Международная ассоциация специалистов по управлению документами ARMA International обновила свои знаменитые «Общепринятые принципы делопроизводства» (GARP), часть 3

(Окончание, предыдущую часть см. https://rusrim.blogspot.com/2025/11/arma-international-garp-2.html )

Ресурсы, относящиеся к «Общепринятым принципам делопроизводства» (GARP)

1. Текущая редакция 2025 года

Распечатываемый плакат с текстом «Принципов»:

Большого размера (11" x 17"): https://member.arma.org/files/dbfaab8c-64d2-4a24-bf4b-45aa6963ea36.bin 

Стандартный лист (8.5" x 11"): https://member.arma.org/files/725ab12b-aa64-4e5f-b272-b2c41c0296cd.bin 

2. Предыдущая редакция

Перечисленные ниже ресурсы основаны на более ранней версии «Общепринятым принципам делопроизводства» (GARP). Тем не менее, они по-прежнему содержат полезные идеи и практические рекомендации. Следите за новостями - новые и обновлённые ресурсы, отражающие особенности редакции 2025 года, появятся в 2026 году.

Технический отчёт ARMA International TR30-2017 «Внедрение Общепринятых принципов делопроизводства GARP» (Implementing the Generally Accepted Recordkeeping Principles, см. мой пост http://rusrim.blogspot.com/2017/09/arma-international.html - Н.Х.) – документ платный.

Документ содержит подробное объяснение того, как использовать «Принципы» и сопровождавшую их «Модель зрелости для полномасштабного управления информацией» (Information Governance Maturity Model) в качестве руководства при разработке эффективной программы управления документами. См. также раздел сайта ARMA International «Внедрение Общепринятых принципов делопроизводства GARP» по адресу https://www.pathlms.com/arma-international/courses/57586 .

Курс «Ключевые аспекты Принципов» с выдачей сертификата

Пройдите этот уникальный курс ( https://www.pathlms.com/arma-international/courses/58800 – курс платный), чтобы больше узнать о «Принципах» и о том, как их применять в Вашей организации для достижения совершенства оперативной деятельности и получения конкурентного преимущества.

«Модель зрелости для полномасштабного управления информацией» (Information Governance Maturity Model)

Мой комментарий: Данная модель зрелости в виде таблицы также доступна по адресу: https://old.lva.virginia.gov/agencies/records/psrc/ARMA%20International%20IG%20Maturity%20Model%202013.pdf

«Модель зрелости», основанная на «Общепринятых принципах делопроизводства» (Generally Accepted Recordkeeping Principles®),GARP и соответствующих стандартах, передовых практиках и законодательно-нормативных требованиях, служит инструментом повышения качества управления документами и информацией. Для каждого из принципов она описывает пять уровней зрелости управления документами: некачественное (substandard), в стадии наведения порядка (in development), базовое (essential), с расчётом на упреждение (proactive) и трансформационное (transformational):

Уровень 1 (Некачественное управление документами): Этот уровень описывает среду, в которой вопросы управления документами не решаются вообще либо решаются в минимальной степени или же спорадически. Организации, находящиеся на данном уровне, обычно обеспокоены тем, что их программы управления документами не соответствуют законодательно-нормативным требованиям и не смогут эффективно отвечать потребностям их деловой деятельности.

Уровень 2 (Управление документами в стадии наведения порядка): Этот уровень описывает среду, в которой формируется осознание того, что надлежащее обращение с документами оказывает воздействие на организацию, и что организация может выиграть от более четко сформулированной программы управления документами. Организация на этой стадии подвержена риску несоблюдения законодательно-нормативных требований и неудовлетворения своих деловых потребностей, поскольку её практики плохо определены, неполны, неразвиты и/или малоэффективны.

Уровень 3 (Базовый уровень управления документами): Этот уровень предусматривает удовлетворение ключевых и/или минимальных требований, выполнение которых необходимо для исполнения законодательно-нормативных требований и деловым требований организации. Уровень 3 характеризуется наличием сформулированных политик и процедур, а также внедрением процессов, специально предназначенных для улучшения управления документами. Организации, находящиеся на уровне 3, могут упускать значительные возможности для оптимизации деловой деятельности и контроля над затратами, - однако они демонстрируют наличие ключевых компонентов эффективной программы управления документами и способны в минимальной степени обеспечивать соответствие законодательно-нормативным требованиям, потребностям оперативной деятельности и иным требованиям.

Уровень 4 (Управление документами с возможностью действий на опережение): Этот уровень достигается при наличии охватывающей всю организацию, рассчитанную на упреждающие действия программу управления документами, имеющую механизмы для непрерывного совершенствования. Связанные с документами вопросы и аспекты стандартизируются, рационализируются и интегрируются в деловые решения. Организация по большей части соответствует передовым отраслевым практикам и исполняет относящиеся к ней законодательно-нормативные требования. Организации, находящиеся на уровне 4, могут стремиться к получению дополнительной деловой отдачи за счёт повышения, насколько это уместно, доступности документов; проведения интеллектуального анализа активов с целью лучшего понимания потребностей клиентов и заказчиков; и содействия оптимальному использованию активов в организации.

Уровень 5 (Трансформационное управление документами): Этот уровень характеризует организацию, которая интегрировала управление документами в свою инфраструктуру и в деловые процессы таким образом, что обеспечение соответствия политикам организации и исполнение законодательно-нормативных требований является рутинным делом. Организация осознаёт, что эффективное управление документами играет ключевую по важности роль в сдерживании затрат, в получении конкурентных преимуществ и в обслуживании клиентов. Организация внедряет стратегии и инструменты, способствующие постоянной успешности её деятельности.

Источник: сайт ассоциации ARMA International
https://www.pathlms.com/arma-international/pages/principles# 

Международная ассоциация специалистов по управлению документами ARMA International обновила свои знаменитые «Общепринятые принципы делопроизводства» (GARP), часть 2

(Продолжение, начало см. https://rusrim.blogspot.com/2025/11/arma-international-garp-1.html )

Продолжая разговор о новой редакции «Общепринятых принципов делопроизводства» (Generally Accepted Recordkeeping Principles ®, GARP) международной ассоциации специалистов по управлению документами ARMA International, я сегодня предлагаю читателям перевод материала, выложенного в октябре 2025 на сайте ARMA International.

«Общепринятые принципы делопроизводства» (Generally Accepted Recordkeeping Principles®) – далее «Принципы» - представляют собой широко используемый глобальный стандарт, определяющий ключевые критерии и формирующий высокоуровневую концептуальную структуру хороших практик для программ управления документами и информацией. 

Опубликованные ассоциацией ARMA International в 2009 году и обновленные в октябре 2025 года, «Принципы» основаны на практическом опыте, а также опираются на глубокое изучение и анализ правовой доктрины и на информатику. Они призваны предоставить организациям стандарт поведения в целях реализации стратегического управления информацией, а также руководящие принципы, на основании которых можно это поведение оценивать.

Переосмысление с учётом условий современной информационной эпохи

В начале 2025 года ассоциация ARMA International сформировала разностороннюю группу представляющих различные отрасли экспертов для пересмотра и модернизации «Общепринятых принципов делопроизводства». Результатом стал уточненный набор положений, отражающих современный эволюционирующий нормативно-правовой ландшафт, новые и нарождающиеся технологии и ключевую по важности роль управления документами для успешности деятельности организации. 

Эти обновлённые «Принципы» подтверждают давнюю приверженность ассоциации ARMA International делу разработки заслуживающей доверия, ориентированной на нужды специалистов-практиков концептуальной структуры ответственного управления информацией:

• Принцип управления жизненным циклом: Управление документами и информацией осуществляется на протяжении всего их жизненного цикла - от создания и получения до использования, хранения в течение установленных сроков и уничтожения либо передачи на постоянное архивное хранение. 
  
  Документы хранятся до тех пор, пока в них сохраняется потребность, а затем их окончательная судьба решается посредством уничтожения, передачи либо обеспечения долговременной сохранности в целях исполнения законодательно-нормативных, операционных, налоговых требований и/или ввиду их исторической ценности, в соответствии с утверждёнными организацией указаниями по срокам хранения и действиям по их истечении.
  
  
• Принцип подотчётности: Документы и информация являются ключевыми свидетельствами (доказательствами) подотчётности, а также важнейшими инструментами, поддерживающими подотчётность организации.
  
  Возлагая ответственность за надзор и контроль на высшее руководство, которое может, где это уместно, её делегировать, - организации поддерживают программу управления документами и информацией посредством адекватного обеспечения ресурсами, наличия компетенций и обучения персонала. В свою очередь, программа управления документами и информацией поддерживает способность документов и информации выступать в качестве свидетельств (доказательств) и использоваться в качестве инструментов оперативной деятельности.
  
  
• Принцип доступности: Документы и информация являются доступными, когда авторизованные пользователи способны находить их, получать к ним доступ и использовать их по мере необходимости, вне зависимости от их формата, системы или места хранения.
  
  Доступность документов и информации способствует эффективности оперативной деятельности, выполнению юридических обязательств, непрерывности деловой деятельности и принятию обоснованных решений, обеспечивая доступ без ненужных задержек вне зависимости от платформ, ответственных хранителей и внутренних границ в организации.
  
  
• Принцип исполнения законодательно-нормативных и иных обязательных требований (комплайнса): Управление документами и информацией способствует соблюдению организациями требований законодательства, стандартов и этических обязательств.
  
  Благодаря установлению четких политик, ролей, а также мер и средств контроля и управления, организации могут управлять документами и информацией на протяжении всего их жизненного цикла законным, проверяемым и этически разумным образом. Эти практики встраивают исполнение законодательно-нормативных требований в повседневную деятельность, укрепляя доверие и способствуя адаптивности в условиях изменяющихся законодательно-нормативных требований.
  
  
• Принцип надежности и доверия (trustworthiness): Документы поддерживают своё целевое применение только тогда, когда они в достаточной степени заслуживают доверия.
  
  Возможность доверять документам подтверждается посредством обеспечения их надёжности, точности и аутентичности. Заслуживающие доверия документы формируют фундамент доверия, поддерживая подотчётность, сохранение истории, обоснованное принятие решений, непрерывность оперативной деятельности и целостность деятельности организации.
  
  
• Принцип прозрачности: Управление документами и информацией поддерживает прозрачность посредством захвата и хранения документов в качестве проверяемых свидетельств (доказательств) решений и действий.
  
  Практики управления информацией и документацией должны чётко и ясно документироваться, последовательно применяться, и должна иметься возможность проведения их аудита. Посредством применения таких практик организации демонстрируют свою подотчётность, поддерживают этичность своего поведения и укрепляют доверие заинтересованных сторон.
  
  
• Принцип защиты: Защита документов и информации осуществляется с помощью основанных на оценке рисков и на подходах на основе жизненного цикла мер и средств контроля и управления, которые обеспечивает непрерывность деловой деятельности, исполнение законодательно-нормативных требований и защиту неприкосновенности частной жизни (персональных данных) в условиях эволюционирующих угроз.
  
  Выявляя уязвимости, оценивая воздействие и внедряя соответствующие защитные меры, организации обеспечивают безопасность, конфиденциальность, неприкосновенность частной жизни (защиту персональных данных) и возможность доверия в отношении чувствительной (высококонфиденциальной) и критически важной информации. Эти меры и средства контроля и управления помогают смягчить такие риски, как риски утечки данных, их утраты и несанкционированного доступа. Эффективная защита также способствует жизнеспособности перед лицом операционных, технологических и нормативных вызовов и проблем.

Мой комментарий: Если сравнивать с предыдущей редакцией, новые «Принципы» стали более высокоуровневыми. Они говорят о том, чего хочет добиться организация благодаря хорошему управлению документами и информацией – повысить эффективность, прозрачность, подотчётность деловой деятельности, соблюсти законодательно-нормативные требования, сохранить корпоративную память и снизить риски и затраты. 

То, как всё это обеспечивать и с помощью каких инструментов, имеющихся в распоряжении специалистов по управлению документами и информацией, теперь оставляется на усмотрение организаций.

Я считаю, что в условиях быстрых перемен, многоукладности, необходимости действовать одновременно в рамках нескольких юрисдикций – такой высокоуровневый подход к формулированию принципов является правильным и обеспечивает их долговечность. В то же время многим специалистам низшего и среднего звеньев, конечно, пользоваться такими высокоуровневыми принципами будет сложнее. Кому-то в организации придётся «переложить» Принципы на понятный большинству специалистов язык локальных нормативных актов, номенклатур дел, описей, метаданных, перечней с указанием сроков хранения и т.д.

(Окончание следует, см. https://rusrim.blogspot.com/2025/11/arma-international-garp-3.html )

Источник: сайт ассоциации ARMA International
https://www.pathlms.com/arma-international/pages/principles# 

Международная ассоциация специалистов по управлению документами ARMA International обновила свои знаменитые «Общепринятые принципы делопроизводства» (GARP), часть 1

Данная новость, подготовленная канадским специалистом Элли Ким (Ellie Kim – на фото), старшим консультантом службы здравоохранения канадской провинции Альберта, в 2021-2025 годах – одним из директоров ассоциации ARMA International, была опубликована 28 октября 2025 года в социальной сети LinkedIn.

Международная ассоциация специалистов по управлению документами ARMA International впервые с 2017 года официально обновила свой Заявление о принципах (которые также известны как Общепринятые принципы делопроизводства – Н.Х.). 

Моя историческая справка: В давние времена – в конце первой декады 21-го века, когда сообщество специалистов по управлению документами и контентом не было избаловано стандартами, а в то же время набирала обороты непростая трансформация, связанная с переходом на электронно-цифровые технологии и с приспособлением с ужесточившимся требованиям законодательства и изменившимся потребностям и методам ведения деловой деятельности, - международная ассоциация специалистов в области управления документами ARMA International опубликовала в апреле 2009 года свод «Общепринятых принципов делопроизводства» (Generally Accepted Recordkeeping Principles, GARP), который, как предполагалось, внедряющие программы управления документами и информацией организации смогут использовать в качестве идейной основы – см. мой пост http://rusrim.blogspot.com/2009/06/arma-international-garp.html .

Посты на моём блоге о GARP см. в подборке http://rusrim.blogspot.com/2025/10/blog-post_448.html 

Позднее также были опубликованы «Модель зрелости для полномасштабного управления информацией» (Information Governance Maturity Model) и технический отчёт ARMA International TR30-2017 «Внедрение Общепринятых принципов делопроизводства GARP» (Implementing the Generally Accepted Recordkeeping Principles), см. http://rusrim.blogspot.com/2017/09/arma-international.html .

В число оригинальных восьми «общепринятых принципов делопроизводства» входили:

• Подотчетность;
  
  
• Обеспечение целостности и аутентичности информации и документов;
  
  
• Защита информации и документов;
  
  
• Соблюдение требований законодательства и иных обязательных требований;
  
  
• Обеспечение возможности своевременного и эффективного доступа к информации;
  
  
• Сохранение документов и информации в течение установленных сроков хранения;
  
  
• Соответствующее требованиям и защищённое уничтожение либо передача на архивное хранение документов с истекшими сроками хранения;
  
  
• Прозрачность процессов и действий.

Принципы GARP хорошо себя зарекомендовали и стали популярными, особенно в Северной Америке. – Н.Х.

По мере того, как наша среда управления документами и информацией (Records and Information management, RIM) и стратегического управления информацией (Information Governance, IG) эволюционирует с появлением новых технологий и нормативно-правовых актов и возрастает её сложность, данное обновление обеспечивает сохранение Принципами их актуальности, практичности и ориентированности на будущее. Итак, это:

• Первый крупный пересмотр за 8 лет,
  
  
• Проведенный многообразной группой волонтёров, состоящей из экспертов в области управления документами, контентом и стратегического управления информацией, представляющих различные отрасли,
  
  
• Ориентированный на обеспечения ясности, универсальной применимости, этичности и долговечности,
  
  
• Нацеленный на поддержку в организациях современной, жизнеспособной и подотчётной концептуальной структуры.

Мне посчастливилось возглавлять эту замечательную рабочую группу волонтёров, и я глубоко благодарна каждому эксперту, поделившемуся своим временем и идеями - это работа представляла собой по-настоящему коллективные усилия сообщества членов ассоциации ARMA. 

В состав членов рабочей группы входили: д-р Дарра Хофман (Dr. Darra Hofman), Рик Стёрлинг (Rick Stirling), Эндрю Гейдер (Andrew K. Geider), Льюис Эйзен (Lewis S. Eisen), д-р Марсия Сполдинг (Marcia Spaulding), Карен Чёрчез (Karen Churches), Кэтлин Тимоти (Kathleen Timothy), Питер Курилец (Peter A. Kurilecz), Пинакин Шах (Pinakeen Shah), Ральф Фурино (Ralph Furino) и Верна Ли Гудлоу (Verna Lea Goodloe).

Мы надеемся и очень хотим увидеть, как организации используют обновлённые Принципы для стратегического укрепления подотчётности и доверия.

Элли Ким (Ellie Kim)

(Продолжение следует, см. https://rusrim.blogspot.com/2025/11/arma-international-garp-2.html )

Источник: сайт LinkedIn
https://www.linkedin.com/posts/kimellie_recordsmanagement-informationgovernance-arma-activity-7388694102986502144-V0vj  

Пять препятствий, мешающих одобрению политики стратегического управления информацией

Данная статья доктора права Льюиса Эйзена (Lewis S. Eisen – на фото) была опубликована 5 сентября 2023 года на сайте журнала ARMA Magazine, издаваемого международной ассоциацией специалистов по управлению документами и информацией ARMA International.

Льюис Эйзен является разработчиком подхода «Совершенные политики» (Perfect Policies™) по использованию уважительного языка при разработке политик, используемого в организациях по всему миру. Его международный бестселлер «Правила: Как написать правила, которым люди захотят следовать» (Rules: How to Write Rules that People Want to Follow) вышел в третьем издании и также доступен на французском языке. Льюис опирается на свой 40-летний опыт работы в качестве практикующего юриста, бизнес-консультанта и федерального государственного служащего.

В 2020 году Льюис стал лауреатом литературной премии Бритта (Britt Literary Award). Эта премия, учрежденная в 1967 году в честь Джона Бритта (John F. X. Britt) - одного из пионеров современной профессии управления информацией, ежегодно присуждается ассоциацией специалистов по управлению документами и информацией ARMA International автору лучшей тематической статьи, опубликованной в выпускаемом ассоциацией журнале «Управление информацией» (Information Management) в течение предыдущего финансового года.

В идеальном случае хорошо продуманный проект политики стратегического управления информацией с лёгкостью пройдет через процесс утверждения, подобно кораблю, плывущему в теплых водах при сильном попутном ветре.

Слишком часто, однако, предлагаемая политика сталкивается с айсбергом, который останавливает её дальнейшее прохождение. Если повезёт, то ущерб будет незначителен и процесс утверждения можно будет продолжить; ну а в худшем случае «корабль тонет» и Вам приходится всё начинать сначала.

Ниже описаны пять ситуаций, которые обычно создают препятствия для быстрого утверждения политики, и способы их преодоления:

1. Слишком много «багажа»

Политика раздута за счёт положений, прямо к политике не относящихся.

Взятый «в дорогу» несущественный материал излишне нагружает «моторы» принимающих решения лиц, которые располагают ограниченным временем. Если Вы хотите, чтобы принимающие решения лица имели на руках описывающие контекст, пояснительные или иллюстративные материалы, которые помогут им понять проблемы перед утверждением политики, поместите их в отдельную папку.

Мы можем поучиться на примере процесса прохождения законопроектов. Представленные на утверждение законопроекты не загромождаются абзацами справочных или инструктивных материалов. Включение постороннего материала только задержит их прохождение. Предлагаемый текст, требующий одобрения, выделен в отдельный документ, в который включаются исключительно те положения, которые требуют одобрения для вступления в силу.

2. Охват политики слишком широкий

Политика охватывает слишком много вопросов и тем.

Предположим, у Вас есть 400 правил управления информацией. Независимо от того, будут они разделены на четыре политики по 100 статей или же на 100 политик по четыре статьи, регулирующий эффект будет один и тот же. Количество политик не влияет ни на их применимость или возможность исполнения, ни на внедрение стандартов и процедур в рамках этих политик.

Оно, однако, влияет на скорость утверждения документов. Чем больше областей охвачено предлагаемой политикой, тем больше мест, в которых утверждающее лицо может споткнуться.

Более того, объединение всех этих правил в один документ даёт понять, что все они имеют одинаковую значимость, - однако обычно это не так. Как бы Вы сами отнеслись к задержке на неделю отправления судна в круиз по той, что не было утверждено меню ужина? Отделение важных положений от второстепенных - признание существования такого различия.

3. Слишком много «сорняков»

Теряется фокус на главном из-за обилия деталей.

Нет ничего плохого в политиках, стандартах или процедурах, содержащих технический язык, когда такой язык необходим. Существует, однако, чёткое различие между ролями (1) людей, работающих в сфере предоставления услуг или выполнения операций, и (2) тех, кто отвечает за надзор над деятельностью организации. Если Ваш высший исполнительный орган / лицо (или его эквивалент) теряет время, решая, допустимо ли иметь в имени файла дефис, это указывает на проблему с разделением обязанностей и со стратегическим управлением в организации. Высшее руководство должно заниматься вопросами стратегии и надзора, давая возможность экспертам в сфере стратегического управления информацией самостоятельно разбираться с «сорняками».

Как разработчик политики, Вы можете поспособствовать такому разделению, отделив вопросы надзора от деталей и затем включив в документы «надзорного уровня» принципы, которые должны регламентировать содержание более детальных документов.

4. Политика предложена слишком рано

Организация ещё не готова к политике.

В хорошо управляемой организации Вы можете начать с её политик и процедур и проследить их связь с программами и стратегиями стратегического управления информацией в организации, - а затем довести эти связи до ценностей организации и, в конечном итоге, до её миссии и видения. Такая система «первоисточника и наследования» является признаком того, что вся организация работает в рамках единого понимания.

Когда определенных частей не хватает, эти связи разрываются, и становится труднее заполнить детали внизу. Хорошие политики являются результатом стратегического мышления, а не его катализатором. Именно стратегия должна определять политики, а не наоборот. Попытка разработать политику для программы стратегического управления информацией в отсутствие чёткой стратегии – задача трудновыполнимая.

Иногда лучшим решением будет отложить разработку и представление политики до прояснения различных элементов стратегии, корпоративных ценностей или даже общего видения.

5. Неготовность принимающих решения лиц

От принимающих решения лиц просят одновременно сделать слишком многое.

Принципы управления изменениями применимы и тогда, когда делается попытка повлиять на поведение вышестоящих лиц, а не только в том случае, когда Вы пытаетесь влиять на поведение тех, кто стоит наравне с Вами или ниже Вас. Возможно, Вам придётся заранее «запустить насос», заблаговременно направив целевые сообщения принимающим решения лицам.

Исследование, проведенное в супермаркете, хорошо иллюстрирует эту мысль: В первой его части некто, державший поднос с сыром, спрашивал прохожих, не хотят ли они попробовать образец. Большинство людей отказались. Во второй части исследования тот же человек, державший тот же поднос с сыром, спрашивал прохожих, считают ли они себя любителями приключений. Большинство ответило утвердительно на этот вопрос. Только тогда им предложили сыр, и желающих попробовать оказалось гораздо больше, чем в первый раз. Никто не любит принимать решение без предупреждения или ощущая, что его торопят. Если Вы хотите, чтобы процесс утверждения прошёл гладко, полезно заранее заложить основы: поискать цели, концепции, ценности и принципы, поддерживающие те положения, которые Вы планируете включить в свою политику. Как только эти волны поднимутся и затем спадут, Вы можете ожидать более плавного «плавания».

Льюис Эйзен (Lewis S. Eisen)

Источник: сайт журнала ARMA Magazine
https://magazine.arma.org/2023/09/five-obstacles-to-ig-policy-approval/

Лауреатом премии Эммета Лихи за 2023 год названа Нэнси Макговерн

Данная новость была опубликована в 13 сентября 2023 года на сайте комитета по присуждению премии Лихи.

Мой комментарий: Премия Лихи была установлена в 1967 году в честь выдающегося американского специалиста Эммета Лихи (Emmett J. Leahy, 1910-1964, о нём см. также https://drive.google.com/file/d/1NilgG0vzwuqAkkQ6s2k1t-Hn9PrtYxAx/view ) – пионера и новатора в области управления документами. Лауреатами премии становились многие известные учёные и практики. Очередного обладателя премии выбирает комитет, состоящий из лауреатов прошлых лет. Подборку постов о предыдущих лауреатах см. по адресу http://rusrim.blogspot.ru/search/label/Emmett%20Leahy%20Award

Д-р Нэнси Макговерн (слева) с премией Эммета Лихи в руках, 13 сентября 2023 года. Д-р Труди Петерсон (Trudy Huskamp Peterson, справа) была председателем комитета по присуждению премии 2023 года.

Премия имени Эммета Лихи (Emmett Leahy Award) ежегодно вручается пионерам в области управления документами и информацией. В опубликованном на сайте комитета по присуждению премии Лихи сообщении отмечается следующее:

«Нэнси Макговерн посвятила свою карьеру разработке программ управления электронными документами и обеспечения долговременной сохранности документов для ряда известных учреждений, трансформируя затем этот опыт в широко используемые программы обучения и повышения квалификации, помогающие организациям и их сотрудникам развивать свои способности в плане разработки жизнеспособных программ обеспечения сохранности цифрового контента.

Она принимала участие в разработке и распространении основанной на стандартах передовой практики управления электронными документами и обеспечения их долговременной сохранности, а также участие в формировании научно-обоснованной практики, заполняющей пробелы в передовой практике для электронных документов.

В последнее время Нэнси Макговерн основное внимание уделяла созданию международного сообщества специалистов-практиков, занимающихся электронными документами и их сохранением, разработав и распространив модель «радикального сотрудничества» (Radical Collaboration model) для работы как в рамках одной, так и на пересечении нескольких дисциплин.

Нэнси Макговерн окончила колледжа Св.Ансельма в Манчестере, штат Нью-Гемпшир, и Северо-Восточный университет в Бостоне.  Затем она работала в Центре электронных документов при Национальных Архивах США и в Архивах Открытого общества (Open Society Archives, г. Будапешт, Венгрия). Она была первым ответственным за долговременную сохранность цифровых материалов в библиотеке Корнеллского университета (Cornell University) и Межуниверситетского консорциума политических и социальных исследований (Inter-University Consortium for Political and Social Research, ICPSR), а также первым директором по долговременной сохранности цифровых материалов в библиотеке Массачусетского технологического института (MIT). Степень доктора философии она получила в Университетском колледже Лондона и была в числе первых специалистов, взявшихся за вопросы обеспечения долговременной сохранности цифровых материалов, защитив диссертацию на тему реагирования на технологии.

Д-р Макговерн отдала много сил и энергии развитию национальных и международных профессиональных организаций и сообществ. Она стала со-основателем Секции электронных документов Общества американских архивистов (SAA) в 1993 году, со-основателем и председателем Исследовательского форума SAA с 2007 по 2022 год, а в недавнее время занимала должность президента SAA.

В 2009 году «Национальная программа развития инфраструктуры и обеспечения сохранности электронной информации» (National Digital Information Infrastructure and Preservation Program, NDIIPP) Библиотекой Конгресса США назвала Нэнси Макговерн «пионером в области электронной сохранности» (Digital Preservation Pioneer), и Нэнси продолжает сотрудничать с преемником этой программы, «Национальным альянсом попечения об электронных материалах» (National Digital Stewardship Alliance, NDSA).

С 2008 года Нэнси Макговерн сотрудничала с лидерами сообщества в Южной Африке по вопросам разработке и внедрении хорошей практики курирования и обе6спечения долговременной сохранности цифровых материалов. На Международная конференция по обеспечению долговременной сохранности электронных объектов (International Conference on Digital Preservation, iPRES) 2015 года она организовала первое публичное обсуждение вопросов электронной сохранности, и с тех пор была членом рабочей группы, которая разработала и поддерживает «Критерии долговременной сохранности» (Preservation Storage Criteria), являющиеся де-факто стандартом профессионального сообщества.

Для Международного совета архивов (МСА) Нэнси Макговерн разработала онлайн-курс «Управление электронными архивами» (Managing Digital Archives), который оказал влияние в мировом масштабе. А семинар по электронной сохранности и онлайн-учебник, в подготовке которых она приняла участие,  широко используются специалистами-практиками и учебными программами начиная с 2003 года. За это время семинар был проведен более 60 раз для участников из более чем 30 стран.

Приверженность д-ра Макговерн обеспечению долговременной сохранности мирового электронного документального наследия сыграла решающую роль в сохранении документов нашего времени. За её заслуги в обеспечении сохранности этого наследия Нэнси Ивонн Макговерн (Nancy Yvonne McGovern) была названа лауреатом премии Эммета Лихи 2023 года.»

Отмечу также, что лауреатом премии Лихи за 2022 год (о чём я на блоге ещё не рассказывала) был испанец Хуан Боадас-и-Расет (Joan Boadas i Raset - на фото), архивист муниципального архива города Жирона (Girona, провинция Каталония) и директор Центра исследований и распространения изображений (Centre de Recerca i Difusió de la Imatge, CRDI).

Источник: сайт комитета по присуждению премии Лихи
https://emmettleahyaward.org/
https://emmettleahyaward.org/2023-nancy-mcgovern

Специалисты по управлению документами, станьте поставщиками простых, настраиваемых и надёжных инструментов в своей организации! Часть 3

(Окончание, предыдущую часть см. http://rusrim.blogspot.com/2023/08/2_062711423.html )

Как специалисты по управлению документами могут предоставлять другим подразделениям надёжные во времени инструменты

С точки зрения отдела комплайнса: Специалисты по управлению документами и по комплайнсу разделяют уникальный интерес к операциям в масштабах всей организации. И если сфера интересов большинства подразделений и служб ограничена, то обычно и служба документами, и отдел комплайнса осуществляют деятельность, пересекающую границы структурных подразделений и служб. Отдел комплайнса нередко опирается на поддержку, а иногда и на прямую помощь службы управления документами при проведении аудитов. Со временем специалисты двух служб становятся единой командой, защищая интересы друг друга и действуя совместно в интересах достижения целей предприятия.

С точки зрения финансового отдела: Специалисты по управлению документами должны быть в состоянии показать отдачу на инвестиции (ROI). Это означает установление метрик и стандартов сравнительного анализа, которые показывают затраты на управление бумажными и электронными документами в Вашей организации в сравнении с сопоставимыми организациями. Эффективная программа управления документами экономит средства организации, однако именно на службу управления документами ложится ответственность за то, чтобы показать финансовому отделу и организации в целом, где достигается эта экономия. Если это будет сделано надлежащим образом, то финансовый отдел станет самым сильным защитником интересов специалиста по управлению документами.

С точки зрения службы ИТ: Для специалистов по управлению документами надёжность взаимосвязана с целостностью. Целостность, с точки зрения специалиста по управлению документами, означает, что содержимое документа остаётся неизменным на протяжении всего его жизненного цикла. В результате специалисты по управлению документами должны работать совместно с ИТ, обеспечивая, что сами документы никогда не изменятся даже в случае изменения данных, на основе которых документ был создан. Когда этот аспект принят во внимание и осознан, у организации есть возможность убедиться в том, что сохраняемый документ сейчас такой же, каким он был в момент создания.

С точки зрения юридического отдела: Юристы имеют дело проблемами, ситуациями и кризисами. Как правило, к тому времени, когда какой-то вопрос доходит до юридического отдела, что-то уже пошло не так. Служба управления документами не может предотвратить плохие события, однако она может помочь юристам аргументировать свою позицию или уменьшить ущерб. Управление документами направлено на обеспечение наличия у организации имеющих ценность документов, и на уничтожение утративших ценность документов. Если всё делается правильно, то это позволяет юристам найти важную информацию, необходимую им для надлежащего разрешения проблемы, ситуации или кризиса. Ни один адвокат не хочет иметь меньше информации, чем его оппонент, но они также не хотят помойки из созданных ими же сами, но уже ненужных документов и данных. Чтобы облегчить свою работу, они полагаются на службу управление документами и информацией, чтобы подготовиться к этому до того, как возникнет проблема, ситуация или кризис. Когда всё это делается должным образом, юридический отдел становится отличным сторонником и покровителем службы управления документами.

С точки зрения группы защиты персональных данных: В течение многих лет службы управления документами рассматривали в качестве своей основной задачи обеспечение хранения документов в течение минимально допустимых сроков. Такие факторы, как э-раскрытие и затраты на внеофисное хранение, послужили определённым стимулом к избавлению от малоценных документов и информации, - но не привело к существенным изменениям.

Появление законов о защите персональных данных (ПДн) и последовавшие меры по принуждению к их исполнению применение превратили управление документами из дисциплины, ориентированной на хранение документов, в дисциплину, занимающуюся хранением, уничтожением и защитой документов. В долгосрочной перспективе специалисты по управлению документами могут сыграть важную роль в отстаивании, вместе с группой по защите ПДн, разумных политик управления документами, которые поощряют разумные сроки хранения, ограничивают сбор ненужных персональных данных и ограничивают повторное использование ПДн без согласия их субъекта. Этого можно добиться путем проведения инвентаризации документов, выявления документов с ПДн, установления их связи с системами, в которых хранится эта информация, и определения целей, ради которой документы и информация хранятся и могут использоваться внутри организации. Если специалист по управлению документами сделает это, то группа по защите ПДн станет помощником в продвижении программы управления документами и информацией.

Заключение

Бывают ситуации, когда цели отделов комплайнса, финансового и юридического отделов, служб информационных технологий и защиты персональных данных могут расходиться. Порой отдел комплайнса хочет сохранить информацию в течение более продолжительно периода времени, а группа по защите ПДн, наоборот, хочет быстро от неё избавиться. Иногда юридический отдел хочет тратить деньги на раскрытие информации, чтобы защитить свою позицию, в то время как финансовый отдел считает, что расходы на судебные разбирательства перевешивают выгоды от решения дела по существу. Всем отделам и службам нужны четко определенные категории документов, в то время как служба ИТ предпочла бы сгруппировать все сроки хранения документов в несколько категорий «больших корзин».

Специалисты по управлению документами - это группа, которая сводит воедино все эти проблемы и находит решение, признающее и балансирующее все эти потребности и цели. Для этого специалисты по управлению документами должны продемонстрировать другим подразделениям и службам, что они понимают их цели и что перечень документов с указанием сроков хранения и поддерживающие его политики являются простыми, настраиваемыми и надёжными инструментами, необходимые для достижения всех этих целей. Когда это будет сделано, специалисты по управлению документами станут поставщиками простых, настраиваемых и надёжных инструментов для всей организации.

Том Кори (Tom Corey)

Источник: сайт ARMA International
https://magazine.arma.org/2023/06/records-managers-become-the-easy-adjustable-reliable-tool-of-the-organization/

Специалисты по управлению документами, станьте поставщиками простых, настраиваемых и надёжных инструментов в своей организации! Часть 2

(Продолжение, начало см. http://rusrim.blogspot.com/2023/08/1_01014079187.html )

Как специалисты по управлению документами могут предоставлять другим подразделениям настраиваемые инструменты

С точки зрения отдела комплайнса: Для организаций правила комплайнса (исполнения законодательно-нормативных и иных установленных требований) меняются вследствие изменений в законах и нормативных актах, ведения деятельности в новых юрисдикциях и изменений в характере деятельности организации. Специалисты по управлению документами должны периодически проводить проверки, чтобы убедиться:

• По-прежнему точно ли отражены требования нормативно-правовых актов, имеющих отношение к перечню и поддерживающим его политикам;
  
  
• Действует ли организация в настоящее время в новых юрисдикция и/или подпадает под действие законодательства таких юрисдикций; и/или
  
  
• Приобрела/добавила ли организация виды деятельности, на которые распространяются дополнительные требования.

С точки зрения финансового отдела: Целью большинства финансовых групп является поиск способов увеличения денежных поступлений в организацию, при одновременном ограничении расходов. Внеофисное хранение документов, оплата миграции информации в новые программные продукты и расходы, связанные с поиском и извлечением информации создают финансовое бремя для многих организаций. Специалисты по управлению документами могут использовать свои политики для ограничения этих расходов, сохраняя только информацию, которая представляет ценность для организации, и избавляясь от информации, у которой ценность невелика, а расходы на хранение обременительны.

С точки зрения службы ИТ: Организации нередко хранят документы и информацию в течение семи, десяти, тридцати лет - и, возможно, в течение всего срока существования организации. Однако программное обеспечение и ИТ-продукты сменяются обычно гораздо чаще. Это означает, что всякий раз, когда Ваша организация меняет сохраняющее информацию программное обеспечение, эту информацию нужно мигрировать в новую систему. Специалисты по управлению документами играют ключевую роль в определении того, какую информацию необходимо мигрировать и сохранить при смене этих инструментов, а какую можно уничтожить, тем самым упрощая переход на новые программные продукты внутри организации.

С точки зрения юридического отдела: В процессе их обучения юристов учат сосредотачивать внимание на проблемах, а не на процессе. Как следствие, многие юристы меньше внимания обращают на процессы и больше сосредоточены на вопросах, непосредственно связанных с конкретной правовой ситуацией. Настраиваемый инструмент, который специалисты по управлению документами должны использовать для удовлетворения этих конкретных потребностей – это приостановка уничтожения (legal hold). Приостановка уничтожения позволяет организации приостановить действие правил отслеживания сроков хранения и проведения уничтожения в интересах разрешения конкретной правовой ситуации. Данный инструмент даёт специалисту по управлению документами возможность приспосабливаться к конкретным потребностям юристов в конкретных ситуациях, не ставя под угрозу защитимость и целостность перечня и поддерживающих политик в целом.

С точки зрения группы защиты персональных данных: «Запроектированная и/или осуществляемая по умолчанию защита персональных данных» (Privacy by Design or Default) - это концепция сообщества специалистов по защите персональных данных (ПДн), согласно которой следует консультироваться с группой по защите ПДн и вовлекать её в любые организационные перемены, в принятие политических решений и в усилия по системной интеграции, которые могут повлиять на обработку ПДн. Для организаций, на которые распространяются требования законодательства Евросоюза по защите персональных данных (GDPR), это обязательное требование. Под него также подпадают данные. Следовательно, всякий раз, когда вносятся коррективы, влияющие на документы (и особенно на документы, содержащие персональные данные), специалист по управлению документами должен привлекать группу по защите ПДн и учитывать результаты оценки воздействия на защиту ПДн при принятии окончательных решений. Всё это должно быть сделано до того, как будут приняты какие-либо окончательные решения.

(Окончание следует, см. http://rusrim.blogspot.com/2023/08/3.html )

Том Кори (Tom Corey)

Источник: сайт ARMA International
https://magazine.arma.org/2023/06/records-managers-become-the-easy-adjustable-reliable-tool-of-the-organization/

Специалисты по управлению документами, станьте поставщиками простых, настраиваемых и надёжных инструментов в своей организации! Часть 1

Данная статья Тома Кори (Tom Corey – на фото) была опубликована 19 июня 2023 года на сайте журнала международной ассоциации специалистов по управлению документами и информацией ARMA International.

Юридический и финансовый отделы, службы управления документами, комплайнса, информационных технологий и защиты персональных данных - все они заинтересованы в надлежащем управлении информацией. Для специалистов по управлению документами, однако, надлежащее управление информацией - их первоочередная задача, в то время, как для других отделов и служб оно является инструментом, используемым для достижения их целей, но не обязательно главным объектом их внимания.

Чтобы специалисты по управлению документами могли хорошо взаимодействовать с отделами комплайнса (исполнения законодательно-нормативных и иных установленных требований – Н.Х.), финансовым, юридическим, со службами информационных технологий и защиты персональных данных, - служба управления документами должна стать для этих подразделений важным поставщиком инструментов. Ну а чтобы инструменты работали должным образом, они должны быть:

• легко используемыми,
  
  
• настраиваемыми и
  
  
• надёжными с течением времени.

Данная статья объясняет специалистам по управлению документами, как им стать ценным ресурсом в своей организации, объясняя, какой язык им необходимо использовать для объяснения того, в чём они могут помочь другим подразделениям в достижении теми своих целей.

Как специалисты по управлению документами могут предоставить другим подразделениям простые в использовании инструменты

Перечни видов документов с указанием сроков хранения и действий по их истечении, и поддерживающие политики являются основными инструментами специалиста по управлению документами. Указанные ниже свойства будут способствовать продвижению этих перечней на роль эффективного инструмента для отделов комплайнса, финансового и юридического отделов, для служб информационных технологий и защиты персональных данных:

С точки зрения отдела комплайнса: Перечни с указанием сроков хранения документов должны идентифицировать документы, подпадающие под законодательно-нормативные требования, и демонстрировать соответствие указанных в них сроков хранения этим требованиям. Это может включать указание законов и нормативных актов, влияющих на требования к хранению и уничтожению документов, а также на юрисдикции и органы власти, осуществляющих надзор над организацией. Лучшие из перечней – это те, что используются в работе, при этом специалисты по комплайнсу и по управлению документами регулярно проводят их аудит.

С точки зрения финансового отдела: Финансовый отдел заботит наличием информации для документов, используемых для защиты интересов (фактических или потенциальных) инвесторов, а также для подготовки и подтверждения налоговых деклараций. Некоторые документы являются необходимыми, а некоторая информация - полезной. Перечни видов документов с указанием сроков хранения должны отражать эти потребности, - совместно с поддерживающими политиками, обеспечивающими не только сохранение информации, но и её доступность в случае необходимости.

С точки зрения службы ИТ: Чтобы ИТ-системы могли эффективно работать с электронными документами, им нужны правила. Чем проще понять эти правила и чем меньше правил нужно применять, тем эффективнее ИТ-служба сможет их использовать. Перечни, которые используют для отсчета сроков объективные события, а не субъективные решения, облегчат ИТ-службе реализацию правил. Например, если отсчёт срока хранения документа начинается с момента его создания, поступления или с момента, когда происходит легко определяемое событие, тогда ИТ-служба сможет автоматически запустить часы, которые определят момент уничтожения электронного документа. Если же отсчёт срока хранения документа необходимо начать тогда, когда специалист-человек выскажет определённое суждение, то процесс не может быть автоматизирован, и ИТ-служба не сможет автоматически установить срок проведения уничтожения. Примерами этого могут служить такие коды событий в указаниях по срокам хранения, как «до принятия окончательного решения», «до получения разрешения» или «до момента устаревания».

С точки зрения юридического отдела: Когда судебный процесс инициируется или его начало становится разумно ожидаемым, преимущества применения перечня, с точки зрения юридического отдела, могут быть связаны с возможностью использования перечня для определения (1) того, какие документы хранит организация, и (2) какой период времени охватывают хранимые организацией документы. Эффективная политика будет регламентировать процесс уничтожения так, чтобы у юристов была уверенность в том, что они сохраняют и представляют все соответствующие документы, взаимосвязанные с фактически начавшимся или разумно ожидаемым судебным иском. Чем меньше служба управления документами допускает исключений при применении перечня и политик, тем проще юристам организации использовать перечень и поддерживающие его политики для выявления документов, связанных с конкретными судебными разбирательствами.

С точки зрения группы защиты персональных данных: Сбор и хранение персональных данных должны быть ограничены. Группа по защите персональных данных обязана обеспечить, чтобы собирались только необходимые персональные данные, чтобы эти данные использовать только по оговоренному назначению и/или в соответствии с полученным согласием, и чтобы они хранились только до тех пор, пока это необходимо для достижения оговоренной или предусмотренной в согласии цели. Эффективный перечень покажет, какие категории документов содержат персональные данные, и ограничит срок хранения этой информации моментом достижения допускаемых законом или согласием целей её обработки.

(Продолжение следует, см. http://rusrim.blogspot.com/2023/08/2_062711423.html )

Том Кори (Tom Corey)

Источник: сайт ARMA International
https://magazine.arma.org/2023/06/records-managers-become-the-easy-adjustable-reliable-tool-of-the-organization/

Влияние законов о защите персональных данных на Ваш перечень видов документов с указанием сроков их хранения, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2022/11/1_0903998872.html )

Приведение перечня в соответствие с законодательством о защите персональных данных

Понимая теперь, что законы и требования в различных юрисдикциях сближаются, Ваша организация может предпринять следующие действия, направленные на то, чтобы обеспечить соответствие Вашего перечня законам о защите персональных данных.

• Обновите свой перечень: Ваш перечень должен отражать особенности деловой деятельности Вашей организации. Это означает, что он должен включать виды документов, которые создаются и сохраняются Вашей организацией, с учётом тех юрисдикций, в которых Вы ведёте деловую деятельность. Кроме того, перечень должен применяться ко всем документам, вне зависимо от вида носителя (т.е. к бумажным и электронным документам).
  
  
• Сроки хранения и сроки уничтожения/передачи: период времени, установленный как срок хранения, также следует рассматривать как срок, по истечении которого проводится уничтожение/передача документов. Срок хранения - это не минимальное время хранения, а время, в течение которого документ хранится, а затем уничтожается/передаётся (такое отношение к срокам хранения характерно для государственных органов в США. В российской традиции – это именно минимальное время хранения, а уничтожение является не обязанностью, а правом организации – Н.Х.).
  
  
• Выделение категорий (видов) документов, содержащих персональные данные. Знание того, какие категории документов содержат персональные данные, поможет организациям определить риски и те цели, в которых сохраняются персональные данные. Организации должны уделять особое внимание данным о потребителях и нефинансовым данным о сотрудниках.
  
  
• Ограничьте сроки хранения персональных данных. Организации должны понять и сформулировать цели (т.е. цели обработки ПДн – Н.Х.), в которых собирается и хранится персональная информация. Такой целью может быть исполнение положений закона или нормативного акта о хранении документов, законную деловая цель или обработку данных на основании согласия физического лица. Как только это будет понято, организациям следует ограничить срок хранения этих документов моментом достижения целей обработки.
  
  
• Выявите и скорректируйте необоснованные сроки хранения персональных данных. Необоснованные сроки хранения могут включать чрезмерно длительные периоды хранения, которые не основаны на законе или же на предоставлении потребителя продукта/услуги. Они также могут включать использование субъективных или трудно определяемых на практике событий-триггеров (от которых начинается отсчёт сроков хранения – Н.Х.), или же сроков хранения, которые являются теоретически правильными, однако нереализуемыми на практике. Организации должны быть в состоянии объяснить причину установления конкретного срока хранения, особенно если соответствующие документы включают персональную информацию или данные.
  
  
• Добавьте в перечень виды документов, относящиеся к защите персональных данных: Пользователи перечня должны иметь возможность найти в нём правила хранения и уничтожения/передачи, применимые к уведомлениям об утечках, согласиям потребителей, запросам субъектов персональных данных и ответам на них, политикам и процедурам обеспечения неприкосновенности частной жизни, а также к видео- и аудиозаписям.

Выводы

В то время, как область охвата законов о защите персональных данных расширяется, а штрафы являются вполне реальными, - действительность такова, что законы о защите персональных данных просто укрепляют основы для создания перечней. Перечни идентифицируют виды создаваемых организацией документов и устанавливают правила хранения и уничтожения/передачи этой информации.

Ни одна организация не должна хранить информацию, которая не имеет сколько-нибудь существенной ценности. Избыточно длительное хранение приводит к более высоким затратам на хранение и судебным издержкам, а также к невозможности найти полезную информацию. Законы о защите персональных данных являются дополнительным стимулом для своевременного уничтожения/передачи информации, в интересах достижения и поддержки основных целей хорошего управления документами и информацией.

Понимая, что именно обычно рассматривается как персональные данные, а также правовые ограничения, связанные с хранением персональных данных, необходимость отвечать на запросы субъектов персональных данных, и области высокого риска штрафов или судебных разбирательств, - организации могут принимать эффективные меры по совершенствованию своих перечней, в полном соответствии с законами о защите данных.

Результатом этого может стать подготовка обновлённого перечня, с тем, чтобы обеспечить отражение в нём фактических документов организации; его применимость в отношении документов на носителях любых типов; выполнение им функций политики хранения и уничтожения/передачи информации; идентификацию документов, содержащих персональные данные и ограничение сроков хранения таких документов; и включение в него видов документов, относящихся к деятельности по исполнению законодательно-нормативных требований по защите персональных данных.

В заключение отметим, что воздействие законов о защите персональных данных проявляется не столько в усложнении перечня, сколько в поддержке и подкреплении перечня и его основной цели.

Литература

1. General Data Protection Regulation. 2016. 2016/679 (EU, April 27). https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016R0679

2. DLA Piper. Data Protection Laws of the World. Accessed March 13, 2022. https://www.dlapiperdataprotection.com/

3. Personal Information Protection and Electronic Documents Act (PIPEDA). 2000. S.C. 2000, c. 5 (Senate and House of Commons of Canada, April 13).

4. Consumer Protection Privacy Act. 2020. Bill C-11, Sec. 53n (Canada House of Commons, December 2).

5. California Privacy Rights Act (CPRA). 2023. Cal. Civ. Code § 1798.105 (State of California, Effective January 1, 2023).

6. Colorado Privacy Act. 2023. Colo. Rev. Stat. § 6-1-1308 (State of Colorado, Effective July 2023).

7. Virginia Consumer Data Protection Act. 2023. § 59.1-577 (State of Virginia, Effective January 1, 2023).

8. General Data Protection Regulation. 2016. 2016/679, Art. 4 (EU, April 27).

9. Id., Art. 5(e).

10. California Privacy Rights Act (CPRA). 2023. Cal. Civ. Code § 1798.105 (State of California, Effective January 1, 2023).

11. Brazilian General Data Protection Law (LGPD). 2018. Law No. 13.709, Article 19 (Brazil, August 14).

12. GDPR Enforcement Tracker. Accessed March 3, 2022. https://www.enforcementtracker.com

Том Кори (Tom Corey)

Источник: ARMA Magazine / сайт IGGuru.net
https://magazine.arma.org/2022/04/the-impact-of-data-protection-laws-on-your-records-retention-schedule/
https://igguru.net/2022/10/24/the-article-the-impact-of-data-protection-laws-on-your-records-retention-schedule-gets-award-at-arma-infocon-2022/

Влияние законов о защите персональных данных на Ваш перечень видов документов с указанием сроков их хранения, часть 1

Данная статья директора группы стратегического управления информацией компании HBR Consulting американца Тома Кори (Tom Corey) - профессионального адвоката, также имеющего профессиональные квалификации «сертифицированный специалист по управлению документами» (Certified Records Manager, CRM) и «сертифицированный специалист по обеспечению конфиденциальности информации» (Certified Information Privacy Professional, CIPP / US), была опубликована 18 апреля 2022 года на сайте журнала ARMA Magazine, издаваемого  Международной ассоциацией специалистов по управлению документами и информацией ARMA International. Эта статья 24 октября 2022 года на конференции ARMA InfoCon 2022 была удостоена награды The Britt Literary Award (на фото).

На фото: Том Кори получает награду за свою статью

Крайне важно, чтобы перечень видов документов с указанием сроков их хранения и действий по их истечении (далее – перечень; в российской традиции ту же роль обычно выполняет номенклатура дел – Н.Х.) Вашей организации соответствовал требованиям к защите персональных данных в тех юрисдикциях, в которых ведёт свою деятельность Ваша организация. Эта задача может показаться неподъёмной, поскольку юрисдикции по всему миру принимают новые законы, нормативные акты и требования; в то время, как организации продолжают расширять спектр юрисдикций, в которых они ведут деловую деятельность. Цель данной статьи - снять опасения и страхи перед внутренними и глобальными законами о защите персональных данных и показать, каким образом эти законы и требования согласуются с существующим задачам Вашего перечня и Вашей политики стратегического управления информацией.

Определение и назначение перечня видов документов с указанием сроков их хранения

Перечень является основополагающим документом для деятельности службы управления документами. Он представляет собой политику, которая идентифицирует виды создаваемых и/или сохраняемых организацией документов. Эти документы обычно упорядочиваются путем группировки их по видам деятельности или по структурным подразделениям, а затем описываются или по отдельности, или после группировки в категорию документов. В перечне затем устанавливает срок хранения этих документов. После того, как установленный срок хранения истёк, документ уничтожается либо передаётся на архивное хранение.

Помимо соблюдения законодательно-нормативных требований в отношении сроков хранения документов, перечень также учитывает потребность организации в сохранении ценной информации и в уничтожении не имеющих существенной ценности документов. Поступая таким образом, организация сохраняет необходимую деловую информацию, одновременно экономя деньги и ресурсы посредством избавления от ненужной информации, дальнейшее хранение которой в противном случае привело бы к увеличению затрат на хранение, миграцию данных и на ведение судебных разбирательств (имеется в виду увеличение затрат в рамках э-раскрытия – существующей в англосаксонских странах практики обязательного раскрытия перед противной стороной всей относящейся к делу информации – Н.Х.).

Введение в законы о защите персональных данных

Законы, нормативные акты и правила защиты персональных данных регулируют сбор, использование, передачу и хранение личной и высокочувствительной информации. Требования по защите персональных данных могут устанавливаться как федеральными, региональными (провинциальными – в США это штаты – Н.Х.), так и местными органами власти. В некоторых случаях законы или требования, выпускаемые регулирующими органами или неправительственными деловыми ассоциациями, адресованы конкретным отраслям экономики.

Страны и организации в рамках Европейского союза (ЕС) обязаны соблюдать требования «Общих правил защиты персональных данных» (General Data Protection Regulation, GDPR – это закон прямого действия – Н.Х.) [1]. Многие страны за пределами Евросоюза создали и внедрили свои собственные законы о защите персональных данных, аналогичные GDPR [2]. Например, закон о защите персональных данных действует в Канаде [3], и в настоящее время рассматривается новый закон о защите персональных данных, устанавливающий даже больше ограничений на хранение и использование персональных данных, чем GDPR [4].

В Соединенных Штатах нет федерального закона о защите персональных данных, который бы защищал всех потребителей. В некоторых секторах, таких как банковское дело, финансовые услуги, здравоохранение и страхование, действуют собственные требования в отношении защиты персональных данных и неприкосновенности частной жизни. Совсем недавно правительства штатов США начали вводить законы о защите персональных данных, соответствующие глобальным требованиям или аналогичные им. В число этих штатов входят Калифорния [5], Колорадо [6] и Вирджинию [7], в то время как в ряде других штатов рассматриваются аналогичные законопроекты.

Понимание перемен

Поначалу может показаться, что во всех этих законах, нормативных актах и правилах невозможно разобраться. Существует много законов о защите данных, и они, судя по всему, изменяются быстрыми темпами. Однако законы и требования сближаются друг с другом в плане подходов и требований, работая в интересах достижения той же конечной цели, что стоит перед перечнем -  сохранять имеющие ценность документы и избавляться от информации, не имеющей вовсе либо имеющей небольшую ценность.

Что касается перечней, то организации могут обратить внимание на четыре конкретные области. Данные области являются довольно близкими и согласованными в разных юрисдикциях и в различных законах. Эти четыре области следующие:

• Определение «персональных данных». Персональные данные обычно определяются как «любая информация, относящаяся к физическому лицу, которое идентифицировано или может быть идентифицировано». [8] Это определение из закона GDPR, и другие страны используют аналогичные широкие определения понятия «персональные данные».
  
  
• Ограниченный срок хранения персональных данных. Одной из целей законов о защите персональных данных является ограничение времени хранения таких данных. Хотя лишь немногие страны дают конкретные рекомендации по срокам хранения, в большинство законов говорится, что персональные данные должны храниться «не дольше, чем это необходимо». [9]
  
  
• Запросы субъектов персональных данных. Физические лица имеют право знать, какую их персональную информацию хранит организация, и они имеют право требовать удаления этих данных, за исключением тех случаев, когда для дальнейшего хранения этой информации имеются законные основания. Запрос субъекта персональных данных - это действие физического лица по реализации данного права, и организация обязана дать ответ на такой запрос [10] [11].
  
  
• Обеспечения исполнения законов: Внимание контролирующих органов в основном было сосредоточено на данных о потребителях и нефинансовых данных о сотрудниках (таких, например, как автобиографии, личные дела, записи видео/аудиозвонков). Типичные ситуации, в которых организации подвергались штрафам или же когда против них подавались судебные иски, были связаны с политиками, которых либо отсутствовали, либо устарели, либо не применялись; с нежелательным маркетингом на основе персональных данных; с ненадлежащим использование камер наблюдения; с отсутствием надлежащего реагирования на запросы субъекта персональных данных; и с неадекватным реагированием на утечки, затрагивающие персональные данные. [12]

(Окончание следует, см. http://rusrim.blogspot.com/2022/11/2_044725571.html )

Том Кори (Tom Corey)

Источник: ARMA Magazine / сайт IGGuru.net
https://magazine.arma.org/2022/04/the-impact-of-data-protection-laws-on-your-records-retention-schedule/
https://igguru.net/2022/10/24/the-article-the-impact-of-data-protection-laws-on-your-records-retention-schedule-gets-award-at-arma-infocon-2022/

Замена системы управления документами: Что можно делать и чего делать нельзя, часть 2

(Окончание, начало см. https://rusrim.blogspot.com/2022/06/1.html )

Планы тестирования

В планы тестирования включаются описание Вашего проекта, указываются цель тестирования и предполагаемая дата завершения, указываются транзакции, которые необходимо протестировать, и специфицируется стандартизированный формат для выполнения тестов. Пример формата теста транзакции приведен ниже:

• Транзакция: Укажите тестируемую функциональную возможность (напр.: извлечение короба).
  
  
• Описание теста: Опишите, как должен выполняться тест (напр.: вводится запрос на поиск короба № 123).
  
  
• Ожидаемый результат: Опишите желаемую реакцию системы.
  
  
• Фактический результат: Опишите фактическую реакцию системы.

Процесс тестирования обеспечивает точное исполнение желаемых транзакций (позитивные транзакции) и запрет на исполнение незаконных транзакций (негативные транзакции). План тестирования должен также включать разделы для отчетов о тестировании, документируя проблемы, которые должны быть разрешены перед конверсией, а также лист визирования уполномоченными представителями, сигнализирующий об их согласии с сформированным планом тестирования. Также необходимо разработать планы тестирования безопасности системы и функциональных возможностей для обработки штрих-кодов.

Модули системы следует тестировать отдельно; для каждого модуля нужен свой уникальный план тестирования. В рамках последнего проекта конверсии наш орган исполнительной власти протестировал семь модулей, в дополнение к компонентам безопасности и работы со штрих-кодом. Примерный ход процесса описан ниже:

• Выполнение тестовых транзакций
  
  
• Документирование обнаруженных ошибок там, где это указано в плане тестирования.
  
  
• Повторное тестирование всего модуля до тех пор, пока он не будет работать безошибочно.
  
  
• Сбор необходимых подписей для подтверждения приёмки завершённого модуля, если это предусмотрено в плане тестирования.
  
  
• Процесс повторяется для всех последующих модулей.

Часто в ранее протестированных модулях возникают проблемы после добавления в комплект последующего модуля. Соответственно, при тестировании нового модуля следует обязательно протестировать все ранее одобренные разделы, чтобы убедиться, что все модули работают корректно. Документируйте проблемы в рамках текущего плана тестирования. Не утверждайте текущий модуль до тех пор, пока не будут исправлены все проблемы с предыдущими модулями.

Хотя конверсия данных, безусловно, является коллективным делом, Ваше подразделение должно взять на себя ответственность за разработку плана тестирования и за тестирование системы.

В конце концов, Вы являетесь экспертами в отношении Ваших основных деловых процессов и того, как Ваша новая система должна функционировать в соответствии с этими процессами. В конечном итоге Вы несёте ответственность за обеспечение точности новой системы и её адекватности деловым целям. Во время прошлого проекта конверсии наш программист сказал мне, что мне не нужно повторно тестировать модуль, который был возвращён на доработку, потому что он завершил процесс тестирования и определил, что модуль работает корректно. Я, может, родилась и выросла в Юго-Восточной Пенсильвании, но когда дело доходит до одного из моих тестовых планов, я из Миссури! Не нужно говорить мне, что это работает, - покажите мне, что это работает. Я сама прошла план тестирования и действительно нашла проблему. Модуль был отправлен обратно программисту на очередную правку.

Ведите чёткий график заданий и регулярно обновляйте его, чтобы группа тестирования всегда знала состояние проекта, а также собственные задания. Убедитесь, что Ваш протокол тестирования включает чётко определенный процесс информирования о проблемах и документирования необходимых исправлений.

Наконец, необходимо провести полное тестирование функциональных возможностей для работы со штрих-кодами и безопасности системы. Их можно протестировать для каждого модуля или же в качестве отдельного процесса после завершения тестирования всех модулей. В нашем случае тестирование безопасности и функциональных возможностей для работы со штрих-кодами было выполнено для всей системы в качестве последнего шага в процессе тестирования.

Оговорки в отношении плана тестирования

План тестирования является эффективным инструментом, - но только в том случае, если все пользователи последовательно следуют ему. В ходе нашего последнего проекта конверсии я заметила, что одна конкретная функциональная возможность не работает, несмотря на то, что я задокументировала проблему в плане тестирования. В ходе последующего разбирательства выяснилось, что мы с программистом по-разному интерпретировали план тестирования. Иными словами, я говорила о «яблоках», а программист полагал, что речь идёт об «апельсинах». Как только это недопонимание было выявлено, мы смогли работать вместе над тем, чтобы вернуть проект в нужное русло.

Полезно помнить, что стресс - нормальное явление во время тестирования. На мой взгляд, если у Вас во время тестирования не возникает стресса, то Вы явно что-то упускаете из виду! Дни тянутся долго, работа напряженная, а кажущийся бесконечным цикл перепрограммирования и повторного тестирования может, откровенно говоря, деморализовывать. Подумайте о том, чтобы внедрить график ротации выполняемых работ, чтобы несколько облегчить работу Вашей группы. Например, если члену группы поручили выполнять план тестирования утром, то во второй половине дня переключите этого человека на совершенно другое задание, не связанное с конверсией.

Предконверсия

Параллельное тестирование должно быть завершено до запуска системы в работу. Параллельное тестирование - это процесс одновременной работы старой системы (режим эксплуатации) и новой системы (режим тестирования) для проверки того, что результаты в обеих системах одинаковы. Нужны две группы параллельно работающих тестировщиков - одна для ввода транзакций в тестовом режиме, и другая - для ввода транзакций в среде промышленной эксплуатации. Разработайте единый набор транзакций, так, чтобы были задействованы все группы функциональных возможностей системы. Одни и те же транзакции должны быть исполнены как в эксплуатируемой, так и в тестовой системе. Вы можете пригласить к участию опытных пользователей из органов исполнительной власти, являющихся Вашими клиентами. Перед параллельным тестированием убедитесь, что его участники полностью обучены работе на новой системе.

Обучение

В идеале все пользователи должны быть полностью обучены до запуска системы. Помните, что старая система больше не будет доступна после ввода в эксплуатацию новой, поэтому пользователям действительно нужно знать, как с первого дня работать с совершенно новой системой управления документами. Обсудите и доработайте план обучения. Будете ли Вы использовать обучение лицом-к-лицу или виртуальное? Если вы планируете личное практическое обучение, то потребуется заранее подготовить помещения и соответствующее оборудование.

Некоторые поставщики продуктов могут организовать начальное обучение пользователей системы. В этом случае Вам необходимо будет обсудить соответствующие детали с Вашим поставщиком. Определите, кто отвечает за создание учебных материалов. У Вашего поставщика продукта могут быть учебные материалы, которые могут быть предоставлены Вашим пользователям, а в противном случае Вам нужно будет создать свои собственные.

Наконец, обсудите и доработайте план управления Вашими текущими потребностями в обучении. Регулярно поддерживайте и публикуйте обновленный график обучения. Нам повезло, что у нас в подразделении есть инструктор, который отвечает за наши текущие инициативы по обучению. Мы регулярно проводим виртуальные тренинги. Документация размещена в Интернете, и её можно просмотреть на нашем внутреннем интранет-сайте.

Отчеты «до конверсии»

Комплект отчетов «до конверсии» включает образцы всех системных отчетов. Генерация отчетов проводится в режиме промышленной эксплуатации, непосредственно перед закрытием старой системы. Поработайте со своим программистом, чтобы согласовать время создания таких отчётов.

Отчеты «после конверсии»

Комплект отчетов «после конверсии» также включает образцы всех системных отчетов – тех же, что генерировались до конверсии. Генерация отчетов проводится в режиме промышленной эксплуатации, сразу после запуска новой системы. Поработайте со своим программистом, чтобы согласовать время создания таких отчётов. Назначьте группы, которые будут проводить сопоставление отчётов до и после конверсии. Результаты должны быть идентичными.

Запуск новой системы в эксплуатацию

Это волшебный момент, когда Вы видите, как плоды всех Ваших тяжких трудов складываются воедино! Все проверено и должно работать без сбоев. Тем не менее, необходимо провести тщательный анализ процесса, и также следует сгенерировать комплект отчётов. Убедитесь, что старая система будет доступна после ввода в эксплуатацию новой, на случай, если вдруг потребуется откат к старой системе.

Грандиозный финал

Вы почти закончили! Убедитесь, что были завершены анализ и сравнение всех отчетов до и после конверсии. Документируйте все проблемы и немедленно сообщайте о них своему программисту. Документация должна включать матрицу обязанностей с подробными сведениями об ответственных за решение каждой проблемы, выявленной после конверсии, а также с информацией о сроках решения проблем.

Документация

Задокументируйте, как работает Ваша новая система. Узнайте у своего поставщика, предоставляет ли он руководства для обучения пользователей. В идеале такие руководства должны включать скриншоты и пошаговые инструкции. Сформируйте в руководствах оглавление, чтобы пользователи могли легко находить информацию. Не забудьте включить туда страницу с контактной информацией, чтобы пользователи знали, кому звонить или писать по электронной почте для получения помощи. Включите также скриншоты и пояснения к каждому отчёту.

Что необходимо помнить

Найдите время, чтобы поздравить себя и членов своей группы с хорошо выполненной работой! Все работали очень усердно, и, безусловно, нужно в полной мере признать усилия и вклад группы. Мы у себя устроили торжественный обед и вручили благодарственные письма членам нашей группы. Возможности здесь безграничны. Важно предоставить возможность Вашей группе собраться вместе, чтобы отпраздновать её выдающиеся достижения.

Сандра Талер (Sandra Tuller)

Источник: журнал ARMA Magazine
https://magazine.arma.org/2022/05/data-conversion-dos-and-donts/

Замена системы управления документами: Что можно делать и чего делать нельзя, часть 1

Данная статья Сандры Талер (Sandra Tuller – на фото) была опубликована 16 мая 2022 года на сайте журнала ARMA Magazine, издаваемого международной ассоциацией специалистов по управлению документами и информацией ARMA International. Сандра – руководитель службы управления документами в муниципальном органе власти.

Поскольку технологии продолжают развиваться быстрыми темпами, в течение своей карьеры Вам неизбежно придётся иметь дело хотя бы с одним проектом конверсии данных (data conversion – на самом деле автор рассказывает о замене старой системы управления документами на новую – Н.Х.).

Существует множество причин, по которым Вашей организации может понадобиться проект конверсии данных. Так, Ваша текущая система может быть устаревшей. Возможно, Вам нужны расширенные возможности, которые в Вашей текущей системе не поддерживаются. Например, предыдущая система управления коробами, использовавшаяся в нашем офисе, не поддерживала согласованный формат ввода данных и не требовала ввода ключевой информации. В результате этого невозможно был устанавливать сроки хранения.

Изменение может было навязано, и наш офис столкнулся с этим. Нам сообщили, что наша устаревшая система управления документами больше не будет поддерживаться, и дали год на поиск нового продукта. Оправившись от первоначального потрясения, мы вдруг поняли, что нам представилась замечательная возможность получить обновлённую систему, разработанную для удовлетворения текущих и прогнозируемых оперативных потребностей!

 

Что следует принять во внимание

Существует множество вопросов, которые необходимо принять во внимание при организации конверсии данных. В качестве примеров можно назвать:

• Определение Вашего бюджета. Сколько Вы готовы потратить, и откуда возьмутся деньги?
  
  
• Понимание своих текущих системных требований и инфраструктуры. Какое потребуется оборудование, будет ли оно совместимо с существующим аппаратным и программным обеспечением?
  
  
• Способно ли предлагаемое решение обеспечить поддержку для последующих усовершенствований системы?
  
  
• Доступны ли будут клиентские поддержка и обучение после конверсии, и в течение какого периода времени?
  
  
• Можно ли внедрить предлагаемое решение в приемлемые сроки?

С чего начать?

Ключом к успеху любого проекта является подбор отличной проектной группы. Включите в неё кого-нибудь из сотрудников вашего ИТ-отдела, разбирающихся в Вашем существующем оборудовании и системной конфигурации. Также включите в неё Вашего руководителя, руководителей групп, специалистов по работе с клиентами и специалиста по обучению. Подумайте о том, чтобы включить в процесс кого-то из числа ваших опытных пользователей, как внутренних, так и внешних. Они могут дать ценные сведения о том, что хотели бы получить Ваши сотрудники, пользователи и клиенты.

Задокументируйте, как функционирует текущая система. Может быть полезно организовать демонстрацию системы для проектной группы. Четко определите и задокументируйте потребности Вашей системы, в том числе предполагаемые будущие потребности. Опишите, какие функциональные возможности необходимо сохранить и какие необходимы улучшения. Эти материалы в итоге станут Вашим техническим заданием. Попросите всех членов проектной группы представить свои предложения. Мыслите непредвзято и выслушивайте все предложения. Не все идеи могут быть реализованы, но у каждого всегда найдётся что-то полезное для проекта.

Определите формат проведения встреч и совещаний, при этом обязательно укажите временные рамки. Разработайте матрицу обязанностей, в которой чётко отражено, кто отвечает за каждую из задач проекта - например за сроки информирования и за разработку спецификаций проекта.

Что дальше?

Итак, Ваши требования сформулированы и проведены предварительные совещания. Теперь пришло время изучить доступные продукты и альтернативы. Пригласите поставщиков для проведения демонстраций, а также организуйте визиты в другие органы исполнительной власти, чтобы узнать об используемых ими системах и процессах.

Выберите продукт, который соответствующий потребностям Вашей деловой деятельности. Имейте в виду, что, весьма вероятно, потребуется внести определённые изменения в Ваши текущие деловые процессы. Проявите осторожность при определении того, где изменения оправданы. Будьте готовы пойти на изменение ваших деловых процессов тех случаях, когда это целесообразно; избегайте изменения процессов только для того, чтобы они «вписывались» в продукт. Убедитесь, что выбранный продукт может быть внедрён в установленные Вами сроки.
 
Процесс

Решающее значение имеют хорошие рабочие отношения между всеми членами Вашей проектной группы. Регулярно обменивайтесь информацией, и будьте конкретными. Крайне важно обеспечить, чтобы у Вашего программиста и у специалистов по работе с клиентами имелись экземпляры Вашего документа с план-графиком и требованиями, и чтобы они в максимально возможной степени понимали необходимые функциональные возможности Вашей системы. При необходимости просмотрите демонстрацию системы и проанализируйте её технические характеристики, позаботившись о том, чтобы у Вас было достаточно времени для того, чтобы задать вопросов и получить на них ответы. Запланируйте достаточное время на разработку четких и подробных планов тестирования.

(Окончание следует, см. http://rusrim.blogspot.com/2022/06/2_0690281903.html )

Сандра Талер (Sandra Tuller)

Источник: журнал ARMA Magazine
https://magazine.arma.org/2022/05/data-conversion-dos-and-donts/