Polityka ciągłości działania – kto powinien przygotować taki dokument?

Zachowanie ciągłości działania przedsiębiorstwa to kwestia, o którą należy zadbać nie tylko z uwagi na utrzymanie płynności finansowej i dobrego prosperowania firmy. Wchodząc we współpracę z dostawcami i kontrahentami, a także chcąc spełnić oczekiwania klientów firmy muszą dopilnować, by ewentualne problemy i incydenty nie spowodowały zatrzymania pracy całego łańcucha dostaw. Jednym z narzędzi wspomagających tworzenie solidnej strategii zarządzania ciągłością działania jest międzynarodowa norma ISO 22301, której jednym z wymogów jest stworzenie przez firmę wewnętrznej polityki ciągłości działania. Co powinien zawierać taki dokument, którzy przedsiębiorcy mają obowiązek jego przygotowania i jakie zadania powinien spełniać?

Polityka ciągłości działania zgodna z ISO 22301 – co powinna zawierać?

Rolą opracowania strategii zarządzania ciągłością działania jest takie przygotowanie się przedsiębiorstwa do możliwych incydentów, by w razie ich wystąpienia skutecznie ochronić się przed jego negatywnymi skutkami oraz zachować ciągłość działania na potrzeby utrzymania działania samej firmy oraz pozostałych elementów łańcucha dostaw. Polityka ciągłości działania zgodna z ISO 22301 będzie dokumentem obejmującym zapisy opracowanych scenariuszy i działań na wypadek wystąpienia sytuacji awaryjnych, Wykorzystywanym jako schemat postępowania w zgodzie z wdrożonym systemem zarządzania ciągłością działania.

Samo wdrożenie ISO 22301 w firmie wymaga szczegółowej analizy ryzyka i zagrożeń, rozważenia różnych scenariuszy awaryjnych, a także takiego przygotowania toku działań podejmowanych w sytuacji kryzysowej, by jej negatywny wpływ na ciągłość działania firmy został ograniczony do minimum. W polityce ciągłości działania zostaną uwzględnione osoby odpowiedzialne za określone zadania oraz schematy postępowania na wypadek pojawienia się nieoczekiwanych problemów.

W prawidłowo przygotowanej polityce ciągłości działania ujmuje się najczęściej szczegółowe  plany:

• odtworzenia infrastruktury informatycznej (Disaster Recovery Plan, DRP),
• bezpieczeństwa i dostępności pracowników,
• ochrony wizerunku organizacji,
• komunikacji w sytuacjach kryzysowych,
• zapewnienia ciągłości pracy kluczowych dostawców oraz usług outsourcingowych.

Plany opracowane w ramach polityki ciągłości działania powinny być regularnie testowane i, w razie potrzeby, aktualizowane na podstawie nowych źródeł zagrożeń.

Kto powinien przygotować politykę ciągłości działania?

Wewnętrzna polityka ciągłości działania oparta o schematy ISO 22301 jest zbiorem zasad, procedur, instrukcji i działań, dzięki którym możliwe będzie zapewnienie właściwego funkcjonowania organizacji w sytuacjach awaryjnych i kryzysowych. Nie należy zakładać, że firma będzie działała wtedy bez zakłóceń, ale polityka ciągłości działania powinna być skonstruowana tak, by możliwe było funkcjonowanie na poziomie nie gorszym, niż przyjętym w ramach akceptowalnej skali zakłóceń.

O tym, czy firma wymaga wdrożenia ISO 22301 i stworzenia polityki ciągłości działania decyduje więc najczęściej jej zarząd – obserwując współczesny rynek nie trudno wywnioskować, że polityka ciągłości działania odegra największą rolę w dużych, kluczowych przedsiębiorstwach stanowiących podstawowe ogniwo w ramach swojego łańcucha dostaw i mogące wpłynąć na przestoje nie tylko obrębie swoich odbiorców i dostawców, ale i całej branży.

Założenia normy ISO 22301 są ogólne, ale odnoszą się do wszystkich obszarów działalności firmy i wszystkich gałęzi rynku. W ostatnim czasie kładzie się jednak szczególny nacisk na jej wdrażanie w firmach korzystających już z norm ISO 27001 oraz ISO 2000-1, gdzie wymienione standardy wskazują na konieczność wdrożenia skutecznego systemu zapewniającego ciągłość działania.

Jakie cele powinny ukierunkować tworzenie polityki ciągłości działania?

Podstawowym i najważniejszym celem, jaki realizuje stworzona przez firmę polityka ciągłości działania jest możliwość opracowania na jej podstawie pełnego systemu zarządzania ciągłością działania w firmie i otrzymania dla niego certyfikatu ISO 22301. W praktyce jednak, z perspektywy firmy opracowującej i wdrażającej politykę ciągłości działania, głównym celem jej stworzenia będzie opracowanie takich planów i schematów działania w sytuacjach awaryjnych i kryzysowych, by pomimo pojawiających się problemów i zakłóceń możliwe było przynajmniej częściowe zachowanie płynności działania firmy.

Dobrze opracowana polityka ciągłości działania ma zapewnić zdolność firmy do funkcjonowania podczas masowych awarii sprzętowych, zbiorczej nieobecności pracowników (np. z powodu koniecznej kwarantanny przy zagrożeniu epidemiologicznym), przerw w dostawie prądu i energii, braku dostępu do internetu, a w przypadku firm prowadzących działalność produkcyjną, w sytuacjach kryzysowych ograniczających zdolność do wywiązywania się ze zobowiązań na rzecz kontrahentów, dostawców i klientów.