Тестирование плана обеспечения непрерывности бизнеса

Аудит обеспечения непрерывности бизнеса

Практические аспекты на примере пандемии

О необходимости планирования непрерывности бизнеса знают все. И пандемия показала, насколько эффективно этот инструмент антикризисного менеджмента работает в различных организациях. Михаил Чехлов, член ассоциации «Институт внутренних аудиторов», ведущий аудитор отдела методологии, финансового и операционного аудита департамента внутреннего аудита ПАО «Аэрофлот», рассказал о том, что обычно компании понимают под непрерывностью бизнеса и почему они ошибаются, а также о том, как спланировать соответствующие действия в условиях пандемии.

Быть готовыми ко всему

В ходе планирования деятельности компании оценивают эффективность планов обеспечения непрерывности бизнеса и аварийного восстановления. В свою очередь внутренние аудиторы проводят оценку эффективности этих планов.

На заметку

Непрерывность бизнеса — это способность организации к восстановлению критичных для ее деятельности процессов в течение заданного периода времени.

План обеспечения непрерывности бизнеса — это документ, который описывает, как организация предполагает функционировать во время и после возникновения кризисной ситуации. Он позволяет восстановить бизнес-процессы компании настолько скоро, насколько это необходимо для продолжения бизнеса.
В различных компаниях по-разному понимают то, каким должен быть процесс обеспечения непрерывности бизнеса:

• Некоторые считают, что он затрагивает только сегмент ИТ. Если восстановлены информационная инфраструктура и данные, значит непрерывность бизнеса компании обеспечена. Действительно, учитывая возросшую важность ИТ-обеспечения, скорейшее восстановление ИТ-процессов является критическим фактором выживания для многих видов бизнеса.
• Другие компании воспринимают непрерывность бизнеса как работу «пожарной команды». В рамках этого процесса они проводят учения. Моделируется некая неблагоприятная ситуация , которая может повлечь за собой разрушения или жертвы, и в плане предлагается сценарий реагирования на нее. Но упускается само понятие продолжения бизнеса. Например, не учитываются сроки, в течение которых необходимо восстановить критические бизнес-процессы.

Оба подхода являются лишь составными частями процесса обеспечения непрерывности бизнеса

В случае, если чрезвычайная ситуация затянется, организации придется находить решения по функционированию в долгосрочной перспективе. Текущая ситуация с пандемией — яркий пример. И преимущество здесь имеют организации, сумевшие адаптироваться к непростым условиям.

Пандемия и непрерывность бизнеса

В соответствии с докладом Международного торгового центра (Centre du commerce international (CCI)) от 22 июня 2020 года, из-за глобального сбоя производственно-сбытовых цепочек мировая экономика потеряла по меньшей мере 126 миллиардов долларов. Согласно ежегодному докладу бизнес-омбудсмена Бориса Титова, пандемия COVID-19 в России затронула более 4 млн компаний и ИП из общего числа 6 млн. То есть пострадали до 67% малых, средних и крупных предприятий, а также индивидуальных предпринимателей.
В отличие от природных явлений, техногенных катастроф, намеренного причинения вреда людьми, влияние пандемии определить гораздо труднее из-за ее масштабности и продолжительности. Представим, что перед вами — как перед внутренними аудиторами — стоит задача проанализировать план обеспечения непрерывности деятельности вашей организации в условиях нынешней ситуации.
У такого явления, как пандемия, существуют свои особенности, она отличается от иных сценариев угрозы непрерывности бизнесу. Традиционные планы обеспечения непрерывности деятельности делают акцент на повреждении зданий и сооружений, отказе оборудования, недоступности и потере информации, угрозе жизни людей. В то же время, анализируя сценарий потенциальной пандемии, мы в первую очередь говорим о недоступности персонала в течение продолжительного периода времени.

Следовательно, внутренний аудитор должен убедиться, что план обеспечения непрерывности бизнеса рассчитан на то, что ключевые бизнес-процессы организации будут продолжать эффективно функционировать в течение нескольких недель или месяцев в условиях отсутствия или ограниченного присутствия персонала на рабочих местах.

План должен включать:

1. Создание рабочей группы для координации действий по обеспечению непрерывности деятельности.
2. Разработку сценариев дальнейшего ведения бизнеса с учетом невозможности присутствия на рабочих местах. Например:
   • продолжение бизнеса,
   • переход на альтернативные варианты ведения бизнеса (в частности, удаленную работу),
   • частичное или полное приостановление деятельности.
3. Разработку ряда профилактических мероприятий для сотрудников, остающихся на рабочих местах: выявление признаков заболевания на входе в офис (например, измерение температуры), предоставление средств индивидуальной защиты и дезинфицирующих средств, периодическая обработка предметов и поверхностей.
4. Актуальный список контактов сотрудников.
5. Разработку методов альтернативной коммуникации, включая использование интернета, облачных рабочих мест, телефона, видеоконференций посредством Skype, Zoom, и т.д.
6. Рассмотрение возможности увеличения дистанции между людьми в случае их совместного нахождения в офисе.
7. Рассмотрение возможности предоставления транспорта для сотрудников, использующих общественный транспорт.
8. Рассмотрение возможности проведения психологических тренингов с целью помощи в стрессовых ситуациях .
9. Рассмотрение возможности переноса или отмены встреч, а также командировок, не являющихся критичными.

Также следует убедиться, что план своевременно обновлялся и был доведен до заинтересованных пользователей

Узнаем, к чему может привести выполнение или невыполнение этих действий на примере. Аудиторы крупной производственной компании решили протестировать, как сработает план обеспечения непрерывности бизнеса в одном из подразделений, отвечающих за автоматизированный контроль производственных процессов.
Они изучили документ, в котором описывался порядок взаимодействия подразделений в случае возникновения инцидента на производстве. В этом же документе был приведен список ответственных лиц с необходимыми контактными данными, порядок развертывания ИТ-инфраструктуры, а также описывалось расположение резервных помещений, куда следовало перевести сотрудников в случае недоступности основных.
В назначенный момент один из аудиторов привел процесс в действие, позвонив менеджеру, отвечающему за инициацию процесса непрерывности деятельности, объявив «происшествие на объекте».
Менеджер немедленно связался с руководителем тестируемого подразделения и дал команду начать эвакуацию подразделения, после чего связался с менеджером по логистике. Точнее, попытался связаться, так как мобильный телефон, указанный в списке срочных контактов, был отключен. Как выяснилось впоследствии, данный номер принадлежал предыдущему менеджеру. Контактная информация не была своевременно актуализирована.
Около получаса ушло на то, чтобы найти менеджера по логистике. Еще какое-то время понадобилось на объяснение концепции : что от него требуется. В результате на подачу транспорта сотрудникам тестируемого подразделения было затрачено больше полутора часов рабочего времени. Еще минут сорок заняла дорога до резервного помещения. В итоге прошло более двух часов, прежде чем сотрудники приступили к своим обязанностям.
Надо отдать должное четко сработавшему ИТ-подразделению. В довольно короткий срок было установлено оборудование с необходимым набором информационных систем. Сотрудникам тестируемого подразделения осталось только сесть на рабочие места, организованные в резервном помещении, и авторизоваться под своими учетными записями. Результаты теста были задокументированы и отражены в аудиторском отчете, посвященном оценке эффективности процесса непрерывности.

Это можно назвать термином из английского языка — lessons learned — который следует интерпретировать как «приобретенный опыт», «усвоенные уроки».
Вероятность возникновения пандемии и необходимости разработки сценариев обеспечения непрерывности деятельности уже поднималась в прошлом в иностранных источниках. Сегодня мы видим, как подобная ситуация реализовалась на практике, когда свою готовность к работе в условиях жестких ограничений компаниям пришлось «обкатывать» практически в боевой обстановке. Это следует рассматривать именно как приобретенный опыт и сделать соответствующие выводы. Например, при разработке планов обеспечения непрерывности бизнеса рассматривать сценарии не с точки зрения «если произойдет событие», а задаваясь вопросом «когда?».

Материал опубликован в рамках спецпроекта «Начни с себя».

Источник

Создаем план по обеспечению непрерывности бизнеса: ключевые правила

План по обеспечению непрерывности бизнеса — сегодня один из обязательных документов в корпоративном управлении. Заранее продуманный перечень действий в условиях кризиса помог многим компаниям избежать операционного коллапса в период первой волны пандемии COVID-19. Если в вашей организации такого документа еще нет, то сейчас самое время его составить. Или пересмотреть. О том, какие элементы должны обязательно войти в план по обеспечению непрерывности бизнеса и на что обратить внимание при его подготовке, рассказывает наш постоянный эксперт Наталья Виноградова.

Одна из главных проблем во время любого кризиса — растерянность и чувство беспомощности, возникающие на всех уровнях организации и мешающие вовремя предпринять необходимые действия. Решить ее — основная задача плана по обеспечению непрерывности бизнеса, или BCP (Business Continuity Plan). Такой план позволяет заранее согласовать и отработать основные антикризисные шаги, поддержать работу компании и быстро возобновить ее в случае любых сбоев. Фактически это свод правил, которым должна следовать вся компания, чтобы обеспечить непрерывность бизнес-процессов и поддержки клиентов, а также сохранить свои активы.

Кроме того, BCP — это возможность для руководителя сконцентрироваться на бизнесе и определить, чему во время кризиса стоит уделить первоочередное внимание («обязательно должно быть»), а что важно, но не в первую очередь («было бы хорошо. »).

Возможные типы рисков

Ваша стратегия будет отличаться в зависимости от того, чем вызван кризис в бизнесе. Можно выделить три основных типа рисков (потерь).

1. Утрата офиса или производственного помещения — например, когда из-за природных катаклизмов или пожара невозможна работа офиса, производства или склада.
2. Инфраструктурные потери — когда сбой энергоснабжения, компьютерный вирус или любая другая чрезвычайная ситуация нарушила работу критически важных систем: бухгалтерии, IТ-систем и т. п.
3. Человеческие потери — какое-либо бедствие (опять-таки глобальная пандемия) лишает ваш персонал возможности выполнять часть функций или участвовать в некоторых процессах.

На случай утраты офиса в плане должны быть прописаны варианты перевода сотрудников на удаленную работу — на дому или на любой другой площадке (например, в коворкинге). При инфраструктурных проблемах, как правило, есть возможность найти альтернативные технические решения для восстановления нормальной работы или поддержать самые критические процессы вручную. Ситуация, когда вы остаетесь без человеческих ресурсов, наиболее сложна, поскольку придется подтягивать новые кадры и заниматься их обучением.

Итак, кризис случился. Что делать?

Три вещи, на которые стоит обратить максимальное внимание, таковы.

Информация и безопасность. Первоочередная задача — обеспечить безопасность организации в целом и сотрудников в частности, а также проинформировать всех о принятых мерах. Обеспечьте закупку средств индивидуальной защиты, позаботьтесь о безопасности рабочих мест, пропишите правила безопасности, которые должен соблюдать персонал. Держите всех в курсе происходящего, чтобы минимизировать слухи, панику и общую тревожность. В случае необходимости откройте горячую линию.

Организация. Многие предприятия в кризис отправляют людей в неоплачиваемые отпуска, сокращают штат и/или заработную плату или начинают работать вне офиса. Составьте план, как поддержать вашу организацию в работоспособном состоянии, невзирая на ограничения, и сфокусировать ее на самых критических процессах. Контроль за соблюдением трудового законодательства в сложившейся ситуации чрезвычайно важен и потребует дополнительной работы от кадровиков.

Финансовые вопросы. Для выживания в кризисе необходим устойчивый денежный поток. В условиях быстрого снижения доходов крайне важно ужесточить контроль за расходами и движением средств. Даже у тех предприятий, которые сами чувствуют себя неплохо, могут быть партнеры, на работу которых негативно повлияет кризис, а это может вызвать эффект домино.

Что работает, когда сталкиваешься с кризисом

— Оперативность и гибкость — это новая норма. Скорее всего, вы не сможете предугадать ни продолжительность, ни масштабы кризисной ситуации. Меры, которые вы предусмотрели в изначальных антикризисных планах, могут оказаться недостаточными, или они потребуют срочной корректировки.

— Понимание и оценка всего спектра рисков: как на вас может повлиять кризис, каковы будут приоритеты и план действий? Что еще может произойти? Могут ли прерваться поставки? Возможны ли проблемы с коллективом? Повлияют ли новые условия на работу IТ-систем?

— Коммуникация — от руководителей до рядовых сотрудников. Общайтесь часто, действуйте решительно, посвящайте людей в свое видение краткосрочных и долгосрочных последствий.

— Контроль денежных потоков — приоритетная задача. Тщательное планирование производственных запасов и кредитных лимитов, заблаговременное обращение к банкам, поставщикам и клиентам помогут смягчить удар кризиса и избежать наихудших последствий.

— Перенимайте чужой опыт — используйте уже опробованные на практике методики и отработанные сценарии действий при аналогичных инцидентах на похожих предприятиях. Не стесняйтесь пользоваться готовыми решениями!

— Поддержка основных долгосрочных партнеров, сохранение цепочек поставок. Каждая организация думает в первую очередь об обеспечении собственной физической и финансовой безопасности, но почти так же важно поддерживать ваших основных поставщиков и клиентов. Поделитесь с ними своими планами, узнайте больше об их положении и планах. Смогут ли они принять ваши новые требования? Будете ли вы соответствовать их требованиям?

— Продолжайте отслеживать ситуацию и корректировать планы. Кризисы и бизнес-риски — дело непредсказуемое; будьте готовы менять план действий в соответствии с обстоятельствами.

Подход к созданию (обновлению) стратегии непрерывности бизнеса

1. Создайте рабочую группу по обеспечению непрерывности бизнеса (антикризисный штаб), возьмите на себя руководство процессом. Добейтесь вовлечения в процесс ключевых лиц. Назначьте ответственных, например за снабжение, финансовое обеспечение, решение технических вопросов.

2. Оцените риски, с которыми может столкнуться ваш бизнес.

3. Разработайте план коммуникаций. Кто первым уведомит организацию о начале реализации антикризисного плана, кто запустит обзвон или рассылку? Что будет в этих сообщениях?

4. Определите критические виды деятельности, а также ресурсы, площадки или системы, которые наиболее важны для вашего бизнеса (или необходимы для поддержания его деятельности) в течение всего кризисного периода.

5. Для каждого из критических видов деятельности установите соответствующие сроки: сколько вы протянете в их отсутствие, прежде чем это повлияет на ваш бизнес и его устойчивость или на предоставление услуг вашему ключевому клиенту? В идеале нужно оценить потенциальные потери на случай, если негативные процессы будут усугубляться в течение дня / нескольких дней / недели и т. д. Эти показатели помогут расставить приоритеты: какой из критических видов деятельности потребует разработки отдельного «плана спасения».

6. Определите, с кем взаимодействуют ваши партнеры (их поставщики, банки-партнеры и т. д.), какие риски для них критичны, каков целевой срок восстановления? Может ли их стратегия повлиять на ваши ключевые виды деятельности?

7. Для каждого критического вида деятельности:

— определите важнейшие инструменты и информацию. Это может быть, например, график налоговых платежей или данные об альтернативных поставщиках. В этот список будут входить безопасный доступ к вашей бухгалтерской системе и счету компании, безопасное интернет-соединение при работе из дома; ноутбуки и т. д.;

— обеспечьте наличие и актуальность всей необходимой документации. Это особенно важно в случае человеческих потерь и привлечения альтернативных ресурсов;

— разработайте и задокументируйте резервный план для каждого типа рисков с учетом ключевых партнеров (например, банков или сторонних обслуживающих организаций);

— протестируйте план действий и оцените его успешность против установленного критерия (например, налоговые отчеты сдаются вовремя и без ошибок):

• разберите план со всеми участниками процесса;
• проведите тестирование плана, чтобы проверить, что все участники понимают свои роли и задачи и готовы к ним;
• устройте неожиданную проверку плана, о которой будут знать заранее лишь несколько человек;
• зафиксируйте результат и посмотрите, удалось ли сработать эффективно и достичь установленных вами показателей.

Если нет или не устраивает результат, скорректируйте план. Устраивайте такие испытания ежегодно.

Источник