Business Impact Analysis

Analýza dopadů (BIA) je základem celého procesu řízení kontinuity činností organizace (Business Continuity Management, BCM). Sestává z technik a metod, pomocí kterých se hodnotí jaké dopady by na organizaci a další zainteresované strany mělo narušení dodávek klíčových produktů nebo služeb organizace a jejich podpůrných kritických činností. Součástí BIA je stanovení minimálních úrovní zdrojů potřebných pro obnovení kritických činností ve stanovených časech a na stanovených úrovních.

Při hodnocení dopadů na organizaci v případě narušení kritických činností se berou v úvahu spíše následky než příčiny. Dopady na organizaci a jejich vývoj v čase se posuzuje dle vhodných vodítek. Vybraná vodítka musí být vhodná pro danou organizaci; vodítka finanční instituce se budou lišit od vodítek orgánu státní správy. Vodítka pro hodnocení dopadů mohou být například finanční ztráta, dopad na dodávky služeb, poškození nebo ztráta pověsti, nesplnění zákonných nebo regulačních povinností, atd.

Závěry z analýzy dopadů společně s hodnocením rizik narušení kritických činností organizace jsou základem pro strategie řízení kontinuity činností, které umožňují identifikovat různé varianty a způsoby obnovy kritických činností organizace v požadovaných časech v případě jejich narušení.

Analýza dopadů by měla být přezkoumávána v pravidelných intervalech nebo při podstatných změnách v organizaci a prostředí, v němž organizace působí.

V průběhu analýzy dopadů (BIA) by organizace ve stanoveném rozsahu měla:

• identifikovat činnosti, které podporují dodávku jejích klíčových produktů a služeb;
• ohodnotit dopady, pokud dojde k narušení těchto činností, a vývoj těchto dopadů v čase;
• určit pro každou identifikovanou činnost maximální tolerovanou dobu narušení činnosti (Maximum Tolerable Period of Disruption, MTPD nebo také Maximum Tolerable Outage, MTO), po kterou jsou dopady pro organizaci ještě akceptovatelné, tj. po kterou ještě není životaschchopnost organizace ohrožena v případě narušení dodávek produktů nebo služeb;
• identifikovat kritické činnosti a určit priority jejich obnovy na základě předchozích kroků určení dopadu a MTPD pro jednotlivé činnosti. Za kritické činnosti lze považovat činnosti s největšími dopady v nejkratších časech. Tyto činnosti by měly být obnoveny co nejdříve;
• pro každou kritickou činnost určit lhůtu její obnovy na požadovanou (částečnou nebo plnou) úroveň (Recovery Time Objective, RTO). Nastavení RTO je na rozhodnutí vedení organizace. Pro jeho stanovení je nutné zvážit s tím spojené náklady na obnovu. Optimální hodnotou RTO může být hodnota, kdy se finanční ztráta, způsobená narušením činnosti, rovná nákladům na její obnovu. Stanovená lhůta obnovy (RTO) kritické činnosti musí být menší její identifikovaná maximální tolerované době narušení (MTPD); a
• určit minimální úroveň zdrojů potřebných k obnově každé kritické činnosti. Zdroje mohou například zahrnovat lidi, budovy, technologie, informace či dodávky služeb.