10.8 پختگی کے ماڈلز

جائزہ اور محرکات

پختگی کا ماڈل یہ جانچنے کا ساختہ طریقہ ہے کہ کسی شعبے میں آپ کا عمل کتنا قابل اور مستقل ہے، اور اسے بہتر بنانے کا راستہ بیان کرنے کا۔ یہ سطحوں کی چھوٹی سیڑھی متعین کرتا ہے۔ نیچے کام ایڈہاک اور ردعملی ہے۔ اوپر وہ ناپا ہوا، منظم، اور مسلسل بہتر ہوتا ہوا ہے۔ ہر ڈنڈے کی قابل مشاہدہ خصوصیات ہیں جن کے مقابل آپ جانچ سکتے ہیں۔

پختگی کے ماڈل مبہم سوال (“کیا ہم اس میں اچھے ہیں؟”) کو قابل تکرار جواب (“ہم یہاں سطح 2 پر ہیں، وہاں سطح 4 پر، اور سطح 3 کو یہ چاہیے”) میں بدلتے ہیں۔ یہ کتاب ہر باب میں پانچ سطح کا ماڈل استعمال کرتی ہے اور باب 12.4 میں انہیں سمیٹتی ہے۔ یہ باب خود نظم و ضبط کے بارے میں ہے: ماڈل کیسے کام کرتے ہیں، کب مدد کرتے ہیں، اور کیسے گمراہ کرتے ہیں۔

یہ اس لیے اہم ہیں، سادہ وجہ سے۔ بڑے ادارے وہ بہتر نہیں کر سکتے جو انہیں نظر نہ آئے۔ درجنوں ٹیموں میں صلاحیت بے حد اور غیر مرئی طور پر مختلف ہے۔ کچھ ٹیموں کی ٹیسٹنگ بہترین اور سیکیورٹی کمزور ہے؛ دوسروں کی الٹ۔ پختگی کا ماڈل آپ کو مشترک ذخیرہ الفاظ اور مشترک پیمانہ دیتا ہے، تاکہ خلا قابل موازنہ ہوں، سرمایہ کاری کو ترجیح دی جا سکے، اور پیش رفت صرف دعوے کی بجائے وقت کے ساتھ ٹریک کی جا سکے۔ معروف مثالوں میں CMMI (Capability Maturity Model Integration، عمل کے لیے)، DORA (DevOps Research and Assessment) ماڈل (سافٹ ویئر کی ترسیل کی کارکردگی)، سافٹ ویئر سیکیورٹی کے لیے OWASP SAMM (Software Assurance Maturity Model) اور BSIMM (Building Security In Maturity Model)، TMMi (Test Maturity Model integration، ٹیسٹنگ کے لیے)، Agile Fluency ماڈل، اور ڈیٹا مینجمنٹ کے پختگی کے ماڈل، ساتھ بے شمار اندرونی scorecards شامل ہیں۔

انٹرپرائز اور خاص طور پر حکومت کے لیے پختگی کے ماڈل خاص وزن رکھتے ہیں۔ سرکاری ٹھیکیداری نے طویل عرصے سے CMMI کی appraisal سطحیں فراہم کنندہ کی اہلیت کے طور پر استعمال کی ہیں، اور امریکی CMMC (Cybersecurity Maturity Model Certification) جیسے فریم ورکس سائبر سیکیورٹی کی پختگی کو دفاعی کام کی اہلیت سے براہ راست جوڑتے ہیں۔ یہ پختگی کے ماڈلز کو حقیقی دانت دیتا ہے۔ یہ اس باب کا مرکزی خطرہ بھی پیدا کرتا ہے: جب سطح دروازہ یا ہدف بن جائے تو لوگ بنیادی صلاحیت کی بجائے appraisal کے لیے بہتر کرتے ہیں۔ اچھی طرح استعمال ہو تو پختگی کے ماڈل آئینہ ہیں۔ بری طرح ہو تو تھیٹر۔

بنیادی اصول

پختگی ذریعہ ہے، مقصد نہیں۔ ہدف صلاحیت اور نتائج ہیں، سطح کا عدد نہیں۔
سیکھنے کو جانچیں، سکور کرنے کو نہیں۔ ایماندار خود جائزہ خوشامدی appraisal پر غالب ہے۔
اونچا ہمیشہ بہتر نہیں۔ درست ہدف خطرے، سیاق، اور لاگت پر منحصر ہے۔
فی شعبہ ناپیں، ایک عالمی گریڈ نہیں۔ صلاحیت غیر ہموار ہے؛ واحد عدد اسے چھپاتا ہے۔
سب سے کم پختگی، سب سے زیادہ خطرے والے خلا کو پہلے ترجیح دیں۔
Goodhart’s Law سے ہوشیار رہیں۔ جب سطح ہدف بن جائے تو وہ صلاحیت ناپنا بند کر دیتی ہے۔
وقتاً فوقتاً دوبارہ جانچیں۔ لوگوں، نظاموں، اور خطرات کے بدلنے پر پختگی بھٹکتی ہے۔

سفارشات

شعبے کے لیے درست ماڈل چنیں

ماڈل کو اس صلاحیت سے ملائیں جسے آپ بہتر بنانا چاہتے ہیں، اور جہاں موجود ہوں وہاں ایجاد کردہ کی بجائے قائم، شہادت پر مبنی ماڈلز کو ترجیح دیں:

عمل اور ترسیل: CMMI (وسیع عمل کی پختگی)، DORA صلاحیت کا ماڈل (ترسیل کی کارکردگی، تحقیق پر مبنی، باب 11.2)۔
سیکیورٹی: OWASP SAMM اور BSIMM (سافٹ ویئر سیکیورٹی کے عمل)، CMMC (دفاعی سائبر سیکیورٹی)۔
ٹیسٹنگ اور معیار: TMMi۔
ایجائل اور کام کے طریقے: Agile Fluency ماڈل (باب 10.7)۔
ڈیٹا: ڈیٹا مینجمنٹ کے پختگی کے ماڈلز (DMM، DCAM)۔

اندرونی استعمال کے لیے فی صلاحیت لاگو سادہ چار یا پانچ سطح کا پیمانہ (جیسا یہ کتاب کرتی ہے) اکثر بھاری بیرونی فریم ورک سے زیادہ قابل عمل ہے۔ رسمی، appraisal شدہ ماڈل ان جگہوں کے لیے رکھیں جہاں وہ معاہدے کے لحاظ سے لازم ہوں۔

ایمانداری سے اور فی صلاحیت جانچیں

ایسے جائزے چلائیں جو سچ پیدا کریں، آرام نہیں۔ کام کرنے والے لوگوں کو شامل کریں۔ آراء کی بجائے شہادت جمع کریں۔ ہر صلاحیت کا الگ سکور دیں، تاکہ تصویر حقیقت کی عکاسی کرے: یہاں مضبوط، وہاں کمزور۔ بہتری کی رہنمائی کے لیے استعمال ہونے والا خود جائزہ بیج کمانے کو استعمال ہونے والے بیرونی appraisal سے زیادہ قیمتی ہے، کیونکہ پہلا صاف گوئی کو انعام دیتا ہے اور دوسرا پیشکش کو۔ باب 12.4 اس کتاب کے ہر شعبے میں مجموعی خود جائزہ دیتا ہے؛ اسے ابتدائی آلے کے طور پر استعمال کریں۔

پختگی کو ترجیح دینے کے لیے استعمال کریں، سزا دینے کو نہیں

جائزے کا نتیجہ ترجیحی بہتری کا backlog ہے، الزام کا رپورٹ کارڈ نہیں۔ پختگی کو خطرے کے ساتھ ملائیں۔ کم خطرے کے شعبے میں سطح-1 کی صلاحیت ٹھیک ہو سکتی ہے۔ حفاظت یا تعمیل کے لیے نازک شعبے میں سطح-2 کی صلاحیت فوری ہے۔ سرمایہ کاری ان خلا کی طرف لے جائیں جہاں کم پختگی اونچے خطرے سے ملتی ہے، اور کام کو نتائج (باب 11.1) سے جوڑیں تاکہ بہتری سیڑھی چڑھنے کے لیے نہیں بلکہ نتائج سے ناپی جائے۔

ہدف کی سطحیں دانستہ طے کریں: اونچا مفت نہیں

ہر سطح اوپر جانے کی کوشش لیتی ہے اور اکثر عمل کا وزن جوڑتی ہے۔ درست ہدف شاذ “ہر جگہ سطح 5” ہے۔ یہ وہ سطح ہے جہاں اضافی صلاحیت اس شعبے کے خطرے کے لیے اضافی لاگت کا جواز دے۔ ضابطے والی اور حفاظت کے لیے نازک صلاحیتوں کو واقعی اونچے ڈنڈے چاہیے ہو سکتے ہیں، اور آڈٹ اکثر کم از کم “متعین” سطح 3 مانگتا ہے۔ بہت سی دوسری سطح 3 پر اچھی طرح خدمت پاتی ہیں اور آگے دھکیلنے سے صرف افسر شاہی جمع کریں گی۔ ہدف فی صلاحیت طے کریں، اور چڑھنا تب روک دیں جب خطرے سے ایڈجسٹ شدہ واپسی رکے۔

پختگی کے تھیٹر سے بچیں

وہ واحد ناکامی کا انداز جو پختگی کے ماڈلز کی قدر تباہ کرتا ہے سکور کے لیے بہتر بنانا ہے۔ ان جائزوں پر نظر رکھیں جو فراخی سے گریڈ دیتے ہیں، وہ شہادت جو صرف appraisal کے لیے جمع کی گئی، یا “سطح 5” کے دعوے جنہیں پروڈکشن کے واقعات جھٹلاتے ہیں۔ جائزے کو قابل مشاہدہ رویے اور حقیقی نتائج سے جوڑے رکھیں۔ جائزہ لینے والوں کو گھمائیں یا بیرونی طور پر عقل مندی سے جانچیں۔ مشکوک طور پر اونچے خود سکور کو بو سمجھیں۔ جس لمحے سطح ہدف بنتی ہے ماڈل آپ کو سچ بتانا بند کر دیتا ہے۔

سمجھوتے: فوائد اور نقصانات

طریقہ	فوائد	نقصانات
رسمی appraisal شدہ ماڈل (CMMI، CMMC)	قابل موازنہ، معاہدے کے لحاظ سے تسلیم شدہ، سخت	مہنگے؛ گیم کیے جا سکتے ہیں؛ عمل کو پتھر بنا سکتے ہیں
ہلکے اندرونی scorecards	تیز، قابل عمل، کم اوور ہیڈ	بیرونی طور پر کم قابل موازنہ؛ تعصب آسان
شہادت پر مبنی صلاحیت کے ماڈل (DORA)	حقیقی نتائج سے بندھے؛ تحقیق پر مبنی	تنگ دائرہ؛ حقیقی میٹرکس چاہیے
واحد مجموعی پختگی کا گریڈ	بتانا سادہ	غیر ہموار صلاحیت چھپاتا ہے؛ گمراہ کرتا ہے
فی صلاحیت جائزہ	درست، قابل عمل ترجیح	زیادہ کوشش؛ کوئی واحد سرخی کا عدد نہیں

مرکزی کھنچاؤ آئینے کے طور پر جائزہ بمقابلہ ہدف کے طور پر جائزہ ہے۔ وہی ماڈل جو ٹیم کو خود کو صاف دیکھنے میں مدد دیتا ہے اس لمحے الٹا اثر کرتا ہے جب سطح انعام، اہلیت، یا رتبے سے جڑ جائے۔ سطح جتنی زیادہ اہم ہو، توانائی اتنی ہی پختگی کے جوہر کی بجائے اس کے ظاہر میں بہتی ہے۔

اپنی ٹیم کے ساتھ بحث کے سوالات

کیا ہمیں کسی بھی معاہدے سے appraisal شدہ سطح سے الگ صاف اندرونی خود جائزہ رکھنا چاہیے، اور ہر ایک کا مالک کون ہے؟ جب CMMC یا CMMI کی سطح آمدنی پر دروازہ لگائے تو appraisal اور سچ الگ ہو جاتے ہیں، کیونکہ توانائی بہتر ہونے کی بجائے پاس ہونے کی طرف بہتی ہے۔ بڑے انٹرپرائز یا سرکاری فراہم کنندہ کے لیے وہ خلا وہ جگہ ہے جہاں خطرہ چھپتا ہے: آپ آڈٹ پاس کرتے اور بے نقاب رہتے ہیں۔ دانستہ دو کھاتے چلائیں۔ اہلیت کے لیے رسمی appraisal رکھیں، اور صاف اندرونی scorecard رکھیں جسے پھلانے پر کسی کو انعام نہ ملے۔ ہر ایک کا مالک نام زد کریں، اور دونوں کے درمیان کسی بھی فاصلے کو لیپ پوت کرنے کی بجائے تحقیق کا اشارہ سمجھیں۔ میٹنگ میں حالیہ واقعات، قریبی خطرات، اور appraisal کے بعد کی گراوٹ شہادت کے طور پر لائیں کہ کون سا کھاتہ سچ بتا رہا ہے۔
ہر شعبے کے لیے، کیا ہم قائم شہادت پر مبنی ماڈل اپنا رہے ہیں یا اپنا scorecard ایجاد کر رہے ہیں، اور کیا یہ درست فیصلہ ہے؟ قائم ماڈلز (ترسیل کے لیے DORA، سیکیورٹی کے لیے SAMM یا BSIMM، ٹیسٹنگ کے لیے TMMi) وہ تحقیق اور بیرونی موازنہ رکھتے ہیں جو گھر کا بنایا خانہ نہیں رکھ سکتا۔ ہلکا اندرونی چار سطح کا پیمانہ تیز اور زیادہ قابل عمل ہے، اور اندرونی رہنمائی کے لیے اکثر بہتر انتخاب ہے۔ جال یہ ہے کہ بھاری مخصوص فریم ورک ایجاد کیا جائے جس کی رسمی ماڈل کی تمام رسم ہو اور شہادت کی بنیاد کچھ نہ ہو۔ فی شعبہ فیصلہ کریں: رسمی appraisal شدہ ماڈل وہاں رکھیں جہاں معاہدہ مانگے، جہاں موجود اور موزوں ہوں وہاں شہادت پر مبنی ماڈل استعمال کریں، اور باقی سب کے لیے سادہ فی صلاحیت پیمانہ رکھیں۔ شعبوں کی فہرست لائیں، نشان لگائیں آج ہر ایک کون سا ماڈل استعمال کرتا ہے، اور ہر ایجاد کردہ scorecard کو چیلنج کریں۔
ہمارے جائزے کون چلاتا ہے، ہم فراخ گریڈنگ کیسے پکڑیں گے، اور ہم کتنی بار دوبارہ جانچتے ہیں؟ جو جائزہ خود کو گریڈ دے وہ خود کی خوشامد کرتا ہے، اور لوگوں، نظاموں، اور خطرات کے بدلنے پر پختگی بھٹکتی ہے، اس لیے دو سال پرانا appraisal اکثر افسانہ ہے۔ جائزہ لینے والوں کو گھمائیں یا بیرونی عقل مندی کی جانچ لائیں، اور مشکوک طور پر اونچے خود سکور کو جیت کی بجائے پیچھا کرنے کی بو سمجھیں۔ دوبارہ جائزے کی تال ہر شعبے کے بدلنے کی رفتار سے جوڑیں: سیکیورٹی دستاویزات سے زیادہ بار۔ شہادت جمع کریں اور مینیجروں سے آراء لینے کی بجائے کام کرنے والے لوگوں کو شامل کریں۔ اگر آپ کا جواب یہ ہے کہ ایک ٹیم سال میں ایک بار بغیر کراس-چیک خود کو سکور کرتی ہے تو آپ آرام ناپ رہے ہیں، صلاحیت نہیں۔
ہر صلاحیت کو اصل میں کون سی ہدف پختگی کی سطح چاہیے، اور اونچا دھکیلنا ہمیں صرف عمل کا وزن کہاں خریدے گا؟ اونچا مفت نہیں: ہر سطح اوپر کی کوشش لیتی اور عموماً رسم جوڑتی ہے، اس لیے ہر جگہ سطح 5 کا یکساں ہدف محدود بہتری کا بجٹ اس افسر شاہی میں بہا دیتا ہے جسے کچھ شعبے کبھی ادا نہیں کریں گے۔ بڑے ادارے کے لیے درست ہدف صلاحیت کے لحاظ سے مختلف ہے، کیونکہ سطح 2 پر بیٹھا کم خطرے کا شعبہ بالکل محفوظ ہو سکتا ہے جبکہ اسی سطح پر حفاظت یا تعمیل کے لیے نازک شعبہ ہنگامی صورت ہے۔ فی صلاحیت خطرے کی درجہ بندی، اگلا ڈنڈا کوشش اور عمل میں کتنا خرچ کرتا ہے اس کا ایماندار اندازہ، اور کوئی بھی آڈٹ یا معاہدے کی کم از کم حد لائیں، کیونکہ بہت سے آڈٹ کم از کم متعین سطح 3 مانگتے ہیں۔ انٹرپرائز اور سرکاری ترتیبوں میں کچھ ضابطے والی صلاحیتوں کو واقعی اونچے ڈنڈے چاہییں جبکہ زیادہ تر سطح 3 پر اچھی طرح خدمت پاتی ہیں، اس لیے ہدف دانستہ، صلاحیت بہ صلاحیت طے کریں، اور جب خطرے سے ایڈجسٹ شدہ واپسی رکے تو چڑھنا بند کر دیں۔
آخری بار جب ہم نے پختگی کی سطح بڑھائی تو جس نتیجے کی وہ حفاظت کرنے والی تھی کیا وہ واقعی بہتر ہوا، یا صرف سکور ہلا؟ وہ سطح جو چڑھتی ہے جبکہ واقعات، lead time، یا نقص کی شرحیں مستقل رہتی ہیں Goodhart’s Law عمل میں ہے: جب عدد ہدف بنتا ہے تو وہ صلاحیت ناپنا بند کر دیتا ہے۔ بڑی ٹیم کے لیے یہ آسانی سے پھسل جاتا ہے، کیونکہ کامیاب appraisal پیش رفت لگتی ہے چاہے پروڈکشن کچھ اور کہانی سنائے۔ سرمایہ کاری سے پہلے ہر صلاحیت کی سطح کو حقیقی نتیجے کی میٹرک سے جوڑیں، پھر پہلے-اور-بعد کی شہادت بحث میں لائیں: ہر سہ ماہی واقعات، تبدیلی کی ناکامی کی شرح، بحالی کا وقت، جو کچھ بھی صلاحیت بہتر کرنے کو ہے۔ انٹرپرائز اور سرکاری پورٹ فولیوز میں جہاں appraisal شدہ سطح اہلیت پر دروازہ لگاتی ہے، خلا خطرناک ہے، کیونکہ سطح جمع کی ہوئی شہادت پر چڑھ سکتی ہے جبکہ بنیادی عمل خاموشی سے گلتا ہے، اور اس کا پہلا ثبوت خلاف ورزی، بندش، یا ناکام آڈٹ ہے۔
کیا ہم ایک سرخی کا پختگی کا گریڈ بتاتے ہیں یا فی صلاحیت تصویر، اور کیا سطحیں کبھی انعام، درجہ بندی، یا ٹیم کے رتبے سے جڑی ہیں؟ واحد مجموعی عدد قیادت کو پیش کرنا آسان ہے اور ٹھیک وہ غیر ہمواری چھپاتا ہے جو اہم ہے، کیونکہ مضبوط ترسیل سطح-1 کی سیکیورٹی کی صلاحیت کو ڈھانپ سکتی ہے؛ فی صلاحیت heat map زیادہ کام ہے مگر دکھاتا ہے کہ کم پختگی اونچے خطرے سے کہاں ملتی ہے۔ مشکل سوال یہ ہے کہ سکور کیسے استعمال ہوتے ہیں، کیونکہ جس لمحے سطح ٹیم کے انعام یا درجہ بندی سے جڑتی ہے ایماندار رپورٹنگ مر جاتی ہے اور کوشش پختگی کے جوہر کی بجائے اس کے ظاہر میں بہتی ہے۔ heat map لائیں، اور ہر اس جگہ کا صاف بیان جہاں سطح اس وقت کارکردگی کے ریویو، بجٹ کے فیصلے، یا فروخت کنندہ کے scorecard کو کھلاتی ہے۔ انٹرپرائز اور سرکاری فراہم کنندگان کے لیے، جہاں appraisal شدہ سطحیں آمدنی اور اہلیت پر دروازہ لگا سکتی ہیں، واضح ہوں کہ کون سے گریڈ نتائج رکھتے ہیں اور کون سے صرف رہنمائی کو ہیں، کیونکہ پختگی کی تصویر جسے پھلانے پر لوگوں کو انعام ملے حقیقت بیان کرنا بند کر دیتی ہے۔

شعبہ جاتی نقطۂ نظر

اسٹارٹ اپ۔ بھاری appraisal شدہ ماڈل وہ اوور ہیڈ ہے جو آپ مختصر رن وے پر برداشت نہیں کر سکتے۔ مٹھی بھر صلاحیتوں میں سادہ پیمانے پر ایک گھنٹے کا خود جائزہ چلائیں، صرف سب سے کم پختگی کا خلا ٹھیک کریں جو کچھ ٹھوس روکتا ہے (جیسے آپ کے پہلے انٹرپرائز گاہک کا سیکیورٹی سوالنامہ)، اور باقی چھوڑ دیں۔ جائزے پر ایک دوپہر خرچ ہونی چاہیے، مشیر نہیں، اور اس کا نتیجہ واحد اگلا عمل ہے نہ کہ یکساں اونچا سکور جس کی آپ کو ضرورت ہے نہ اس کی استطاعت۔

چھوٹا کاروبار۔ مخصوص جائزہ لینے والے کے بغیر اور تنگ بجٹ کے ساتھ، مخصوص فریم ورک کمیشن کرنے کی بجائے ہلکا عوامی ماڈل مستعار لیں: مختصر ترسیل یا سیکیورٹی کی چیک لسٹ جسے آپ خود سکور کر سکیں۔ اسے سالانہ گفتگو سمجھیں کہ کمزور نقطہ آپ کو گاہک کی قیمت کہاں دے گا، مستقل پروگرام نہیں۔ اسے سستا اور صاف رکھیں، کیونکہ فروخت کنندہ سے بنوایا خوشامدی سکور اس صاف سکور سے کم قیمتی ہے جو آپ نے خود ایک دوپہر میں کیا۔

بڑا ادارہ۔ قدر مشترک فی صلاحیت scorecard ہے جو بہت سی ٹیموں میں مستقل لاگو ہو، تاکہ خلا قابل موازنہ ہوں اور بہتری کا بجٹ وہاں بہے جہاں کم پختگی اونچے خطرے سے ملتی ہے۔ جب سطحیں بجٹ یا رتبے کو کھلانے لگیں تو پختگی کے تھیٹر کے خلاف سختی سے ہوشیار رہیں: جائزہ لینے والوں کو گھمائیں یا بیرونی طور پر عقل مندی سے جانچیں، اور نتائج کو heat map کے طور پر منظم کریں جو پکی سڑک کی سرمایہ کاری (باب 4.2) کی رہنمائی کرے، ٹیموں کی درجہ بندی کرنے والی لیگ ٹیبل کی بجائے جو ایماندار رپورٹنگ مار دیتی ہے۔

حکومت۔ پختگی کی سطح یہاں اکثر لفظی دروازہ ہے: دفاعی کام کے لیے CMMC، فراہم کنندہ کی اہلیت کے طور پر CMMI appraisal۔ مطلوبہ سطح حقیقی صلاحیت سے پوری کریں، اور رسمی appraisal سے الگ صاف اندرونی خود جائزہ رکھیں تاکہ آڈٹ کی کم از کم حد کبھی خاموشی سے چھت نہ بنے۔ شفافیت سے جائزہ لینے والوں کے لیے شہادت دستاویزی کریں، اور سرٹیفائیڈ سطح اور حقیقی عمل کے بیچ کسی بھی فاصلے کو بند کرنے کا جوابدہ خطرہ سمجھیں، فائل کرنے کی کاغذی کارروائی نہیں۔

مثالیں

اسٹارٹ اپ۔ دس افراد کا SaaS اسٹارٹ اپ ترسیل، ٹیسٹنگ، سیکیورٹی، اور on-call ڈھانپنے والے سادہ چار سطح کے پیمانے کے مقابل ایک گھنٹے کا خود جائزہ چلاتا ہے۔ اسے ترسیل اور ٹیسٹنگ سطح 3 پر اور سیکیورٹی سطح 1 پر اٹکی ملتی ہے، جو اس لیے اہم ہے کہ وہ سیکیورٹی سوالنامے والے اپنے پہلے انٹرپرائز گاہک پر دستخط کرنے والا ہے۔ اس لیے بانی اگلا مہینہ صرف سیکیورٹی کو قابل دفاع سطح 2 تک بڑھانے میں گزارتے ہیں اور باقی چھوڑ دیتے ہیں، یکساں اونچے سکور کا پیچھا کرنے کی بجائے جس کی انہیں ابھی ضرورت ہے نہ اس کی استطاعت۔

بڑا ادارہ۔ مالیاتی خدمات کی فرم اپنی 40 ٹیموں کو ہلکے فی صلاحیت scorecard (ترسیل، ٹیسٹنگ، سیکیورٹی، مشاہدہ پذیری، on-call) سے جانچتی ہے۔ heat map ظاہر کرتا ہے کہ سیکیورٹی کی پختگی سب سے زیادہ وہاں پیچھے ہے جہاں ضابطے کی نمائش سب سے زیادہ ہے، اس لیے پلیٹ فارم ٹیم پہلے ان ٹیموں کے لیے پکی سڑک کی سیکیورٹی کی ٹولنگ فنڈ کرتی ہے (باب 4.2)۔ چونکہ جائزہ ٹیموں کی درجہ بندی کی بجائے سرمایہ کاری کو ترجیح دینے کو استعمال ہوتا ہے، مینیجر ایمانداری سے رپورٹ کرتے ہیں۔ ایک سال بعد کا دوبارہ جائزہ حقیقی حرکت دکھاتا ہے، اور، فیصلہ کن طور پر، کم سیکیورٹی کے واقعات، صرف اونچے سکور نہیں۔

حکومت۔ دفاعی ٹھیکیدار کو کام کے لیے بولی دینے کو مطلوبہ CMMC سطح تک پہنچنا ہے، اور systems integrator ٹھیکے کی اہلیت کے طور پر CMMI appraisal رکھتا ہے۔ یہاں پختگی کی سطح آمدنی کا لفظی دروازہ ہے۔ اچھی طرح چلایا ورژن مطلوبہ سطح کو حقیقی صلاحیت کی کم از کم حد سمجھتا اور رسمی appraisal سے الگ صاف اندرونی خود جائزہ رکھتا ہے۔ بری طرح چلایا ورژن appraisal کے لیے شہادت جمع کرتا اور اگلے دن حقیقی عمل کو گلنے دیتا ہے، آڈٹ پاس کرتے ہوئے بے نقاب رہتا ہے۔

کاروباری جواز: محرکات، ROI اور TCO

پختگی کے جائزے کی واپسی ہدایت یافتہ سرمایہ کاری سے آتی ہے۔ بہتری کے بجٹ محدود ہیں۔ اندھا دھند خرچ ہوں تو وہ جو سب سے بلند ہو اسے فنڈ کرتے ہیں۔ پختگی کا جائزہ دکھاتا ہے کہ خطرے کے مقابل صلاحیت کہاں سب سے کمزور ہے، تاکہ وہی خرچ زیادہ خطرے میں کمی اور زیادہ نتائج کی بہتری خریدے۔ جائزہ خود سستا ہے، صرف دن ساختہ، شہادت پر مبنی ریویو کے، غلط تقسیم شدہ بہتری کے پروگراموں یا، بدتر، غیر دریافت شدہ صلاحیت کے خلا کی لاگت کے مقابل جو خلاف ورزی، بندش، یا ناکام آڈٹ کے طور پر سامنے آتا ہے۔

ملکیت کی کل لاگت پر، نظم و ضبط سستا ہے جب آپ اسے ہلکا رکھیں اور مہنگا جب وہ appraisal کی افسر شاہی میں سخت ہو جائے۔ غالب چھپی لاگت پختگی کا تھیٹر ہے: پختگی کا ظاہر بنانے میں خرچ ہوئی کوشش کچھ واپس نہیں دیتی اور حقیقی خطرہ چھپا سکتی ہے، جو منفی ROI ہے۔ قیادت کے سامنے دلیل رکھنے کو پختگی کو خطرے اور سرمایہ کاری کے عدسے کے طور پر پیش کریں، heat map جو “سب کچھ بہتر کریں” کو “یہ تین چیزیں پہلے بہتر کریں” میں بدلتا ہے، اور سطحوں کا ان کی خاطر پیچھا کرنے کے فتنے کے خلاف واضح بجٹ کریں۔ جہاں سطح معاہدے کے لحاظ سے لازم ہو (CMMC، CMMI) وہاں ROI براہ راست ہے: یہ اہلیت کی قیمت ہے، اور ہدف مہنگے دکھاوے کی بجائے اسے حقیقی صلاحیت سے پورا کرنا ہے۔

ضد نمونے اور خامیاں

ہدف کے طور پر سطح: عدد کا پیچھا کرنا اس صلاحیت کی بجائے جس کی وہ نمائندگی کرتا ہے۔
پختگی کا تھیٹر: appraisal کے لیے شہادت جمع کرنا جبکہ حقیقی عمل گلتا ہے۔
ایک عالمی گریڈ: واحد پختگی کا سکور جو خطرناک غیر ہمواری چھپاتا ہے۔
اونچا ہمیشہ بہتر: خطرے یا لاگت سے قطع نظر ہر صلاحیت کو سطح 5 تک دھکیلنا۔
ایک بار جانچو، پھر کبھی نہیں: ایک بار کا appraisal جسے مستقل سچ سمجھا جائے۔
الزام کے لیے ٹیموں کی درجہ بندی: پختگی کو سزا کے لیے استعمال کرنا، جو ایماندار رپورٹنگ مار دیتا ہے۔
ماڈل کی پرستش: بھاری فریم ورک کی رسم کی افادیت کے بعد بھی پیروی۔
نتائج کو نظر انداز کرنا: سیڑھی چڑھنا جبکہ ترسیل، قابل اعتمادی، یا سیکیورٹی بہتر نہ ہو۔

پختگی کا ماڈل

سطح 1، آغاز۔ پختگی کا کوئی مشترک تصور نہیں؛ صلاحیت فرض کی گئی، غیر ہموار، اور غیر ناپی ہے؛ کوئی بھی جائزہ ردعملی ہے، منصوبہ بند ہونے کی بجائے واقعے یا آڈٹ کے مطالبے سے ٹرگر۔
سطح 2، ترقی۔ چند ٹیمیں کسی پیمانے کے مقابل ایڈہاک جائزے چلاتی ہیں، لیکن ماڈل، تال، اور سختی ٹیم بہ ٹیم مختلف ہے؛ نتائج غیر مستقل استعمال ہوتے ہیں اور شہادت پتلی ہے، اس لیے ظاہر کے لیے سکور کرنے کا خطرہ ہمیشہ موجود ہے۔
سطح 3، معیار بندی۔ واحد فی صلاحیت ماڈل اور جائزے کی تال ادارے بھر دستاویزی اور لاگو ہے؛ جائزے شہادت پر مبنی ہیں، کام کرنے والے لوگوں کو شامل کرتے ہیں، اور رپورٹ کارڈ کی بجائے ترجیحی بہتری کے backlog کو کھلاتے ہیں۔
سطح 4، انتظام۔ پختگی ڈیٹا سے ناپی اور کنٹرول کی جاتی ہے: ہر صلاحیت کی سطح بنیادی خط کے مقابل ٹریک ہوتی ہے، نتیجے کی میٹرک (واقعات، lead time، تبدیلی کی ناکامی کی شرح) سے بندھی ہوتی ہے، اور مقررہ تال پر دوبارہ جانچی جاتی ہے، تاکہ بھٹکاؤ اور فراخ گریڈنگ آراء کی بجائے اعداد کے طور پر سامنے آئیں، اور ہدف خطرے اور لاگت کے مقابل فی شعبہ دانستہ طے ہوں۔
سطح 5، ہم آہنگی۔ جائزہ ادارے بھر مربوط اور مسلسل بہتر ہوتا ہے: پختگی، خطرہ، اور نتائج سرمایہ کاری کو ایک تطبیقی تصویر کے طور پر آگاہ کرتے ہیں، خطرات اور سیاق بدلنے پر اہداف دوبارہ متوازن ہوتے ہیں، جائزہ لینے والے معمول کے طور پر گھمائے یا بیرونی طور پر جانچے جاتے ہیں، اور عمل اس رسم کو فعال طور پر ریٹائر کرتا ہے جو اب اپنی لاگت نہیں کماتی۔

بحث کے لیے خیالات

آپ کی کون سی صلاحیتیں آپ شہادت کے بغیر پختہ فرض کر رہے ہیں؟
آپ کی سب سے کم پختگی آپ کے سب سے زیادہ خطرے سے کہاں ملتی ہے، اور کیا آپ کی بہتری کا بجٹ وہیں جا رہا ہے؟
کیا آپ کے ادارے میں کوئی پختگی کی سطح ہدف یا دروازہ ہے؟ اس نے کون سا رویہ پیدا کیا؟
ہر صلاحیت کے لیے درست ہدف سطح کیا ہے، اور مزید چڑھنا کہاں صرف افسر شاہی جوڑے گا؟
کیا آپ کی ٹیمیں اپنی پختگی ایمانداری سے رپورٹ کریں گی، یا سکور کا آپ کا استعمال صاف گوئی کو سزا دیتا ہے؟
جب آپ نے آخری بار “پختگی بہتر کی” تو کیا نتائج واقعی بدلے؟

اہم نکات

پختگی کا ماڈل سطحوں کی سیڑھی کے مقابل صلاحیت کو جانچتا اور بہتری کا راستہ بیان کرتا ہے: آئینہ، ٹرافی نہیں۔
فی شعبہ قائم، شہادت پر مبنی ماڈلز چنیں (CMMI، DORA، SAMM/BSIMM، CMMC)؛ ہلکا فی صلاحیت پیمانہ اکثر سب سے زیادہ قابل عمل ہے۔
ایمانداری سے، فی صلاحیت جانچیں، اور نتائج کو خطرے سے ترجیح دینے کو استعمال کریں، درجہ بندی یا الزام کو نہیں۔
اونچا ہمیشہ بہتر نہیں: ہدف سطحیں خطرے اور لاگت کے مقابل دانستہ طے کریں۔
پختگی کے تھیٹر اور Goodhart’s Law سے ہوشیار رہیں: جو سطح ہدف بن جائے وہ صلاحیت ناپنا بند کر دیتی ہے۔
اس کتاب کی مجموعی پختگی کی خود جائزہ کاری اور ہر باب کے اپنے پختگی کے حصے کے لیے باب 12.4 دیکھیں۔

حوالہ جات اور مزید مطالعہ

CMMI Institute / ISACA, Capability Maturity Model Integration (CMMI).
Watts Humphrey, Managing the Software Process (origins of software process maturity).
Nicole Forsgren, Jez Humble, Gene Kim, Accelerate (capability, not maturity-level, thinking for delivery).
OWASP, Software Assurance Maturity Model (SAMM); BSIMM (Building Security In Maturity Model).
U.S. Department of Defence, Cybersecurity Maturity Model Certification (CMMC).
TMMi Foundation, Test Maturity Model integration.
James Shore and Diana Larsen, The Agile Fluency Model.
Martin Fowler, “Maturity Model” (bliki), on their uses and abuses.