Κεφάλαιο 3. Σύστημα Διαχείρισης Επιχειρηματικής Συνέχειας
• Τι είναι ένα ΣΔΕΣ (Σύστημα Διαχείρισης Επιχειρηματικής Συνέχειας)
• Ξεκινώντας
• Πολιτική ΣΔΕΣ έναντι προγράμματος ΣΔΕΣ: Ποια είναι η διαφορά;
• Όλοι στην ίδια κατεύθυνση
• Συνοψίζοντας
• Μάθετε τι είναι τι
• Πώς μπορώ να ποσοτικοποιήσω το επίπεδο κρισιμότητας μιας διαδικασίας;
• Πώς να εκτελέσετε την Ανάλυση Επιχειρησιακού Αντίκτυπου
• Μετά την Ανάλυση Επιχειρησιακού Αντίκτυπου, η Ανάλυση Απαιτήσεων Συνέχειας (ΑΑΣ)
• Τέλος, η Εκτίμηση Απειλής
• Μάθετε τι είναι τι (Βήμα προς Βήμα)
• Πώς να φτάσετε από το σημείο A στο σημείο B
•Σχέδια, σχέδια και τίποτα άλλο πέρα από σχέδια
• Δοκιμάστε τα πάντα για να δείτε αν λειτουργεί
Τι είναι ένα ΣΔΕΣ;
Ένα ΣΔΕΣ είναι το σύνολο των οργανωμένων πρακτικών που προωθούν και διατηρούν όλες τις απαιτούμενες δραστηριότητες για τη διασφάλιση της συνεχούς παράδοσης των προϊόντων ή των υπηρεσιών ενός οργανισμού.
Το ISO 22301: 2019 είναι το κύριο διεθνές πρότυπο που καθορίζει τις απαιτήσεις για ένα επαρκές και λειτουργικό ΣΔΕΣ, αλλά υπάρχουν και πολλές άλλες εφαρμογές στην αγορά που δείχνουν πώς να προσαρμόσετε ένα στη δική σας οργάνωση.
Το ISO 22313: 2020 επεξεργάζεται το περιεχόμενο του ISO 22301, αλλά δείτε παρακάτω τα γενικά βήματα για την εφαρμογή όπως σχεδιάστηκε από το Ινστιτούτο Επιχειρησιακής Συνέχειας.
Ξεκινώντας
Κάθε ΣΔΕΣ πρέπει να λαμβάνει επαρκή υποστήριξη και πόρους για να είναι αποτελεσματικό. Μόνο η ανώτατη διοίκηση του οργανισμού μπορεί να εξασφαλίσει ότι αυτό ισχύει και στην αρχή και κατά την διάρκεια της παρόδου του χρόνου.
Κατά συνέπεια, η ανώτατη διοίκηση πρέπει να βεβαιωθεί ότι δεν υπάρχει αμφιβολία σχετικά με την απάντηση στα ακόλουθα τέσσερα ερωτήματα:
1. Ποιος είναι ο σκοπός του ΣΔΕΣ;
2. Ποιος είναι υπεύθυνος για το ΣΔΕΣ;
3. Ποιοί είναι οι στρατηγικοί και επιχειρησιακοί του στόχοι;
4. Είναι η οργανωτική κουλτούρα έτοιμη να αποδεχθεί το ΣΔΕΣ;
Πολιτική ΣΔΕΣ έναντι προγράμματος ΣΔΕΣ:
Ποια είναι η διαφορά;
Πολλοί οργανισμοί συγχέουν την Πολιτική ΣΔΕΣ του οργανισμού με το Πρόγραμμα ΣΔΕΣ. Πράγματι, είναι αρκετά συνηθισμένο οι οργανώσεις να ορίζουν ένα έγγραφο το οποίο τους έχει γίνει κατανοητό ως το πρόγραμμά του ΣΔΕΣ αλλά να το αποκαλούν πολιτική του ΣΔΕΣ τους.
Στην πραγματικότητα, τα δύο αυτά έγγραφα είναι πολύ διαφορετικά.
«Αν δεν ξέρεις πού πας,
θα καταλήξεις κάπου αλλού». – Γιόγκι Μπέρα
Όλοι στην ίδια κατεύθυνση
Μόλις το ΣΔΕΣ είναι επαρκώς στοιχειοθετημένο και προωθημένο, προσπάθειες πρέπει να γίνουν για να εξασφαλιστεί ότι η κουλτούρα και οι άνθρωποι του οργανισμού είναι έτοιμοι να απορροφήσουν και να διατηρήσουν το νέο σύστημα διαχείρισης.
Οι βασικοί στόχοι αυτής της φάσης είναι:
1. Διασφάλιση ότι όλοι μιλάνε μια κοινή επιχειρησιακή Γλώσσα
2. Ανάπτυξη συνειδητοποίησης 360° των ρόλων του προσωπικού μέσα στο ΣΔΕΣ
3. Ενσωμάτωση της Επιχειρησιακής Συνέχειας στις καθημερινές δραστηριότητες.
Υπάρχουν πολλοί τρόποι για να γίνει αυτό.
Η ενσωμάτωση της Επιχειρησιακής Συνέχειας σε έναν οργανισμό είναι μια συνεχής προσπάθεια. Όπως κάθε άλλη πρακτική διαχείρισης, πρέπει να συντηρείται τακτικά.
Εάν συντηρηθεί σωστά, υπάρχουν αρκετά μακροπρόθεσμα συνακόλουθα οφέλη που μπορεί να αποφέρει στον οργανισμό η Επιχειρησιακή Συνέχεια.
Μάθετε τι είναι τι
Κατά την φάση της ανάλυσης, η επιχείρηση διεξάγει αυτό που ονομάζεται Ανάλυση Επιχειρησιακού Αντίκτυπου (BIA) για να προσδιοριστούν:
1. Οι κρίσιμες διαδικασίες οργάνωσης
2. Οι προτεραιότητες ανάκαμψής της (μεταξύ κρίσιμων διαδικασιών, ποιες είναι πιο κρίσιμες από άλλες;)
3. Οι συνεχείς απαιτήσεις πόρων, εννοώντας τα απαραίτητα εργαλεία και τα στοιχεία που απαιτούνται για να συνεχιστεί η απόδοση της διαδικασίας στα ελάχιστα αποδεκτά επίπεδα μετά από διαταραχή
Κατά τη διάρκεια της Ανάλυσης Επιχειρησιακού Αντίκτυπου, οι υποκειμενικές απόψεις δεν πρέπει να λαμβάνονται υπόψη για να καταστούν τα αποτελέσματα όσο το δυνατόν πιο αντικειμενικά και συγκρίσιμα.
Πώς μπορώ να ποσοτικοποιήσω το επίπεδο κρισιμότητας
μιας διαδικασίας;
Η Ανάλυση Επιχειρησιακού Αντίκτυπου πρέπει να είναι όσο το δυνατό πιο αντικειμενική. Αυτό απαιτεί ειδικά για τα επίπεδα κρισιμότητας να υπάρχει ένα μετρήσιμο κριτήριο που να επιτρέπει στον οργανισμό να διακρίνει μεταξύ κρίσιμων και μη διαδικασιών, όπως και μεταξύ περισσότερων και λιγότερων κρίσιμων διαδικασιών.
Αυτό το κριτήριο είναι συχνά γνωστό ως RTO ή χρόνος ανάκτησης στόχου. Η κρισιμότητα μιας διαδικασίας ορίζεται ως το χρονικό διάστημα που μπορεί να ανεχθεί ο οργανισμός τη διακοπή του στο χειρότερο σενάριο πριν οι επιπτώσεις στην επιχείρηση γίνουν μη αποδεκτές.
Ο οργανισμός μπορεί επομένως να καθορίσει τι αποτελούν αποδεκτές και μη αποδεκτές επιπτώσεις και χρονοδιαγράμματα («κατώφλια επιπτώσεων») και, κατά συνέπεια, να εξάγει μια κλίμακα RTO που μπορεί να εφαρμοστεί κατά την ανάλυση.
Πώς να εκτελέσετε την Ανάλυση Επιχειρησιακού Αντίκτυπου
Κάθε οργανισμός θα έχει τον δικό του μοναδικό τρόπο να διεξάγει μια Ανάλυση Επιχειρησιακού Αντίκτυπου, αλλά οι περισσότεροι οργανισμοί ξεκινούν δείχνοντας τα αποτελέσματα των επιπτώσεων σε έναν κάτοχο και ρωτώντας τον: εάν δεν μπορούσατε να ολοκληρώσετε τις τακτικές σας δραστηριότητες με βάση το χειρότερο σενάριο (όπως σε περιόδους αιχμής) για μεγάλο χρονικό διάστημα, ποιες θα ήταν οι επιπτώσεις στον οργανισμό;
Είναι σημαντικό να βοηθήσετε τον κάτοχο της διαδικασίας κατά την αξιολόγησή του, λαμβάνοντας υπόψη τις ακόλουθες συμβουλές:
1. Μην λάβετε υπόψη την πιθανότητα διαταραχής
2. Μην εξετάζετε τρέχουσες ενεργές στρατηγικές/τακτικές συνέχειας
3. Μην εξετάζετε τα τρέχοντα ενεργά σχέδια ανάκαμψης
Ο ιδιοκτήτης της διαδικασίας πρέπει να αξιολογήσει τον «μεγάλο» αντίκτυπο στον οργανισμό, τόσο για να αξιολογήσει την αποτελεσματικότητα των υφιστάμενων στρατηγικών/τακτικών/σχεδίων όσο και για να διασφαλίσει ότι οι πραγματικά κρίσιμες διαδικασίες –αυτές που τείνουν να προστατεύονται ήδη– έχουν την κατάλληλη προτεραιότητα.
Μετά την Ανάλυση Επιχειρησιακού Αντίκτυπου, η Ανάλυση Απαιτήσεων Συνέχειας (ΑΑΣ)
Μετά την επίτευξη καλής κατανόησης των κρίσιμων διαδικασιών μιας επιχείρησης, το επόμενο βήμα είναι να γίνει η Ανάλυση των Απαιτήσεων της Συνέχειας (ΑΑΣ). Ο οργανισμός πρέπει να καταλάβει τι χρειάζεται να χειριστεί η κάθε κρίσιμη επεξεργασία ώστε, όταν έρθει η ώρα,να μπορούν να αναπτυχθούν αποτελεσματικές στρατηγικές για να διασφαλιστεί ότι θα είναι διαθέσιμοι πόροι σε περίπτωση συμβάντος ή αποδιοργάνωσης.
Τα ακόλουθα είναι κοινές απαιτήσεις συνέχειας που οι ιδιοκτήτες χρειάζεται να αναλύσουν λεπτομερώς κατά την φάση της ανάλυσης.
Τέλος, η Εκτίμηση Απειλής
Η τελευταία δραστηριότητα που η επιχείρηση χρειάζεται να εκτελέσει είναι να εντοπίσει μεμονωμένα σημεία αποτυχίας και απαράδεκτων επιπέδων κινδύνου που συνδέονται με τις κρίσιμες διαδικασίες.
Μάθετε τι είναι τι (Βήμα προς Βήμα)
Πώς να φτάσετε από το σημείο A στο σημείο B
Η ανάλυση παρέχει τις πληροφορίες. Η φάση του σχεδιασμού είναι εκείνη όπου ο οργανισμός προσπαθεί να «σχεδιάσει» στρατηγικές και λύσεις για να βεβαιωθεί ότι:
1. Οι προτεραιότητες ανάκαμψης πληρούνται
2. Οι απειλές και τα τρωτά σημεία μετριάζονται
3. Οι απαιτήσεις πόρων είναι εφαρμόσιμες/εκτελέσιμες
Για να γίνει αυτό, ο οργανισμός πρέπει να συγκρίνει τους στόχους του με τους διαθέσιμους πόρους του για να διασφαλίσει ότι οποιοδήποτε εγκεκριμένο μέτρο είναι ρεαλιστικό, αποτελεσματικό και δεν έρχεται σε αντίθεση με άλλες υπάρχουσες ή προτεινόμενες στρατηγικές.
Οι στρατηγικές και οι λύσεις που ένας οργανισμός θα σχεδιάσει και θα επιλέξει, στις περισσότερες περιπτώσεις, θα συσχετίζονται με τις προτεραιότητες ανάκαμψης που προσδιορίζονται στην ανάλυση.
Συγκεκριμένα, είναι σημαντικό οι επιβεβαιωμένοι RTO να είναι ρεαλιστικοί και υπάρχουν διάφορες στρατηγικές που το διασφαλίζουν αυτό.
Σχέδια, σχέδια και τίποτα άλλο πέρα από σχέδια
Όταν η οργάνωση αναγνωρίσει τις στρατηγικές και τις τακτικές της Επιχειρησιακής Συνέχειάς της, θα πρέπει να καθορίσει ακριβώς την υλοποίηση τους σε σχέδια Επιχειρησιακής Συνέχειας (ΣΕΣ).
Τα επιτυχημένα ΣΕΣ έχουν αρκετές κοινές ιδιότητες:
1. Είναι συνοπτικά, προσαρμόσιμα και σχετικά
2. Είναι πρακτικά έγγραφα, φτιαγμένα για χρήση, όχι απλώς για ανάγνωση
3. Είναι συνεχώς ενημερωμένα και δοκιμασμένα
Τα ΣΕΣ μιας επιχείρησης θα πρέπει να είναι ανεξάρτητα σενάρια, και να μην εστιάζουν στην επίλυση της αιτίας μιας επιχειρησιακής διακοπής, αλλά να διασφαλίζουν ότι ο οργανισμός είναι έτοιμος να αντιδράσει σε:
• Απώλεια τοποθεσίας
• Απώλεια προσωπικού
• Απώλεια πληροφορίας/τεχνολογίας
• Απώλεια προμηθευτή/προμήθειας
Δοκιμάστε τα πάντα για να δείτε αν λειτουργεί
Το τελευταίο βήμα ενός αποτελεσματικού ΣΔΕΣ είναι η φάση επικύρωσης, όπου ο οργανισμός πρέπει να κάνει «stress test» στις δομές διαχείρισης Επιχειρησιακής Συνέχειας και να δει πού είναι αποτελεσματικές και πού μπορούν να βελτιωθούν.
Η Επιχειρησιακή Συνέχεια είναι ένας κύκλος συνεχούς βελτίωσης. Τα μαθήματα διδάσκονται κάθε χρόνο, σε κάθε κύκλο, και τα συμπεράσματά τους πρέπει να ενσωματώνονται επαναληπτικά.
Δεν είναι απαραίτητο να γίνουν όλα σωστά την πρώτη φορά. Ούτε είναι καλό. «Μια άσκηση που δεν βρίσκει ελαττώματα είναι μία τέλεια αποτυχία». Υπάρχουν πάντα τομείς που μπορούν να βελτιωθούν και αν οι ασκήσεις ενός οργανισμού δεν τους προσδιορίζουν, σημαίνει ότι οι ίδιες οι ασκήσεις δεν είναι αποτελεσματικές.
