Yritys X:n henkilöstöturvallisuuden ja fyysisen turvallisuuden esiauditointi Kansallisella turvallisuusauditointikriteeristöllä

Abstract

Opinnäytetyössä tehtiin yhteistyökumppani Yritys X:lle henkilöstöturvallisuuden ja fyysisen turvallisuuden osalta esiauditointi Kansalliseen turvallisuusauditointikriteeristöön (KATAKRI) pohjautuen. Työ toteutettiin toiminnallisen opinnäytetyön käytänteiden mukaisesti konsultin näkökulmasta. Tavoitteena työssä oli tarkastella Yritys X:n nykyistä tasoa KATAKRI:n asettamiin vaatimuksiin verrattuna. Työ rajattiin kattamaan ainoastaan KATAKRI:n henkilöstöturvallisuuden ja fyysisen turvallisuuden osiot, joille kummallekin valittiin omat KATAKRI:n mukaiset tavoitetasonsa. Lisäksi työssä arvioitiin kriteeristön soveltuvuutta ja käytettävyyttä Yritys X:n tarpeiden näkökulmasta. KATAKRI:n soveltuvuuden arvioinnilla tarkasteltiin työssä myös oikean KATAKRI:n mukaisesti toteutettavan auditoinnin tarjoamia hyötyjä Yritys X:lle. Työn tarkoituksena on lisäksi kehittää toimenpideehdotuksia auditoinnin kautta löydetyille puutteille.

Itse työ muodostui neljästä eri pääkokonaisuudesta: opinnäytetyön viitekehyksestä, teoriapohjasta, työn toteutuksesta sekä johtopäätöksistä. Työn viitekehyksessä käsitellään työn toimintaympäristö sekä työn aihe, työvaiheet ja rajaus. Teoriapohjan kokonaisuus luo työlle tieteellisen tutkimukseen perustuvan tietopohjan ja työn toteutuksen kokonaisuus kuvaa auditoinnin toteutuksen sekä kuvaa siitä saadut tulokset. Johtopäätökset koostuvat auditoinnin tulosten arvioinnista sekä toimenpideehdotuksista.

Työstä haettiin tuloksia kahdesta eri näkökulmasta katsoen: arvioiden KATAKRI:n soveltuvuutta ja käytettävyyttä sekä KATAKRI:n asettamien auditointivaatimusten täyttämistä. Sekä henkilöstöturvallisuuden että fyysisen turvallisuuden osioiden osalta Yritys X:ssä havaittiin ainoastaan muutamia vähäisiä puutteita. Suurimmat haasteet työn tulosten osalta ilmenivät KATAKRI:n sovellettavuuden suhteen. Pääosin kummankin osion auditoinnin osalta ilmeni muutamia epäselvyyksiä ja tulkinnallisia ongelmia sekä monia auditointivaatimuksia, jotka eivät sovel-tuneet Yritys X:lle. Suurimmaksi ongelmakohdaksi ilmeni kysymys, pystyykö kokonaista KATAKRI:n osion auditointia hyväksymään, vaikka kaikkien osion sisältämien auditointikysymysten vaatimukset eivät täyttyisi?

Työn johtopäätöksinä voidaan todeta, että työ oli kokonaisuudessaan hyödyllinen Yritys X:lle. Yritys X sai työn avulla kuvan sen auditoitujen kohteiden ja toimintojen tasosta KATAKRI:n vaatimuksiin verrattuna. Ennen kaikkea työssä toteutetun esiauditoinnin avulla saatiin kokemusta ja ymmärrystä KATAKRI:n soveltuvuudesta yrityksen tarpeisiin. Työn pohjalta Yritys X pystyy arvioimaan oikean KATAKRI auditoinnin tarjoamia mahdollisuuksia sekä sen kannattavuutta.

The purpose of this thesis was to execute a pre-audit to Company X in the fields of personnel security and physical security. The pre-audit was based only on The National Security Audit Criteria, called in Finnish "Kansallinen turvallisuusauditointikriteeristö (KATAKRI)". The study was executed from a consultant's perspective and with the principles of a functional thesis. The objectives of this study were to compare the state of Company X's personnel security and physical security fields with KATAKRI's demands. The study was defined to cover only the personnel security and physical security sections of KATAKRI. For both of the audited security fields, were chosen their own objective levels of KATAKRI. One of the objectives of the study was also to evaluate the compatibility and usefulness of KATAKRI compared to the needs of Company X. One of the reasons for evaluating it, was to examine possible benefits that the company might receive from an official KATAKRI audit. In addition one of the purposes of the study was to develop steps to improve the deficiencies found based on the audit.

The study itself consists of four main categories: context, theory basis, execution of the study and conclusions. The context depicts the operational environment, theme, execution stages and definitions of the study. The theory basis forms a scientific based information basis to the study and the execution study describes the audit process and its results. The conclusions category consists of the evaluations of the audit results and the improvement steps.

The objective of the study was to produce results from two different perspectives: evaluating the compatibility and usefulness of KATAKRI and the fulfilling of the KATAKRI's audit require-ments. The results of the audit were relatively good. Almost all the requirements were met by both the personnel and physical security sections and the identified deficiencies were only minor. The biggest challenges with the results concerned the compatibility of KATAKRI. The challenges were mainly affiliated with some obscurities and interpretational challenges. There were also many audit requirements that were not suitable for Company X. The main challenge occurred to be the question, whether a whole security section of KATAKRI can be approved in an audit even though all of the requirements of the audit questions in that par-ticular section are not met.

As for the conclusions, it can be noted that the study was in its entirety useful for Company X. The company gained a fair view of the level of its audited operations and objects com-pared to the requirements of KATAKRI. Most of all the company gained knowledge and under-standing of KATAKRI's compatibility for the company's requirements. With the study Company X is able to weigh the pros and cons of a real official KATAKRI standardization audit and to evaluate its usefulness for the company itself.