Opracowywanie programu ćwiczeń w ramach ciągłości działania organizacji wg ISO 22301

Czy zastanawiałeś się kiedyś, co by się stało, gdyby niespodziewane wydarzenie zakłóciło działalność Twojej firmy? Może to być coś poważnego, jak katastrofa naturalna, czy problem technologiczny, jak awaria systemu. W takich sytuacjach BCP, czyli Business Continuity Plan, wchodzi do gry. Ale co to właściwie jest BCP? Odpowiedź na to pytanie jest ważniejsza, niż mogłoby się wydawać. Jednakże nie to będzie przedmiotem artykułu, a jego sprawdzenie. Bo nawet jeżeli opracujesz sobie plan powrotu do funkcjonowania firmy po jakimś zakłóceniu, to taki plan trzeba przetestować , przećwiczyć aby sprawnie, w terminie przywrócić biznesowi jego normalny tryb.

Dlaczego potrzebne jest przetestowanie planów ciągłości działania?

W świecie biznesu, pełnym nieprzewidywalności, nie możemy po prostu przyjąć, że nasze procedury zapewniające ciągłość działania są niezawodne, skuteczne i solidne, dopóki nie zostaną one starannie wdrożone, a ich efektywność nie zostanie regularnie monitorowana i utrzymana. Żaden plan nie jest doskonały od razu. Dopracowanie go wymaga czasu, systematyczności i doświadczenia. Właśnie tutaj na scenę wkraczają ćwiczenia. Odgrywają one kluczową rolę w kształtowaniu synergii zespołowej, rozwijaniu kompetencji, budowaniu pewności siebie oraz wiedzy. Zakres ćwiczeń powinien być na tyle szeroki, aby obejmować wszystkie osoby, które mogą być zobligowane do korzystania z tych procedur w trudnych momentach. A może pomóc nam w tym norma ISO 22398 – Bezpieczeństwo powszechne – wytyczne dotyczące ćwiczeń, która stanowi rozwinięcie wymagania 8.5 normy ISO 22301 – Bezpieczeństwo i odporność — Systemy Zarządzania Ciągłością Działania — Wymagania.

Dobrze jest zrozumieć, że różne rodzaje ćwiczeń mogą dostarczać różnego rodzaju wartości. Istnieje wiele typów ćwiczeń, które mogą być wykorzystane w zależności od specyfiki organizacji, jej wymagań, oraz od tego, co chcemy osiągnąć.
1. Ćwiczenia stołowe (Table-top): Te ćwiczenia odbywają się w kontekście konferencyjnym i polegają na dyskusji na temat specyficznych scenariuszy. Są doskonałym sposobem na zrozumienie i ocenę naszych planów i strategii bez konieczności przechodzenia przez pełne symulacje.
2. Ćwiczenia symulacyjne (Walk-through): Ćwiczenia te są bardziej interaktywne i zobowiązują uczestników do wykonania konkretnych zadań i czynności zgodnie z założonymi planami i procedurami.
3. Ćwiczenia pełnoskalowe (Full-scale): To najbardziej kompleksowe ćwiczenia, które symulują rzeczywiste sytuacje awaryjne, zobowiązując uczestników do reagowania na nie tak, jakby były prawdziwe. Te ćwiczenia są najbardziej intensywne i dostarczają najwięcej wartości, ale są również najbardziej zasobożerne.

Kolejnym krokiem jest tworzenie programu ćwiczeń.

Ćwiczenia, szczególnie te dobrze przemyślane, solidne i pragmatyczne, umożliwiają identyfikację potencjalnych obszarów do udoskonalenia. Nawet w najbardziej starannie zaprojektowanych procedurach zawsze znajdą się miejsca, które można usprawnić. W tym kontekście, organizacja powinna stworzyć program ćwiczeń, który z biegiem czasu potwierdzi efektywność jej strategii, rozwiązań oraz planów i procedur zapewniających ciągłość działania.

Ten program powinien być elastyczny, uwzględniając zmiany w organizacji oraz wyniki wcześniejszych ćwiczeń. Istotne jest zrozumienie, że każda organizacja jest dynamiczna, a jej struktura, potrzeby i wyzwania mogą się zmieniać. Duże zmiany w strukturze organizacji mogą skutkować potrzebą zaplanowania ćwiczeń, które pozwolą na zbadanie nowych ustaleń i strategii.

Nie zapominajmy, że program ćwiczeń powinien uwzględniać rolę wszystkich stron zaangażowanych w procesy organizacji – nie tylko wewnętrznych pracowników, ale również zewnętrznych dostawców, partnerów i innych podmiotów, od których oczekuje się udziału w działaniach związanych z odzyskiwaniem danych. Możemy zaprosić takie podmioty do udziału w naszych ćwiczeniach, ale równie dobrze możemy uczestniczyć w ćwiczeniach organizowanych przez nich.
Skupmy się teraz na szczegółach. Program ćwiczeń powinien zawierać następujące elementy w celu zapewnienia efektywnego i wydajnego prowadzenia ćwiczeń w określonych ramach czasowych:

1. Analiza potrzeb – jakie umiejętności i kompetencje muszą zostać wykształcone?
2. Zatwierdzenie przez najwyższe kierownictwo – bez ich akceptacji i wsparcia program nie ma szans na powodzenie.
3. Jasno określone cele – co dokładnie chcemy osiągnąć dzięki temu programowi?
4. Zakres, liczba, rodzaje, czas trwania, lokalizacje i harmonogramy ćwiczeń – te szczegóły zdecydują o przebiegu programu.
5. Odpowiedni personel do wsparcia programu – zespół odpowiedzialny za program musi być odpowiednio doświadczony i kompetentny.
6. Niezbędne zasoby i budżet – bez odpowiedniego finansowania, program nie będzie mógł funkcjonować prawidłowo.
7. Procesy związane z poufnością, bezpieczeństwem informacji, zdrowiem i bezpieczeństwem oraz innymi podobnymi kwestiami – te elementy są kluczowe dla zachowania integralności programu.

Z czasem program ćwiczeń powinien dawać pewność, że ogólna reakcja organizacji na różnego rodzaju sytuacje kryzysowe będzie efektywna. Po wdrożeniu, program powinien obejmować techniczne, logistyczne, administracyjne, proceduralne i inne operacyjne aspekty procedur. Powinien zapewniać, że wszystkie osoby odpowiedzialne za realizację procedur (w tym osoby z organizacji zewnętrznych) wykonują swoje obowiązki. Powinien także korzystać z ustaleń dotyczących ciągłości działania i infrastruktury (w tym np. centrów dowodzenia i obszarów roboczych), zatwierdzać procesy odzyskiwania technologii i telekomunikacji, w tym dostępność i relokację personelu. Program powinien także tworzyć zespoły reagujących na skutki zakłóceń w łańcuchu dostaw.

Oczywiście, nie wystarczy stworzyć i wdrożyć program – musimy go monitorować, analizować i ulepszać. Organizacja powinna monitorować i mierzyć realizację programu ćwiczeń, aby zapewnić osiągnięcie jego celów. Program powinien zostać poddany regularnym przeglądom, aby określić możliwości ulepszeń, a także skorygować wszelkie błędy lub niedociągnięcia. Takie cykliczne podejście umożliwi nam ciągłe doskonalenie naszych procedur, dzięki czemu z czasem staną się one naszą praktyką, kompetencją, odruchem warunkowym.

Jakie są korzyści z przeprowadzania ćwiczeń BCM?

Ćwiczenia BCM pozwalają na praktyczne zastosowanie planów i procedur, umożliwiając personelowi zapoznanie się z ich treścią, zrozumienie ich celów, a także zdobycie doświadczenia w ich realizacji. Pozwala to na wyeliminowanie ewentualnych błędów i niedociągnięć w planach, a także na wykrycie potencjalnych obszarów do poprawy.

Ćwiczenia te mogą także znacznie podnieść poziom świadomości personelu na temat ciągłości działania oraz zwiększyć ich zaangażowanie w ten proces. Im bardziej pracownicy są świadomi swoich ról i obowiązków w kontekście ciągłości działania, tym lepiej będą w stanie zareagować w sytuacji rzeczywistego kryzysu.
Nie można także zapominać o aspekcie motywacyjnym – ćwiczenia BCM mogą stworzyć poczucie odpowiedzialności i zobowiązania wśród pracowników, które mogą zwiększyć ich motywację do wykonania swoich obowiązków w najwyższej możliwej jakości.

Kolejnym ważnym elementem jest możliwość testowania naszej infrastruktury technologicznej. Ćwiczenia BCM dają nam okazję do sprawdzenia, czy nasze systemy informatyczne, sprzęt i oprogramowanie są w stanie sprostać wyzwaniom, które mogą nadejść podczas prawdziwego incydentu. Pozwala to na zidentyfikowanie potencjalnych punktów awarii, które można następnie poprawić.

Podsumowując, ćwiczenia BCM są niezwykle istotne dla utrzymania ciągłości działania w organizacji. Pomagają one w ocenie skuteczności naszych planów i procedur, zwiększają zaangażowanie i świadomość personelu, umożliwiają testowanie naszej infrastruktury technologicznej i dają nam pewność, że jesteśmy przygotowani na ewentualne kryzysy. Przygotowanie programu ćwiczeń i jego regularne przeprowadzanie to zatem zadanie, które nie powinno być pomijane.

Więcej informacji znajdziesz na naszej stronie: https://coe.biz.pl