Pätevyysmalli turva-auditointikoulutukselle : - tapaustutkimus Laurean Auditoinnin johtaminen -opintojaksosta

Abstract

Kansallinen turvallisuusauditointikriteeristö (jäljempänä turva-auditointikriteeristö) KATAKRI julkaistiin marraskuussa 2009. Sen tavoite on yhtenäistää viranomaistoimintoja silloin, kun yrityksen tai muun yhteisön turvallisuustasoa todennetaan tekemällä turva-auditointi. KATAKRI on myös tarkoitettu hyödynnettäväksi yritysten ja yhteisöjen oman sisäisen turvallisuustason kehittämisessä. KATAKRin sisällölle ja siihen olennaisesti liittyvälle turva-auditointi-koulutukselle on olemassa tarve. Koulutukseen liittyviä vaatimuksia, kuten lähtötasovaatimukset, koulutustaso, sisältö ja sen suorittaneiden tieto- ja taitovaatimukset, ei vielä ole määritelty. Kuitenkin koulutuksen perusolettamuksena on, että viranomaisten on pystyttävä luottamaan koulutuksen laatuun ja sen läpäisseiden henkilöiden asiantuntijuuteen.

Tämän tapaustutkimuksen tavoitteena oli selvittää, mitä turva-auditoijalta edellytetään ja millaista osaamista hänellä tulisi olla sekä miten turva-auditointikoulutus kehitetään vastaamaan turvallisuusalan tarpeita. Tutkimus pohjautuu Laurean järjestämän Auditointien johtaminen -opintojakson valmisteluaineistoon ja kuvaukseen. Empiirisessä osassa haastattelin yhdeksää turvallisuusalan asiantuntijaa opintojakson sisällöstä ja muista auditointiin liittyvistä olennaisista asioista. Lisäksi tein kyselyn Leppävaaran Laureassa erikoistumisopintoja tai ylempää amk-tutkintoa suorittaville opiskelijoille opintojakson kiinnostavuudesta ja sisällöstä sekä palautekyselyn ensimmäisen Auditointien johtaminen -opintojakson suorittaneille.

Haastattelujen, kyselyiden, omien havaintojen sekä käyttämäni tutkimusaineiston perusteella voidaan sanoa, että turva-auditoijalta edellytetään vankkaa turvallisuusosaamista ja kykyä hallita kokonaisturvallisuutta. Tutkimukseni johtopäätöksenä esitän, että turva-auditoijan pätevyys tulee muodostaa mukaillen ISO 19011:2002 standardia, sillä kyseinen standardi antaa hyvän viitekehyksen pätevyyden määrittämiselle.

Johtopäätökseni perusteella ehdotan, että turvallisuuteen liittyvät auditoijan lähtötasovaatimukset, erityistiedot ja -taidot tulee määritellä. Koulutuksen laadun takaamiseksi sen sisältö ja koulutustaso on sertifioitava. Tämän jälkeen on mahdollista suunnitella ja toteuttaa turva-auditoijan tutkintokoulutus.

Laurea on palkittu ja arvostettu turvallisuusalan kouluttaja Suomessa ja ainoa korkeakoulu, jossa voi suorittaa turvallisuusalan korkeakoulututkinnon ja turvallisuusosaamisen ylemmän korkeakoulututkinnon. Turva-auditoijan koulutuksen tarjoaminen Laureassa olisi luonteva jatko kokonaisturvallisuuden hallinnan ja alan tieto-taidon syventämiselle. Koulutuksen voisi toteuttaa erillisenä turva-auditoijan tutkintokoulutuksena tai erikoistumisopintoina. Opinnoista ainakin osa voisi sisältyä ylemmän amk-tutkinnon valinnaisiin opintoihin.

Developing a competence model for security auditor specialization studies Case study: Laurea’s Management of Auditing study module

The national criteria for security auditing, KATAKRI, were published in November 2009. One of KATAKRI's aims is to combine the actions of authorities when they are verifying the security level of a company or other corporation by carrying out security auditing. KATAKRI is also intended to help companies and corporations when they are developing their own security level. There is a definite need to teach both the content of KATAKRI and security auditing, but no specific training has been arranged yet. The academic level, content and requirements of security auditing training have not yet been defined. The basic assumption behind any security auditing training course is that the authorities can trust the quality of the training and the expertise of those people who have undertaken it.

The purpose of this case study is to find out what is expected from a security auditor, what kind of competence the auditor should have, and how the security auditing training should be developed to correspond with the needs of the security field. The empirical research was conducted in the form of interviews and two questionnaires. The interviews were based on the new Management of Auditing study module description compiled by Laurea University of Applied Sciences, Leppävaara campus. Nine experts in the security and safety fields were interviewed about the content of the study module as well as other essential matters related to auditing. In addition, one questionnaire was circulated to postgraduate students at Laurea to find out whether they would be interested in that study module and their opinions on its content. A second questionnaire was delivered to the very first students at Laurea who had taken the Management of Auditing module to gather their feedback.

The combined results of the interviews, the questionnaires, and examination of the content of the existing Management of Auditing module showed that deep knowledge of the security field as well as the competence to manage the overall picture of security is required from security auditors. Furthermore, it was concluded that qualifications for security auditors should be created in accordance with ISO Standard 19011:2002 because it provides such a good competence model.

In light of the above, it is recommended that the academic level, content and requirements of future audit and security auditing training should be clearly defined and the quality of the training should be standardized and certified. It would then be possible to plan and implement a security auditor specialization course. This course of study would be a natural module for Laurea to offer to students from different security branches who want to deepen their know-how of the overall security field by taking an optional specialization course which would count towards their Master's Degree.

Laurea is a prestigious and recognized trainer in the security field in Finland. There are no other universities or universities of applied sciences where it is possible to graduate with a Bachelor's or Master's Degree in Security Management. Therefore it would be the most suitable educational establishment to offer such specialized training.

Keywords: KATAKRI, Laurea, security auditing, security auditing criteria, security auditing training, case study, competence model, security auditor specialization course