Kas yra ISO 22301 ir kodėl jis svarbus organizacijai
ISO 22301 yra tarptautinis veiklos tęstinumo vadybos sistemos standartas, padedantis organizacijai pasirengti veiklos sutrikimams, sumažinti jų poveikį ir atkurti svarbiausius procesus per iš anksto nustatytą laiką. Jis padeda pasiruošti IT sistemų sutrikimams, tiekimo grandinės problemoms, infrastruktūros gedimams, kibernetiniams incidentams ir kitiems įvykiams, galintiems reikšmingai apriboti veiklą.
Veiklos tęstinumo sistema suteikia vadovybei aiškų atsakymą, kurie procesai organizacijai yra kritiniai, kiek laiko jie gali neveikti, kokių išteklių reikia jų atkūrimui ir kas turi priimti sprendimus sutrikimo metu. Businesstage diegimo metu siekia ne sukurti formalų avarinį planą, o suformuoti praktiškai veikiančią sistemą, kuri būtų integruota į organizacijos valdymą, rizikų kontrolę ir kasdienius procesus.
Kam aktualus ISO 22301
ISO 22301 tinka įvairaus dydžio ir veiklos pobūdžio organizacijoms, kurioms svarbu užtikrinti paslaugų ar produktų prieinamumą net sutrikus įprastai veiklai. Standartas ypač aktualus finansų, IT, telekomunikacijų, gamybos, logistikos, energetikos, sveikatos priežiūros, infrastruktūros, viešojo sektoriaus ir kitoms organizacijoms, kurių veiklos sustojimas gali turėti reikšmingų finansinių, teisinių, reputacinių ar socialinių pasekmių.
ISO 22301 ypač naudingas organizacijoms, priklausomoms nuo kritinių tiekėjų, debesijos paslaugų, automatizuotos gamybos ar centralizuotų IT sistemų. Sistema padeda pasirengti ir mažos tikimybės, didelio poveikio įvykiams.
Kaip Businesstage diegia ISO 22301
Diegimą pradedame nuo organizacijos veiklos, o ne nuo standartinių planų šablonų. Įvertiname organizacijos struktūrą, paslaugas ir produktus, priklausomybes, esamas rizikų valdymo priemones, incidentų valdymo praktiką ir jau turimus tęstinumo planus. Atliekama GAP analizė leidžia nustatyti, kurie elementai jau atitinka ISO 22301 reikalavimus, kur yra svarbiausios spragos ir kokių veiksmų reikia iki pilnai veikiančios sistemos bei pasirengimo sertifikavimo auditui.
Toliau nustatome veiklos tęstinumo vadybos sistemos apimtį, atsakomybes, politiką ir valdymo principus. Procesas pritaikomas organizacijos dydžiui ir realiai rizikai, todėl dokumentacijos ir kontrolės lygis nėra dirbtinai išplečiamas.
BIA ir kritinių procesų nustatymas
Veiklos poveikio analizė BIA yra vienas svarbiausių ISO 22301 diegimo elementų. Jos metu nustatome, kurios veiklos ir procesai yra kritiniai, kokį poveikį jų sutrikimas sukeltų organizacijai ir kaip šis poveikis didėtų laikui bėgant. Vertinamas finansinis poveikis, sutartiniai ir teisiniai įsipareigojimai, klientų aptarnavimas, reputacija, darbuotojų sauga, tiekimo grandinė ir kiti organizacijai aktualūs kriterijai.
BIA metu taip pat nustatomi atkūrimo prioritetai ir tikslai, įskaitant laiką, per kurį kritinė veikla turi būti atkurta iki priimtino lygio. Įvertinamos priklausomybės nuo darbuotojų, informacinių sistemų, duomenų, patalpų, įrangos, tiekėjų, transporto, ryšio ir kitų išteklių. Ši analizė leidžia tęstinumo sprendimus grįsti faktiniu veiklos poreikiu, o ne bendromis prielaidomis.
Veiklos tęstinumo strategijos ir planai
Remiantis BIA ir rizikų vertinimu parenkamos realistiškos veiklos tęstinumo strategijos. Jos gali apimti alternatyvias darbo vietas, nuotolinį darbą, atsargines IT sistemas, duomenų atkūrimą, papildomus tiekėjus, alternatyvią įrangą, kritinių atsargų palaikymą, darbuotojų pavaduojamumą arba kitus sprendimus. Strategija turi atitikti nustatytus atkūrimo tikslus ir būti ekonomiškai pagrįsta.
Parengiami veiklos tęstinumo, incidentų valdymo ir atkūrimo planai. Juose aiškiai nustatoma, kada planas aktyvuojamas, kas vadovauja reagavimui, kokie sprendimai turi būti priimami, kaip komunikuojama su darbuotojais, klientais, tiekėjais ir kitomis suinteresuotomis šalimis. Planai turi būti praktiški, lengvai pasiekiami ir orientuoti į sprendimus, atsakomybes bei veiksmų seką.
Pratybos, testavimas ir nuolatinis gerinimas
Veiklos tęstinumo planas nėra patikimas vien todėl, kad yra parašytas. ISO 22301 reikalauja sistemingai tikrinti, ar numatytos priemonės realiai veikia. Businesstage padeda parengti pratybų ir testavimo programą, kuri gali apimti dokumentų peržiūras, stalo pratybas, ryšio grandinių testus, IT atkūrimo bandymus arba platesnius scenarijų testus.
Po kiekvienos pratybos ar realaus incidento vertinami rezultatai, nustatomos spragos ir korekciniai veiksmai. Taip organizacija didina atsparumą, o sistema papildoma vidaus auditu, vadovybės vertinamąja analize ir veiksmingumo rodikliais.
Pasirengimas ISO 22301 sertifikavimui
Prieš nepriklausomą sertifikavimo auditą patikriname, ar veiklos tęstinumo vadybos sistema ne tik dokumentuota, bet ir realiai veikia. Peržiūrime BIA, rizikų analizę, tęstinumo strategijas, planus, pratybų įrodymus, darbuotojų kompetencijas, vidaus auditą, vadovybės analizę ir nustatytų neatitikčių uždarymą. Businesstage konsultuoja ir rengia organizaciją sertifikavimui, tačiau sertifikatą išduoda nepriklausoma sertifikavimo įstaiga.
Dabartinė galiojanti standarto redakcija yra ISO 22301:2019, kuriai taikomas 2024 m. klimato veiksmų pakeitimas. Nauja ISO 22301 redakcija šiuo metu yra rengiama, todėl organizacijoms svarbu turėti tvarkingą ir veikiančią sistemą, kurią vėliau būtų galima racionaliai atnaujinti pagal galutinai paskelbtus naujos redakcijos reikalavimus.
ISO 22301 integravimas su kitomis vadybos sistemomis
ISO 22301 galima integruoti su ISO 9001, ISO IEC 27001, ISO 14001, ISO 45001 ir kitomis vadybos sistemomis. Ypač glaudus ryšys yra su ISO IEC 27001, nes daugelis organizacijų veiklos tęstinumo sprendimų priklauso nuo informacinių sistemų, duomenų, kibernetinio atsparumo ir IT paslaugų atkūrimo. Integruota sistema leidžia bendrais principais valdyti rizikas, dokumentus, kompetencijas, vidaus auditus, neatitiktis ir vadovybės analizę.
Ką organizacija gauna po diegimo
Po projekto organizacija turi aiškiai apibrėžtą veiklos tęstinumo vadybos sistemą, kritinių procesų ir priklausomybių analizę, nustatytus atkūrimo prioritetus, pasirinktus tęstinumo sprendimus ir praktinius planus. Darbuotojai supranta savo vaidmenis sutrikimo metu, o vadovybė turi struktūrą sprendimams, testavimui ir sistemos gerinimui. Tikslas yra ne vien atitikti ISO 22301 reikalavimus, bet sumažinti realią riziką, kad netikėtas įvykis ilgam sustabdys svarbiausias organizacijos funkcijas.
Dažniausiai užduodami klausimai
Taip. Sistemos apimtis ir dokumentacija turi būti proporcinga organizacijos dydžiui, procesų sudėtingumui ir veiklos sutrikimo rizikai.
Ne. IT yra svarbi dalis, tačiau ISO 22301 apima visą organizacijos gebėjimą tęsti kritines paslaugas ir procesus, įskaitant žmones, patalpas, tiekėjus, įrangą, informaciją ir kitus išteklius.
Taip. Planų testavimas ir pratybos yra būtini tam, kad organizacija galėtų įvertinti, ar numatyti sprendimai veikia praktiškai ir ar darbuotojai žino savo atsakomybes.
Ne. Businesstage diegia ir tobulina vadybos sistemą bei parengia organizaciją auditui. Nepriklausomą sertifikavimo auditą ir sprendimą dėl sertifikato priima sertifikavimo įstaiga.
Businesstage gali atlikti esamos situacijos ir GAP analizę, parengti BIA, tęstinumo strategijas, planus, pratybų sistemą ir padėti organizacijai pasirengti nepriklausomam ISO 22301 sertifikavimo auditui. Susisiekite ir įvertinsime, kokios apimties veiklos tęstinumo sistema reikalinga jūsų organizacijai.