Ein Fakt pro Eintrag, nicht ein Fragebogen pro Eintrag
Der verlockende Weg zu einer Bibliothek ist, jeden ausgefüllten Fragebogen aufzuheben und darin zu suchen, wenn der nächste kommt. Das scheitert innerhalb eines Jahres: Derselbe Fakt existiert in einem Dutzend Formulierungen, einige davon veraltet, und die Suche findet die falsche im falschen Moment. Bauen Sie die Bibliothek stattdessen um Fakten herum auf. „Zugriffsrechte werden vierteljährlich von der IT-Leitung überprüft; die Ergebnisse werden im Ticketsystem abgelegt“ ist ein Eintrag, und er beantwortet die Frage nach der Zugriffsprüfung in jedem Fragebogen, den Sie je bekommen werden.
Schreiben Sie jeden Eintrag in einer neutralen Form, die zu jedem Fragebogen passt, und lassen Sie die Zeile des Fragebogens daraus in den Worten dieser Zeile entwerfen.
Ein Verantwortlicher und ein Datum für alles
Zu jedem Eintrag gehört eine Person, die sagen kann, ob er noch stimmt, und ein Datum, an dem er zuletzt bestätigt wurde. Das ist der Unterschied zwischen einer Bibliothek und einem Ordner. Verlässt der Verantwortliche das Unternehmen, gehen die Einträge an jemand anderen über. Läuft das Datum ab, wird der Eintrag geprüft. Ohne beides schicken Sie einem Kunden eine Antwort, die beschreibt, wie die Dinge vor zwei Umstrukturierungen liefen, und Sie merken es erst, wenn er nachfragt.
Nachweise liegen neben der Antwort
Prüfer fragen nach der Richtlinie, dem Zertifikat, der Testzusammenfassung. Fügen Sie jedes dem Eintrag bei, den es stützt, und geben Sie ihm ein eigenes Ablaufdatum: Das ISO-Zertifikat läuft an einem Datum ab, der Penetrationstestbericht ist nach einem Jahr veraltet, die Versicherungsbescheinigung wird jährlich erneuert. Dann bekommt ein Fragebogen, der nach dem Zertifikat fragt, das aktuelle, und ein abgelaufenes Zertifikat ist eine Warnung in Ihrer Bibliothek, bevor es eine Frage eines Kunden wird.
Importieren, was Sie schon haben, und dann ausdünnen
Die meisten Teams beginnen mit ausgefüllten Fragebögen und einem Ordner voller Richtlinien. Importieren Sie sie, und verbringen Sie dann einen Nachmittag mit Ausdünnen: Führen Sie die dreißig Formulierungen eines Fakts zu einem Eintrag zusammen, löschen Sie die, für die niemand bürgen kann, und markieren Sie die, die einen Verantwortlichen brauchen. Eine kleinere Bibliothek, der Sie vertrauen, schlägt eine große, die Sie nervös durchsuchen.
Eine Routine, mit Termin im Kalender
Die Bibliothek bleibt wahr, weil jemand sie nach Plan ansieht. Eine praktikable Routine: Jeder Eintrag, dessen Datum abgelaufen ist, wird innerhalb des Monats geprüft; jeder abgeschlossene Fragebogen wird in der Woche, in der er verschickt wird, in die Bibliothek zurückgelesen, damit die Antworten, die Sie unter Termindruck verbessert haben, die Antworten sind, die Sie behalten; zweimal im Jahr liest der Verantwortliche die gesamte Bibliothek von Anfang bis Ende und führt zusammen, was auseinandergedriftet ist.
Was ein Werkzeug hier für Sie tun sollte
An der Routine geben Teams auf, weil sie Buchhaltung ist. Die Wissensdatenbank von Responsemate versieht jeden Eintrag, jede Datei und jeden Link mit Datum und Verantwortlichem, markiert Abgelaufenes, führt nachts eine Bereinigung durch, die Duplikate und Widersprüche findet, liest freigegebene Fragebögen zurück ein und schlägt anhand der Fragen, die Sie immer wieder bekommen, vor, was fehlt. So funktioniert die Wissensdatenbank.
Häufige Fragen
Wie viele Einträge sollte eine Antwortbibliothek haben?
Weniger, als Sie denken. Ein paar hundert Fakten decken das meiste ab, was ein Sicherheitsfragebogen abfragt. Eine Bibliothek mit dreitausend Einträgen enthält meist denselben Fakt dreißigmal in dreißig Formulierungen, und niemand weiß, welche aktuell ist.
Wer ist für die Antwortbibliothek verantwortlich?
Eine Person, meist diejenige, die die Fragebögen koordiniert, mit den Fachleuten als Prüfern ihrer eigenen Bereiche. Geteilte Verantwortung heißt keine Verantwortung, und die Bibliothek veraltet innerhalb von zwei Quartalen.
Wie oft sollten Antworten geprüft werden?
Nach Datum, nicht nach Gefühl. Zertifikate und Testberichte an ihrem Ablaufdatum; Mitarbeiterzahlen und Werkzeuge zweimal im Jahr; Richtlinien, wenn sich die Richtlinie ändert. Die Bibliothek sollte Ihnen sagen, was fällig ist, nicht umgekehrt.