Business Continuity Management

Řízení kontinuity činností ustanovuje strategický a provozní rámec přiměřený potřebám a cílům organizace, který směřuje k aktivnímu zvyšování odolnosti organizace proti narušení výroby klíčových produktů anebo ztrátě služeb organizace. Organizace mohou být narušeny z mnoha důvodů. Narušení mohou být předvídatelná (jako například ztráta budovy v důsledku požáru či povodně, atd.) nebo nepředvídatelná (například výpadek proudu, zemětřesení, teroristické aktivity, atd.). Řízení kontinuity činností organizace není pouze o nápravě následků způsobených těmito incidenty či haváriemi. Je to také o prevenci jak předejít těmto krizovým a havarijním situacím a o ustanovení takové kultury v rámci organizace, která se snaží vybudovat větší odolnost za účelem zajištění kontinuity dodávky produktů a služeb klientům a zákazníkům.

V roce 2006 byla ve Velké Británii vydána britským normalizačním institutem (British Standards Institute, BSI), ve spolupráci s Business Continuity Institute (BCI) vůbec první norma pro oblast BCM BS 25999, s cílem stanovit jednotný standard správné praxe a uspokojit přitom potřeby zákazníků, klientů, vlády, regulátorů a všech ostatních zainteresovaných stran.

Pod označením BS 25999 se rozumí dvojice norem, která poskytuje doporučení a požadavky pro oblast řízení kontinuity činností organizace. První část standardu BS 25999-1:2006 „Code of practice for business continuity management“ stanovuje základní principy a poskytuje doporučení pro implementaci BCM v organizaci. Základem této části standardu se stala veřejně dostupná specifikace PAS 56 (Publicly Available Specification) „Guide to Business Continuity Management“, kterou vydal BSI již v roce 2003.

V roce 2007 byla publikována druhá část tohoto nového standardu, BS 25999-2:2007 „Specification for business continuity management“ , která poskytuje požadavky pro certifikaci systémů řízení kontinuity činností (Business Continuity Management System, BCMS).

Životní cyklus BCM

BCM podle doporučení BS 25999-1:2006 může být implementován ve všech organizacích bez ohledu na jejich velikost nebo oblast podnikání. Základem životního cyklu BCM (viz obrázek) je řízení programu BCM, které je bráno jako kontinuální proces.

Efektivní ustanovení a řízení programu BCM je závislé na podpoře vrcholového vedení organizace, demonstrované stanovením rozsahu a cílů BCM a publikací politiky. Viditelný závazek vedení je demonstrován i vyčleněním odpovídajících zdrojů k ustanovení a řízení BCM a přidělení povinností a odpovědností v oblasti kontinuity činností. Organizace musí zabezpečit, aby pracovníci, kterým byly přiděleny nové odpovědnosti, byli způsobilí plnit požadované úkoly.

Konečnou odpovědnost za fungování organizace, tedy i za řízení kontinuity činností organizace má vrcholové vedení organizace. Měl by být určen člen vrcholového vedení, kterému bude přidělena celková odpovědnost za kompletní program řízení kontinuity činností. Důležitým prvkem řízení kontinuity činností je i vytvoření a upevňování kultury BCM v rámci organizace a ustanovení a posilování povědomí o důležitosti a významu řízení kontinuity činností. Jedním ze způsobů jak toho v praxi dosáhnout je vytvoření programu školení a zvyšování povědomí o BCM.

Dále popsané kroky životního cyklu se týkají samotné implementace BCM v organizaci.

Cílem tohoto kroku je:

• identifikace kritických činností, procesů a zdrojů, které podporují klíčové produkty nebo služby organizace;
• provedení tzv. analýzy dopadů (Business Impact Analysis, BIA), pomocí které se hodnotí, jaké dopady v čase by na organizaci a další zainteresované strany mělo narušení dodávek klíčových produktů nebo služeb. Klíčovými výstupy analýzy pro další kroky implementace BCM jsou stanovené maximální tolerované doby narušení procesu / činnosti (Maximum Tolerable Period of Disruption, MTPD nebo také Maximum Tolerable Outage, MTO), cílové doby obnovy (Recovery Time Objectives, RTO) spolu s minimální požadovanou úrovní funkčnosti služeb (Level of Business Continuity, LBC);
• provedení hodnocení rizik (Risk Assessment) ve vztahu ke zdrojům využívaných v identifikovaných kritických činnostech. Organizace by si měla zvolit vhodnou metodiku hodnocení rizik vyhovující jejím požadavkům, která umožní organizaci porozumět hrozbám působící na tyto zdroje, zranitelnostem těchto zdrojů a dopadu na organizaci, pokud hrozby využijí tyto zranitelnosti a způsobí incident s následkem narušení / přerušení činností;
• vybrání vhodných opatření pro zvládání rizik, která jsou navržena ke snížení pravděpodobnosti narušení, zkrácení doby narušení činností a k omezení dopadu narušení na klíčové produkty a služby organizace.

Časový přehled reakce na incident

S ohledem na výsledky předchozího kroku „Porozumění činnosti organizace“ jsou navrženy vhodné strategie kontinuity, které umožňují identifikovat různé varianty a způsoby obnovy kritických činností organizace v jejich požadovaných časech v případě jejich narušení. Tyto strategie by měly být schváleny vrcholovým vedením organizace.

Cílem tohoto kroku je:

• vytvořit strategii reakcí na incidenty. Každá organizace by měla mít zavedeny postupy na zvládání incidentů, aby byla schopna udržet kontrolu nad vzniklou situací a případně zajistila dosažení požadovaných úrovní kontinuity činností aktivací plánů obnovy, pokud by došlo k narušení kritických činností. Časový přehled pro reakci (viz obrázek níže) popisuje postupnou aktivaci plánu na zvládání incidentu, plánu kontinuity a plánu obnovy.
• určit, jak bude obnovena každá kritická činnost v rámci cílové doby obnovy (RTO), a definovat k tomu potřebné zdroje. Při tom je nutné vzít v úvahu maximální přijatelnou dobu narušení (MTPD, MTO) pro každou činnost, náklady na implementaci strategie a důsledky nečinnosti. Při stanovení strategií je nutné zvážit, jak budou zapojeny klíčové zdroje, např. lidé, finance, provozovny, technologie, informace a služby.

Při přípravě strategií se doporučuje zvážit dále uvedené čtyři základní scénáře:

• • zamezení přístupu do prostor (např. v případě hrozby bombového útoku);
  • nedostatek pracovníků (např. virové pandemie);
  • selhání technologií a podpůrných zařízení;
  • selhání klíčového poskytovatele služeb.

Pro realizaci jednotlivých strategií je vždy nezbytné identifikovat typ a množství zdrojů potřebných k jejich dosažení. Určit, jak budou v době narušení zvládány vztahy se všemi zúčastněnými stranami. Zvláštní důraz by měl být kladen na komunikaci s vlastními pracovníky a médii.

Tato část životního cyklu BCM souvisí s vytvořením a implementací vhodných a přiměřených plánů (postupů), jejichž cílem je umožnit organizaci, aby v případě narušení kritických činností udržela nebo v co nejkratším čase obnovila své procesy na požadovanou provozní úroveň (LBC).

Menší organizace mohou využívat pouze jeden plán kontinuity, zatímco ve větších organizacích může existovat celá řada vzájemně propojených plánů, které pokrývají řízení incidentu, kontinuitu činností a řízení obnovy (viz obrázek Časový přehled reakce na incident).

Při sestavování plánů je důležité, aby byly do tohoto procesu zapojeny všechny dotčené složky organizace. Jednotlivé plány kontinuity by měly identifikovat činnosti a zdroje potřebné pro hladké zvládání nastalých krizových situací. Každý plán by měl jasně specifikovat podmínky své aktivace, a stejně tak identifikovat osoby s odpovědností za vykonávání každého bodu plánu. Každý plán musí mít stanoveného vlastníka a měl by být přístupný všem pracovníkům, od nichž se vyžaduje, aby jej použili. Každý plán by měl minimálně obsahovat následující informace:

• Účel a rozsah
• Role a odpovědnosti
• Podmínky a postupy aktivace plánu
• Alternativní lokality
• Přehled úkolů a činností - co se má udělat, kdy, kde a v jakém pořadí
• Umístění alternativních zdrojů
• Důležité kontaktní údaje
• Další potřebné údaje a informace

Vytvořené plány musí organizace testovat a tím se ujistit, že jsou úplné, reálné a funkční. Testování odhaluje nesouvislosti a opomenutí v plánech dříve, než jsou použity v případě nastalé havárie. Testování a nacvičení plánů zároveň slouží k proškolení těch pracovníků, kterým jsou v plánech kontinuity přiřazeny role.

Testování a revize plánů by měly probíhat v pravidelných intervalech, dle harmonogramu schváleného vrcholovým vedením organizace, nebo vždy když v organizaci dojde k významným změnám, které mohou ovlivnit kontinuitu činností. Testování by nemělo ohrozit organizaci tím, že by samo způsobilo narušení. Testování musí být praktické a ekonomické, přiměřené organizaci a navržené tak, aby budovalo důvěru ve vytvořené plány. Testování plánů musí být řízeno na základě vhodných scénářů, které jsou uzpůsobeny potřebám organizace. Scénáře mohou zahrnovat různé typy kontrol úplnosti plánů, až po simulace havarijních situací.

Průběh každého testu musí být detailně zaznamenán, veškeré činnosti a výsledky testů musí být následně přezkoumány. Plány kontinuity musí vždy postihovat aktuální změny ve společnosti. Při změnách v organizaci ovlivňující kontinuitu kritických činností může být nezbytné opakovat analýzu dopadů (BIA) a znovu ohodnotit kritické činnosti, podpůrné procesy a zdroje.