul pas: cum transformi aceste constatări în acțiuni pe care cineva chiar le duce la capăt.
Un tabel de decalaje devine util abia când fiecare linie are un proprietar cu putere reală de decizie. Nu persoana care știe cel mai mult despre subiect, ci cea care poate aloca timp și bani. Un risc tratat de cineva fără buget rămâne pe hârtie. Termenul trebuie să fie o dată verificabilă, nu urgență, nu curând, nu trimestrul acesta. Iar starea parțială e mai valoroasă decât conformul optimist: spune exact ce lipsește. Exemplu concret: în loc de accesul se revizuiește, scrie că Ana din operațional va livra extrasele de acces ale tuturor sistemelor până pe o dată anume, cu un rezervor de ore alocat de manager. Dacă data trece fără livrare, decalajul nu a dispărut, doar s-a mutat. Atunci întrebarea devine alta: cine verifică că termenul a fost respectat și ce se întâmplă când nu a fost.
De ce contează Etapa 1 se pică cel mai des nu din lipsă de controale, ci din lipsa dovezilor documentate pe care standardul le cere pe nume.