حکومتی ERP کا نفاذ: سیکیورٹی کلیئرنس اور تعمیل

حکومتی ERP کا نفاذ بڑے پیمانے پر انٹرپرائز کی تعیناتیوں کی آپریشنل پیچیدگی کو ریگولیٹری رکاوٹوں، سیاسی جوابدہی، اور حفاظتی تقاضوں کے ساتھ جوڑتا ہے جن کا کسی تجارتی نفاذ کا سامنا نہیں ہوتا۔ ERP کو ​​لاگو کرنے والی ایجنسی کو مسابقتی خریداری کے قواعد کو نیویگیٹ کرنا چاہیے (عمل درآمد خود مسابقتی طور پر دیا جانا چاہیے)، FISMA سیکیورٹی کے تقاضے، ممکنہ طور پر FedRAMP کی اجازت کے تقاضے، انسپکٹر جنرل کی نگرانی، اور قانون سازی کے بجٹ کی منظوری کے چکر — ترتیب کی ایک لائن لکھنے سے پہلے۔

یہ گائیڈ سرکاری ERP کے نفاذ کے لیے ایک پریکٹیشنر کی سطح کا فریم ورک فراہم کرتا ہے، جس میں سیکیورٹی، تعمیل، اور گورننس کی ضروریات پر خاص توجہ دی جاتی ہے جو پبلک سیکٹر کی تعیناتیوں کو کمرشل سے ممتاز کرتی ہے۔

اہم ٹیک ویز

• گورنمنٹ ERP پروکیورمنٹ کو خود ہی مسابقتی بولی کے تقاضوں کی تعمیل کرنی چاہیے - عمل درآمد شروع ہونے سے پہلے خریداری کے لیے بجٹ 12-18 ماہ
• پیداوار میں سرکاری ڈیٹا پر کارروائی کرنے سے پہلے FISMA کی تعمیل کے لیے آپریٹ کرنے کے لیے رسمی اجازت (ATO) کی ضرورت ہوتی ہے۔
• FedRAMP کی اجازت (وفاقی ایجنسیوں کے لیے) یا مساوی ریاستی تقاضے بادل فروش کے انتخاب کو روکتے ہیں
• نفاذ عملے کے لیے سیکورٹی کلیئرنس کے تقاضے وینڈر کے عملے کے اختیارات کو محدود کر سکتے ہیں۔
• قانون سازی کے بجٹ کی تخصیصات عمل درآمد کے بجٹ کو روکتی ہیں اور بڑی آئی ٹی سرمایہ کاری کے لیے علیحدہ اجازت کی ضرورت پڑ سکتی ہے۔
• انسپکٹر جنرل اور GAO کے بڑے IT منصوبوں کی نگرانی کے لیے فعال دستاویزات اور شفافیت کی ضرورت ہوتی ہے۔
• سرکاری ڈیٹا کی درجہ بندی کے تقاضے فن تعمیر، رسائی کے کنٹرول، اور آڈٹ لاگنگ کنفیگریشن کو متاثر کرتے ہیں
• سول سروس کے ماحول میں تبدیلی کے انتظام کے لیے یونین کی مشاورت اور افرادی قوت کی باقاعدہ منتقلی کی منصوبہ بندی کی ضرورت ہوتی ہے۔

---

پہلے سے عمل درآمد: حصولی اور قانون سازی کی اجازت

گورنمنٹ ERP پروکیورمنٹ بذات خود ایک بڑا پروجیکٹ ہے جس پر عمل درآمد شروع ہونے سے پہلے مکمل ہونا ضروری ہے۔ ایک بڑی سرکاری ERP کے لیے حصولی کے عمل میں عام طور پر ضروریات کی تعریف سے معاہدہ ایوارڈ تک 12-24 مہینے لگتے ہیں۔

** ضروریات کی ترقی **

حکومت کی خریداری کے قانون کا تقاضا ہے کہ ایجنسی تجاویز طلب کرنے سے پہلے اپنی ضروریات کی وضاحت کرے — ایجنسیاں پہلے کسی وینڈر کا انتخاب نہیں کر سکتیں اور منتخب وینڈر کی صلاحیتوں کے مطابق ضروریات کی وضاحت نہیں کر سکتیں۔ ضروریات کی ترقی میں شامل ہیں:

• موجودہ حالت کا جائزہ: موجودہ نظاموں، ان کی عمر، ان کے فعال فرق، اور ان کو برقرار رکھنے کی تخمینی لاگت کی دستاویز کریں
• کاروباری تقاضے: ماڈیول (فنانس، پروکیورمنٹ، HR، گرانٹس، شہری خدمات) کے ذریعے ترتیب دی گئی مخصوص فنکشنل صلاحیتوں کی دستاویز کریں۔
• تکنیکی تقاضے: انضمام کی ضروریات، ڈیٹا کے حجم کے تقاضے، کارکردگی کے تقاضے، حفاظتی تقاضے (FISMA لیول) اور انٹرآپریبلٹی معیارات کی وضاحت کریں۔
• تشخیص کا معیار: اس معیار کی وضاحت کریں جس کے ذریعے تجاویز کا جائزہ لیا جائے گا، تفویض کردہ وزن کے ساتھ، درخواست جاری کرنے سے پہلے

تقاضے کی دستاویزات عوامی ریکارڈ کا حصہ بن جاتی ہیں اور اگر وہ کسی مخصوص پروڈکٹ کے حق میں نظر آتے ہیں تو ناکام دکانداروں کے ذریعہ خریداری کے احتجاج کے تابع ہوتے ہیں۔ تقاضے کارکردگی پر مبنی اور جہاں ممکن ہو ٹیکنالوجی غیر جانبدار ہونے چاہئیں۔

مسابقتی خریداری

سرکاری ERP کی خریداری عام طور پر دو گاڑیوں میں سے ایک کے ذریعے ہوتی ہے:

• مکمل اور کھلا مقابلہ: عوامی اشتہار، وینڈر کے جوابات، تکنیکی تشخیص، اور بہترین قیمت کے ایوارڈ کے فیصلے کے ساتھ تجویز کی مکمل درخواست (RFP)
• موجودہ سرکاری کنٹریکٹ وہیکلز: بہت ساری سرکاری ایجنسیاں قائم کردہ متعدد ایوارڈ کنٹریکٹ گاڑیوں (GSA شیڈولز، SEWP، BPA ہولڈرز) کے ذریعے ERP حاصل کرتی ہیں جنہوں نے پہلے ہی مسابقتی ایوارڈ کا عمل مکمل کر لیا ہے۔

موجودہ کنٹریکٹ گاڑی کا استعمال مکمل مقابلے کے مقابلے میں خریداری کے وقت کو 12-18 ماہ تک کم کر سکتا ہے۔ تاہم، ایجنسی کو یقینی بنانا چاہیے کہ کنٹریکٹ گاڑی میں مطلوبہ مصنوعات اور خدمات شامل ہوں اور گاڑی کے اندر ٹاسک آرڈر کا مقابلہ مناسب طور پر مسابقتی ہو۔

بجٹ اور قانون سازی کی اجازت

بڑی سرکاری آئی ٹی سرمایہ کاری - عام طور پر وہ جو متعین حد سے تجاوز کرتی ہیں - کو علیحدہ قانون سازی کی اجازت درکار ہوتی ہے۔ کچھ دائرہ اختیار میں، ایک کیپٹل آئی ٹی پروجیکٹ حد سے زیادہ رقم کے لیے مخصوص بجٹ لائن آئٹم کی اجازت کی ضرورت ہوتی ہے، جو کہ ایجنسی کے آپریٹنگ تخصیص سے الگ ہو۔ اس اجازت کو حاصل کرنے سے عمل درآمد سے پہلے کی ٹائم لائن میں ایک اور سائیکل شامل ہو جاتا ہے۔

ایجنسیوں کو ایک بڑے ERP کے لیے 24-36 ماہ کے پہلے سے عمل درآمد کی مدت کی منصوبہ بندی کرنی چاہیے (ابتدائی منصوبہ بندی سے معاہدہ کے ایوارڈ اور قانون سازی کی اجازت کے ذریعے) اور اس ٹائم لائن کو پروجیکٹ کے مجموعی شیڈول میں شامل کرنا چاہیے۔

---

FISMA کی تعمیل اور کام کرنے کی اجازت

فیڈرل انفارمیشن سیکیورٹی مینجمنٹ ایکٹ (FISMA) کا تقاضہ ہے کہ ہر وفاقی انفارمیشن سسٹم کو سرکاری معلومات پر کارروائی، ذخیرہ کرنے یا منتقل کرنے سے پہلے اسے چلانے کے لیے ایک باضابطہ اجازت (ATO) موصول ہو۔ ATO کے عمل میں ایک جامع حفاظتی جائزہ شامل ہوتا ہے جسے پروڈکشن کی تعیناتی سے پہلے مکمل کیا جانا چاہیے۔

FISMA سیکورٹی زمرہ جات

FISMA کا تقاضہ ہے کہ معلوماتی نظام کو رازداری، سالمیت، اور دستیابی پر سیکورٹی کی خلاف ورزی کے ممکنہ اثرات کے لحاظ سے درجہ بندی کیا جائے — ہر جہت کے لیے کم، اعتدال پسند، یا زیادہ۔ مجموعی نظام کی درجہ بندی NIST خصوصی اشاعت 800-53 سے مطلوبہ حفاظتی کنٹرولز کا تعین کرتی ہے۔

زیادہ تر حکومتی مالیاتی نظاموں کو تینوں جہتوں کے لیے اعتدال پسند اثرات پر درجہ بندی کیا جاتا ہے، جس کے لیے NIST 800-53 کیٹلاگ سے تقریباً 300 سیکیورٹی کنٹرولز کے نفاذ کی ضرورت ہوتی ہے۔ زیادہ اثر والے سسٹمز (مالیاتی ERP کے لیے غیر معمولی) کو اضافی کنٹرول کی ضرورت ہوتی ہے۔

سسٹم سیکیورٹی پلان

بنیادی FISMA دستاویز سسٹم سیکیورٹی پلان (SSP) ہے، جو کہ دستاویزات:

• نظام کی حد ( اجازت کی حد میں کون سے اجزاء شامل ہیں)
• سسٹم کے ذریعہ پروسیس کردہ ڈیٹا کی اقسام اور ان کی حساسیت کی سطح
• نافذ کیے گئے حفاظتی کنٹرولز اور وہ کیسے NIST 800-53 کی ضروریات کو پورا کرتے ہیں۔
• میزبانی کے ماحول سے وراثت میں ملنے والے کنٹرول (عام کنٹرول)
• وہ کنٹرول جو سسٹم کے مالک کی ذمہ داری ہیں (سسٹم کے لیے مخصوص کنٹرول)

ایک پیچیدہ ERP کے نفاذ کے لیے SSP کی تیاری اپنے آپ میں ایک اہم منصوبہ ہے، جس کے لیے عام طور پر تجربہ کار سیکیورٹی پیشہ ور افراد کے ذریعے 3-6 ماہ کے دستاویزی کام کی ضرورت ہوتی ہے۔

سیکیورٹی اسسمنٹ اور اتھارٹی

ایس ایس پی کے مکمل ہونے کے بعد، ایک آزاد تشخیصی ٹیم — یا تو ایک بااختیار تیسری پارٹی یا عمل درآمد کرنے والی ٹیم سے الگ ایک اندرونی تشخیصی ٹیم — سیکیورٹی کنٹرولز کی جانچ کرتی ہے تاکہ اس بات کی تصدیق کی جا سکے کہ وہ دستاویز کے مطابق کام کرتے ہیں۔ تشخیص ایک سیکورٹی اسسمنٹ رپورٹ (SAR) تیار کرتا ہے جو نتائج کو دستاویز کرتا ہے۔

اجازت دینے والا آفیشل (AO) SSP اور SAR کا جائزہ لیتا ہے اور اجازت دینے کا فیصلہ کرتا ہے - ATO دینا، مطلوبہ تدارک کے ساتھ مشروط ATO جاری کرنا، یا اجازت سے انکار کرنا۔ ATO عام طور پر تین سال کے لیے جاری کیا جاتا ہے، جس کے بعد دوبارہ تشخیص کی ضرورت ہوتی ہے۔

---

کلاؤڈ ERP کے لیے FedRAMP کی اجازت

کلاؤڈ ہوسٹڈ ERP استعمال کرنے والی وفاقی ایجنسیوں کے لیے، کلاؤڈ سروس فراہم کرنے والے کو مناسب اثر کی سطح (کم، اعتدال پسند، یا زیادہ) پر FedRAMP کی اجازت برقرار رکھنی چاہیے۔ FedRAMP کی اجازت FedRAMP پروگرام کے ذریعہ منظور شدہ تھرڈ پارٹی اسیسمنٹ آرگنائزیشن (3PAO) کے ذریعہ کلاؤڈ پلیٹ فارم کے سیکیورٹی کنٹرولز کا ایک رسمی جائزہ ہے۔

فروش کے انتخاب پر اثر

FedRAMP کی اجازت کے تقاضے کلاؤڈ ERP وینڈر کے انتخاب کو نمایاں طور پر روکتے ہیں۔ تمام تجارتی ERP وینڈرز نے FedRAMP کی اجازت حاصل نہیں کی ہے، خاص طور پر اعلی اثرات کی سطح پر۔ ایجنسیوں کو خریداری کے دوران FedRAMP کی اجازت کی حیثیت کی تصدیق کرنی چاہیے — marketplace.fedramp.gov پر FedRAMP مارکیٹ پلیس مستند ذریعہ ہے۔

وراثت میں ملنے والے کنٹرول

FedRAMP سے مجاز کلاؤڈ پلیٹ فارم استعمال کرنے کا ایک اہم فائدہ کلاؤڈ ماحول سے مشترکہ سیکیورٹی کنٹرولز کی وراثت ہے۔ فزیکل سیکیورٹی، ماحولیاتی کنٹرولز، اور کچھ شناختی انتظامی افعال سے متعلق کنٹرولز کلاؤڈ فراہم کنندہ کے FedRAMP اجازت کے پیکج میں دستاویز کیے جاتے ہیں اور پلیٹ فارم کا استعمال کرتے ہوئے ایجنسی سسٹمز کے ذریعے وراثت میں مل سکتے ہیں۔ یہ ایجنسی کے ATO کے لیے حفاظتی دستاویزات کا بوجھ کم کرتا ہے۔

---

سیکیورٹی کلیئرنس کے تقاضے

حکومتی ERP کے نفاذ جن میں درجہ بند نظام یا حساس لیکن غیر درجہ بند معلومات شامل ہوتی ہیں اعلی اثرات کی سطح پر عمل درآمد کرنے والے اہلکاروں کے لیے حفاظتی منظوری کی ضرورت ہو سکتی ہے۔ یہ ضرورت عمل درآمد ٹیم کی تشکیل اور ٹائم لائن کو نمایاں طور پر متاثر کر سکتی ہے۔

پرسنل سیکیورٹی انویسٹی گیشن کا عمل

سیکیورٹی کلیئرنس کے لیے درکار پس منظر کی تحقیقات کو مکمل ہونے میں عام طور پر 3-18 مہینے لگتے ہیں، یہ کلیئرنس کی سطح اور فرد کے پس منظر کی پیچیدگی پر منحصر ہے۔ نفاذ فروش اپنے انتہائی تجربہ کار کنسلٹنٹس کو تفویض کرنے سے قاصر ہو سکتے ہیں اگر ان افراد کے پاس مطلوبہ منظوری نہیں ہے یا حاصل نہیں کر سکتے۔

کلیئرنس کی رکاوٹوں کو کم کرنا

ایجنسیاں کلیئرنس کی رکاوٹوں کو کم کر سکتی ہیں:

• منصوبہ بندی کے آغاز میں کلیئرنس کی ضروریات کی نشاندہی کرنا اور کنٹریکٹ ایوارڈ سے قبل کلیدی عمل درآمد کرنے والے اہلکاروں کے لیے کلیئرنس کا عمل شروع کرنا
• ERP کنفیگریشن کے کام کے لیے کلیئر شدہ اہلکاروں کی نمائش کو کم کرنے کے لیے عمل درآمد کو ڈیزائن کرنا جس کے لیے حساس ڈیٹا تک رسائی کی ضرورت ہوتی ہے۔
• کلیئرنس کے لیے حساس کنفیگریشن کے کام کا انتظام کرنے کے لیے حکومت کی طرف سے تیار کلیر شدہ تکنیکی مشیر کا استعمال کرنا، عمل درآمد کرنے والے وینڈر کے ساتھ نچلی درجہ بندی کی سطحوں پر فنکشنل مہارت فراہم کرنا

---

ڈیٹا کی درجہ بندی اور ہینڈلنگ

سرکاری ڈیٹا کو متعدد زمروں میں درجہ بندی کیا گیا ہے جو اس بات پر اثر انداز ہوتے ہیں کہ اسے ERP میں کیسے ہینڈل کیا جانا چاہیے:

کنٹرولڈ غیر مرتب شدہ معلومات (CUI)

CUI سرکاری معلومات کا ایک وسیع زمرہ ہے جس کے لیے قانون، ضابطے، یا حکومتی پالیسی کے مطابق حفاظت کی ضرورت ہوتی ہے لیکن درجہ بندی کی سطح تک نہیں بڑھتی۔ مالیاتی ERP میں عام طور پر CUI شامل ہوتا ہے بشمول: ملازمین اور ٹھیکیداروں کی ذاتی طور پر قابل شناخت معلومات (PII)، حکومتی پروگراموں کے بارے میں مالی معلومات، اور خریداری سے متعلق حساس معلومات۔

CUI ہینڈلنگ کی ضروریات میں شامل ہیں: سسٹم تک رسائی کے کنٹرول، آڈٹ لاگنگ، منتقلی کی پابندیاں، اور ضائع کرنے کی ضروریات۔ ERP کنفیگریشن کو CUI کے بطور نامزد کردہ معلومات کے لیے ڈیٹا عنصر کی سطح پر CUI کنٹرولز کو نافذ کرنا چاہیے۔

پرائیویسی ایکٹ ریکارڈز

سرکاری ملازم اور ٹھیکیدار کے ریکارڈ پرائیویسی ایکٹ کے تقاضوں کے ساتھ مشروط ہیں، جن کا حکم ہے: ریکارڈز کو بیان کرنے والے سسٹم آف ریکارڈ نوٹس (SORN) کو برقرار رکھنا، انکشاف کو مجاز مقاصد تک محدود کرنا، افراد کو اپنے بارے میں ریکارڈ تک رسائی فراہم کرنا، اور درست ریکارڈ کو برقرار رکھنا۔ ERP کے نفاذ میں پرائیویسی ایکٹ کے اثرات کا تجزیہ اور ان تمام سسٹمز کے لیے مناسب کنٹرول شامل ہونا چاہیے جو پرائیویسی ایکٹ کے احاطہ میں ریکارڈ کو برقرار رکھتے ہیں۔

---

حکومت کے لیے عمل درآمد کا مرحلہ

حکومتی ERP کے نفاذ کے لیے فیزنگ کی ضرورت ہوتی ہے جو مالی سال کے بجٹ کے چکروں، قانون سازی کی نگرانی، اور ایجنسی کے آپریشنل کیلنڈر کے لیے ہوتی ہے۔

مرحلہ 1: فاؤنڈیشن اور فنانس (سال 1)

فنانس کا نفاذ فنڈ اکاؤنٹنگ کا ڈھانچہ قائم کرتا ہے جس پر تمام بعد کے ماڈیول انحصار کرتے ہیں۔ اس مرحلے میں شامل ہیں:

• GASB فنڈ کے ڈھانچے کے ساتھ منسلک اکاؤنٹس ڈیزائن کا چارٹ
• اوپننگ بیلنس ہجرت اور مفاہمت
• بجٹ انضمام اور بوجھ اکاؤنٹنگ کی ترتیب
• GAAP اور GASB فنانشل اسٹیٹمنٹ ٹیمپلیٹ کی ترقی
• سال کے آخر میں قریبی عمل ڈیزائن اور جانچ

مالی سال حکومتی مالیات کے لیے فطری عمل درآمد یونٹ ہے — نئے نظام کو لائیو ہونے سے پہلے شروع سے آخر تک پورے مالی سال پر کارروائی کرنے کے لیے تیار ہونا چاہیے۔

فیز 2: پروکیورمنٹ اور کنٹریکٹ مینجمنٹ (سال 2، Q1-Q2)

پروکیورمنٹ کا نفاذ فنانس کی پیروی کرتا ہے کیونکہ پروکیورمنٹ ٹرانزیکشن جنرل لیجر پر پوسٹ ہوتے ہیں۔ اس مرحلے میں شامل ہیں:

• وینڈر ڈیٹا بیس کی منتقلی اور SAM.gov انضمام
• بولی کی حد کی ترتیب اور ورک فلو
• خریداری کا آرڈر اور ریکوزیشن ورک فلو
• کنٹریکٹ مینجمنٹ سیٹ اپ
• MWBE ٹریکنگ کنفیگریشن

مرحلہ 3: HR اور پے رول (سال 2، Q3-Q4)

پوزیشن کی درجہ بندی کے نظام، یونین کنٹریکٹس، اور پنشن انضمام کی وجہ سے حکومتی HR اور پے رول ان سب سے پیچیدہ ماڈیولز میں شامل ہیں۔ اس مرحلے کی ضرورت ہے:

• پوزیشن کی درجہ بندی کے شیڈول کی ترتیب
• پے اسکیل اور مرحلہ وار ترقی کے قواعد
• سودے بازی یونٹ کے ذریعہ یونین کے معاہدے کی مدت کا نفاذ
• فوائد کی انتظامیہ کی ترتیب
• پنشن کی شراکت کا حساب کتاب سیٹ اپ

مرحلہ 4: گرانٹس مینجمنٹ (سال 3)

GL فاؤنڈیشن قائم ہونے کے بعد گرانٹس کا انتظام نافذ کیا جا سکتا ہے۔ اس مرحلے میں شامل ہیں:

• فیڈرل ایوارڈ سیٹ اپ اور ٹریکنگ کنفیگریشن
• پروگرام کے ذریعہ قابل اجازت لاگت کے اصول کی ترتیب
• لاگت مختص کرنے کے طریقہ کار کا سیٹ اپ
• ذیلی وصول کنندہ مینجمنٹ ورک فلو
• فیڈرل رپورٹنگ ٹیمپلیٹ کنفیگریشن (SF-425، SF-270، وغیرہ)

---

سول سروس کے ماحول میں تبدیلی کا انتظام

سرکاری اداروں میں تبدیلی کے انتظام کو کئی رکاوٹوں کا سامنا ہے جو تجارتی ماحول میں موجود نہیں ہیں:

یونین کنسلٹیشن کے تقاضے

یونینائزڈ ورک فورس کے ساتھ ایجنسیوں میں، کام کے عمل میں اہم تبدیلیاں - بشمول ERP کا نفاذ - اجتماعی سودے بازی کے معاہدے کے تحت سودے بازی کی ذمہ داریوں کو متحرک کر سکتی ہے۔ یونین کے معاہدوں میں اکثر ایجنسی سے مطالبہ ہوتا ہے کہ وہ یونین کو مطلع کرے اور عمل درآمد سے پہلے سودے بازی یونٹ کے ملازمین پر ٹیکنالوجی کی تبدیلیوں کے اثرات کے بارے میں سودے بازی کرے۔

یونین کے نمائندوں کے ساتھ ابتدائی مشغولیت — عمل درآمد کی ٹائم لائن، متوقع ورک فلو تبدیلیوں، اور افرادی قوت کی منتقلی کے لیے ایجنسی کی وابستگی کی وضاحت — کامیاب تبدیلی کے انتظام کے لیے ضروری تعاون پر مبنی تعلقات کو استوار کرتی ہے۔ ERP کے نفاذ کے دوران مخالف یونین کے تعلقات کم گود لینے کی شرح اور زیادہ شکایات سے وابستہ ہیں۔

پوزیشن کی درجہ بندی کا اثر

ERP کا نفاذ مخصوص عہدوں کی نوعیت کو تبدیل کر سکتا ہے — کچھ کرداروں کی پیچیدگی کو کم کرنا (آٹومیشن کی وجہ سے) اور دوسروں کی پیچیدگی میں اضافہ (نئی سسٹم مینجمنٹ کی ذمہ داریوں کی وجہ سے)۔ پوزیشن کی درجہ بندی کے نظام کو متاثرہ عہدوں کی باضابطہ دوبارہ درجہ بندی کی ضرورت پڑسکتی ہے، جس کے لیے خود دستاویزات، سپروائزر کا جائزہ، اور ممکنہ طور پر یونین سے مشاورت کی ضرورت ہوتی ہے۔

سرکاری تعلیمی ماحول میں تربیت

سرکاری تربیتی پروگراموں کو اکثر مخصوص تقاضوں کی تعمیل کرنا ضروری ہے: سویلین ایجنسیاں لازمی سیکھنے کے انتظام کے نظام کا استعمال کر سکتی ہیں (مثال کے طور پر، وفاقی ایجنسیوں کے لیے USA لرننگ)، تربیت لازمی طور پر سیکشن 508 کے تحت معذور ملازمین کے لیے قابل رسائی ہونی چاہیے، اور تربیتی دستاویزات کو برقرار رکھنے کی مطلوبہ مدت کے لیے برقرار رکھا جانا چاہیے۔

---

انسپکٹر جنرل اور نگرانی کی مصروفیت

بڑے سرکاری آئی ٹی پروجیکٹس - خاص طور پر جن کا بجٹ $10 ملین سے زیادہ ہے - معمول کے مطابق انسپکٹر جنرل دفاتر، قانون سازی آڈٹ باڈیز (GAO، ریاستی قانون ساز آڈیٹرز) اور قانون سازی کی نگرانی کمیٹیوں سے نگرانی کی توجہ مبذول کرواتے ہیں۔ نگران اداروں کے ساتھ فعال مشغولیت منفی نتائج کے خطرے کو کم کرتی ہے۔

پروجیکٹ چارٹر اور گورننس دستاویزات

پراجیکٹ گورننس کی جامع دستاویزات کو برقرار رکھیں: پراجیکٹ چارٹر، سٹیئرنگ کمیٹی کا چارٹر، اہم فیصلوں کی دستاویز کرنے والے میٹنگ منٹس، اور رسمی رسک رجسٹر۔ نگران ادارے پراجیکٹ گورننس کے معیار کو عمل درآمد کی کامیابی کے ایک اہم اشارے کے طور پر جانچتے ہیں۔

سہ ماہی اسٹیٹس رپورٹنگ

نگران اداروں کو اسٹیٹس رپورٹنگ کا ایک باقاعدہ کیڈنس قائم کریں - سہ ماہی تحریری رپورٹس جو بڑے سنگ میلوں پر بریفنگ کے ذریعے ضمیمہ کرتی ہیں۔ اسٹیٹس رپورٹس میں شامل ہونا چاہیے: لاگت کی کارکردگی (حقیقی بمقابلہ منصوبہ بند)، نظام الاوقات کی کارکردگی (اصل بمقابلہ منصوبہ بند)، بڑے خطرات اور تخفیف کے اقدامات، اور آنے والے سنگ میل۔ درست، بروقت اسٹیٹس رپورٹنگ نگران اداروں کے ساتھ اعتبار پیدا کرتی ہے اور حیران کن نتائج کے خطرے کو کم کرتی ہے۔

آزاد تصدیق اور توثیق

بہت ساری سرکاری ایجنسیاں ایک خودمختار فریق ثالث - ایک IV&V ٹھیکیدار کو کمیشن دیتی ہیں تاکہ عمل درآمد کے منصوبے کا مسلسل جائزہ لیا جا سکے اور شیڈول، لاگت اور تکنیکی خطرے کا معروضی جائزہ فراہم کیا جا سکے۔ IV&V مصروفیت جوابدہی سے وابستگی کو ظاہر کرتی ہے اور عمل درآمد کے مسائل کے بحران بننے سے پہلے ان کی ابتدائی وارننگ فراہم کرتی ہے۔

---

نفاذ کے بعد: جاری تعمیل

گو لائیو کے بعد، سرکاری ایجنسیوں کو FISMA، رازداری، اور گرانٹس کے انتظامی تقاضوں کی مسلسل تعمیل کو برقرار رکھنا چاہیے۔

سالانہ سیکورٹی کے جائزے

FISMA کو مجاز نظاموں کے سالانہ سیکورٹی جائزوں کی ضرورت ہے۔ یہ جائزے اس بات کی تصدیق کرتے ہیں کہ سیکیورٹی کنٹرولز مؤثر طریقے سے کام کرتے رہتے ہیں، کہ نئی کمزوریوں کی نشاندہی کی گئی ہے اور ان کا تدارک کیا گیا ہے، اور یہ کہ سسٹم کی باؤنڈری دستاویزات درست رہتی ہیں۔

مسلسل نگرانی

مسلسل نگرانی کے بارے میں NIST کی رہنمائی ایجنسیوں سے توقع کرتی ہے کہ وہ صرف تین سال کے دوبارہ تشخیص کے مقام کی بجائے مسلسل سیکورٹی کنٹرول کی نگرانی کریں۔ ERP کو ​​خودکار سیکیورٹی مانیٹرنگ رپورٹس — سسٹم تک رسائی کی رپورٹس، کنفیگریشن تبدیلی لاگ، اور بے ضابطگی کا پتہ لگانے کے انتباہات — جو ایجنسی کے مسلسل نگرانی کے پروگرام میں شامل ہوتے ہیں۔

---

اکثر پوچھے گئے سوالات

FedRAMP کی اجازت کے عمل میں کتنا وقت لگتا ہے؟

نئی کلاؤڈ سروس کے لیے FedRAMP کی اجازت عام طور پر پروگرام کے ساتھ ابتدائی مشغولیت سے لے کر اجازت تک 12-24 مہینے لگتی ہے۔ ایجنسیاں کلاؤڈ ERP وینڈرز کو منتخب کر کے اس ٹائم لائن کو کم کر سکتی ہیں جن کے پاس پہلے سے ہی FedRAMP اعتدال پسند اجازت ہے، جس کا مطلب ہے کہ سیکورٹی کا اندازہ پہلے ہی مکمل ہو چکا ہے۔ FedRAMP مارکیٹ پلیس تمام مجاز کلاؤڈ سروسز کو ان کی موجودہ اجازت کی سطح پر درج کرتا ہے۔

سرکاری ERP کے لیے اتھارٹی ٹو آپریٹ (ATO) پراسیس ٹائم لائن کیا ہے؟

ATO کے عمل میں عام طور پر حفاظتی دستاویزات کے آغاز سے اجازت کے اجراء تک 6-12 ماہ لگتے ہیں۔ اس میں سسٹم سیکیورٹی پلان کی تیاری کے لیے 3-6 ماہ، سیکیورٹی اسسمنٹ کے لیے 2-4 ماہ، اور مجاز اہلکار کے جائزے اور فیصلے کے لیے 1-2 ماہ شامل ہیں۔ وہ ایجنسیاں جو موجودہ FedRAMP اجازت کے ساتھ کلاؤڈ ERP کا استعمال کرتی ہیں وہ وراثت میں ملنے والے کنٹرولز کی دستاویزات کا فائدہ اٹھا سکتی ہیں تاکہ ان کے اپنے ATO عمل کو نمایاں طور پر تیز کیا جا سکے۔

عمل درآمد کے دوران ہم مالی سالوں کے درمیان منتقلی کو کیسے ہینڈل کرتے ہیں؟

سب سے عام طریقہ یہ ہے کہ نئے مالی سال کے آغاز کے ساتھ نئے ERP کو ​​مؤثر طریقے سے لاگو کیا جائے، پچھلے سال کے اختتامی بیلنس کو نئے سسٹم کے اوپننگ بیلنس کے طور پر منتقل کیا جائے۔ یہ قدرتی اکاؤنٹنگ باؤنڈری پر ایک صاف وقفہ پیدا کرتا ہے۔ متبادل — وسط سال پر عمل درآمد — کے لیے سال کے مالیاتی ڈیٹا کو دو نظاموں کے درمیان تقسیم کرنے اور سالانہ رپورٹنگ کے لیے مشترکہ نتائج کو ملانے کی ضرورت ہوتی ہے، جو نمایاں طور پر زیادہ پیچیدہ ہے۔

سرکاری آئی ٹی پروجیکٹس کے لیے GAO ہائی رسک عوامل کیا ہیں؟

GAO نے ناکام عمل درآمد کے تجزیے کی بنیاد پر حکومتی IT پروجیکٹس کے لیے بہت زیادہ خطرے والے عوامل کی نشاندہی کی ہے: غیر واضح کاروباری تقاضے، کمزور پروجیکٹ گورننس، ناکافی پروگرام مینجمنٹ اسٹاف، ناکافی حکومتی نگرانی والے ٹھیکیداروں پر زیادہ انحصار، تکنیکی رکاوٹوں کے بجائے سیاسی کی وجہ سے کمپریسڈ شیڈولز، اور ناکافی جانچ کا وقت۔ ایک نفاذ کا منصوبہ جو ان میں سے ہر ایک خطرے کے عوامل کو واضح طور پر حل کرتا ہے، نگرانی کرنے والے اداروں کے لیے عمل درآمد کی تیاری کو ظاہر کرتا ہے۔

ہم زیر التواء قانونی چارہ جوئی والی ایجنسیوں کے لیے میراثی نظام کی منتقلی کا انتظام کیسے کرتے ہیں؟

سرکاری ایجنسیوں کے پاس اکثر زیر التواء قانونی چارہ جوئی یا انتظامی کارروائیاں ہوتی ہیں جن کے لیے میراثی نظام کے ریکارڈ تک رسائی کی ضرورت ہوتی ہے۔ وراثت کے نظام کو ختم کرنے سے پہلے، ایجنسی کو یہ یقینی بنانا چاہیے کہ قانونی ہولڈز سے مشروط تمام ریکارڈز قانونی طور پر قابل دفاع شکل میں محفوظ ہیں۔ اس کے لیے فعال قانونی چارہ جوئی کے دورانیے کے لیے میراثی نظام تک صرف پڑھنے کی رسائی کو برقرار رکھنے، یا قانونی چارہ جوئی سے متعلقہ ریکارڈز کو چین آف کسٹڈی دستاویزات کے ساتھ علیحدہ سے منظم آرکائیو میں منتقل کرنے کی ضرورت پڑ سکتی ہے۔

---

اگلے اقدامات

ERP جدید کاری شروع کرنے کے لیے تیار سرکاری ایجنسیوں کو موجودہ نظام کی صلاحیتوں، FISMA کی درجہ بندی کی ضروریات، اور حصولی کی ٹائم لائن کی رکاوٹوں کے جامع جائزے کے ساتھ شروع کرنا چاہیے۔ ECOSIRE کا پبلک سیکٹر پریکٹس سرکاری خریداری کی ضروریات، FISMA کی تعمیل، اور پبلک سیکٹر ERP کی تعیناتیوں کے لیے فنڈ اکاؤنٹنگ کے نفاذ کے ساتھ تجربہ لاتا ہے۔

ECOSIRE کی Odoo ERP نفاذ کی خدمات کو دریافت کریں یہ جاننے کے لیے کہ ہمارا منظم طریقہ کار اور پبلک سیکٹر کی مہارت آپ کی ایجنسی کے جدید بنانے کے سفر کی رہنمائی کیسے کر سکتی ہے۔