去年曾受邀至iThome的【大話資安直播】分享「企業如何選擇資安顧問」，一直想著要把它寫成文章分享，拖了許久，現在就來實現它吧！
緣起
筆者在顧問業工作多年，從小顧問到後來擔任合夥人，隨著位階越高，處理的事務也愈來愈繁雜，到後期多半是處理人的問題，比如排解小組間的微妙關係、輔導或訓練同事的能力、到案子出包去道歉等，有時還會碰到客戶跨組求救，來向我抱怨其他組的專案品質，希望透過我進而協助上達天聽，而使案子的品質能得到改善。
再後來擔任free lancer 時，客戶對我更加無保留地分享他們踩過的坑，聽他們抱怨的久了，搞得好像顧問公司是詐騙公司一樣，雖然他們抱怨多半是真的在案件推動上的確遭遇一些困難，但我認為有時角度難免偏頗。我認為大多顧問公司都還是立意良善的，只是必須得說，家大業大、在市場成為領先地位後，總是難以確保每一個顧問人員的素質都一樣好。
筆者想要提醒企業的是，即便公司的品牌很響亮，推派出來的顧問專業能力很強，但也需要在每個案子都要重新地評估檢視，以避免最後踩雷。
如何選擇顧問公司
以下就幾個重要階段來說明一下重點：
需求階段
此階段通常是企業意識到公司內部有些問題可能需要找顧問公司協助，多半這個階段會先從自己熟識的顧問公司開始，尋問相關議題是否有對應的顧問服務協助解決，而顧問公司則會安排人員前往公司拜訪，說明相關議題的看法、顧問方法論、實蹟等，以尋求公司能將委託該顧問公司進行協助。
企業常見問題
綜整筆者擔任顧問的這些年，企業需求來源主要分為兩種，一為外部要求（如法令規定、主管機關鼓勵、客戶要求等）、一種則為內部自發性的需求（如資料分析、營運流程改善、….等）。
若為外部要求，通常完成的標準較明確，比如取得某項驗證、或者取得某些申請核准，因為任務明確，專案的目標就比較清楚議定，一般也比較不會引起太大的問題。
若屬公司自發性的需求，通常係來自某個最近企業的熱門議題，可能是老闆出去開會，發現其他公司正在推動而引發緊張感；也可能是聽了某些趨勢研討會，認為有些規劃應該提前進行。總之，這樣的來源通常都不太明確，多半會是一段描述、一些關鍵字，然後承辦的窗口被交辦後，也不知道怎麼解決與提案，就會開始四處找顧問公司，請顧問公司針對這些「關鍵字」提出自己的看法與推動建議。
這時候問題就來了，因為其實公司自己也不知道自己到底要什麼，又或者更精準地說，老闆認為「他知道自己要什麼」、承辦窗口「猜想老闆要什麼」，再跟顧問公司提出，顧問公司提出了「想要賣的什麼」試圖說服企業相信「那就是老闆要的」，最終用顧問公司的提案來去推動。可想而知，這種案子風險即高， 一個不小心，專案做到最後會被質疑這樣的案件到底對公司的效益是什麼而造成專案最終可能導致失敗。
建議考量點
筆者主要針對承辦單位提出一些建議與看法：
即便需求較明確的專案，還是建議搞清楚公司內部對於目標的達成，要達「高標」還是「低標」。白話一點說就是，到底只是要符合基本要求，還是希望藉此機制在專案範圍的推動做為先導目標，最終希望讓全公司的各單位都能內化。此目標會決定顧問在推導過程中，可能要考量的範疇，畢竟若僅針對特定專案範圍考量，例外情況可針對範圍內單位之特性調整，卻不一定能套用至公司所有單位。一旦公司高層對本專案的期許不只是符合而是作為一種改變提升的手法，那麼專案窗口在推動期間可能會面臨到很多專案範圍外的提問，若不在顧問公司的範疇內，有的顧問公司會直接拒絕，導致專案承辦人變成夾心餅乾，落入叫天天不應、叫地地不靈的窘境。
若是需求不明確時，則筆者奉勸各位承辦窗口，要先向交辦您的上司把公司為什麼有這需求的過程搞清楚，包含
最早這些名詞（關鍵字）是哪個老闆從哪聽來的：有時可能是因為看到某篇文章，丟給下面的主管，主管們為了做報告，就找顧問來，那這需求可能就比較不會成。有時候是顧問對公司高層有溝通的管道，可能提供了一些資訊或資料、或者是邀請參與的一些研討會，說服了高層認為該議題是重要的，進而回頭要求公司人員跟進瞭解。若能瞭解除了被交待的幾個關鍵字以外的過程與故事，對於承辦窗口就能更好進行判斷，甚至可以取得當初的研討會資料、或者找到當初的顧問先了解清楚到底他們描繪的大餅（喔不，是「願景」）到底是什麼。
如果可以，想辦法與關鍵的主管（決定專案成敗、或者是提出需求的高層）進一步瞭解他們對這專案看法。若您上面還隔著一兩層老闆不方便直接問到，可能方法就得迂迴一些，需要先彙整一版可能的推動方向與目標，把預期的產出具像化地提出，才能確認老闆要的目標；當然，這時多半是需要專業的顧問，陪著一起準備相關資訊，協助一步步地把公司的需求更加明確。
好顧問應有的作為
因為本篇是以企業選擇顧問的角度來撰寫，所以提出一些好顧問可能展現的行為特徵，讓公司能夠在選擇顧問時，能夠比較不會被糖衣陷阱所騙
好的顧問不會在你給了幾個關鍵字後就直接提出Proposal
我常常碰到菜鳥經理，拿著他們的Proposal請我提供建議，我看著千篇一律的提案書，看不出來到底這專案客戶到底要達到什麼目標。進一步詢問下，才發現他們接到客戶的電話，或者Line的提問後，他們就興沖沖地約會議時間，並且直接就準備Proposal。相信我，這些人根本搞不清楚你要什麼，而且多半他們拿的是以前的制式範本就套用了，可以想成是賣給你一個他們想賣的東西、或者是一個制式的產品。如果貴公司想要的就是一個簡單通過認證的目標，那的確簡單，對公司而言就是確認有經驗、再來就是選價格低的就好了；但若是公司還有其他的想法，那麼看到黑影就亂給提案的顧問，可能也無法提給公司真正適合公司的作法建議。
好的顧問通常會在這個階段問你一大堆問題，可能會讓你覺得有點煩
如前面所提，我們作為承辦窗口，為了避免最後被電，當然還是要搞清楚老闆到底要什麼（記住，是關鍵主管要什麼而不是你的直屬上司喔！）。所以顧問在接到我們需求時，問得愈細的顧問，通常是因為他們很有經驗，知道未來推動過程可能會碰到一些問題，因此在一開始會詢問很多問題，以確保規劃能符合公司的文化與需求，雖然有時候甚至承辦窗口也會被問倒，但這反而是好事，因為他們在幫助您把老闆的需求給搞清楚，避免未來內部被質疑而不好交待。
好得顧問通常願意陪你走過那段釐清老闆要什麼的階段
當我們要陸續準備一些資料，跟老闆溝通確認期望時，若能有顧問能陪著走這過程，提供相關資料、甚至協助配合説明與說服老闆，這些顧問是很樂於投資與協助企業解決問題的，那我真的建議企業要好好珍惜他們，他們可以提供很多顧問公司才有的資源，讓你有強力的後盾因應各種專業問題，所以要與之建立良好的互動關係，當然通常他們也不會是以價格取勝的那種，如果你一次兩次用了這樣的顧問卻最終以價格標來決定服務的廠商，除非你是代表性企業，否則他們終將把你列入黑名單中，而公司可能也會碰到選到的廠商無法達到規劃的預期目標，最終還是苦了企業自己。
不小心愈寫愈多，我還是分幾次分享吧，文章太長容易讓人昏厥，下次繼續分享其他階段。
Opmerkingen