Business Continuity Russia 2010

5-6 октября в Экспоцентре состоялась конференция Business Continuity Russia 2010. Она прошла скромно, не как отдельное мероприятие, а в рамках выставки-конференции по информационной безопасности INFODOC 2010. Для ее проведения отвели небольшой зал на четвертом этаже. Хуже всего то, что люди, стоявшие за информационной стойкой, по крайней мере те, с которыми разговаривал я, не знали, где искать эту конференцию.

Программа 5 октября

Скажу честно, в этот день я не был на конференции, поэтому свои впечатления составил на основе тех презентаций, которые удалось раздобыть.
Стандартизация как необходимое условие обеспечение непрерывности бизнеса - Голубкова Л.Г., директор по стратегическому развитию, ЗАО «Фирма «Август»

Когда о пользе сертификации говорит представитель системного интегратора – это внушает мало доверия. Совсем другое дело, когда об этом говорит человек, так сказать, находящийся по другую сторону баррикад. Людмила Голубкова занимается обеспечением непрерывности в производственной компании — типичном представителе успешного среднего частного российского бизнеса, которое занимается разработкой, производством и продажей пестицидов. Лично я из этой презентации сделал два вывода, во-первых, вопросами обеспечения непрерывности интересуются (и должны интересоваться) не только банки и телекомы. И, во-вторых, вопросы непрерывности должны начинать интересовать руководство организации до того, как численность персонала приближается к 2 тысячам человек.

Сама презентация лежит здесь.

Корпоративное управление ИБ как интегрированная составная часть управления деятельности организации – Андрей Дроздов, Старший менеджер KPMG

 

В презентации мне понравился слайд, содержащий большой список основных стандартов систем управления и показывающий их взаимосвязи. И еще один интересный слайд с перечнем стимулов корпоративного управления, связанных с информационными технологиями и информационной безопасностью.

Сама презентация лежит здесь.
 

Роль ИБ в жизненном цикле BCM – Бореалис А.Н., директор по консалтингу, СТК Развитие 

 

Следующая презентация также была посвящена вопросам управления и взаимодействия ИБ и НБ. Что мне понравилось больше всего, так это постановка вопроса. Рассматривалась именно роль ИБ в BCM, а не наоборот, с чем мне чаще приходилось сталкиваться на практике.

Сама презентация лежит здесь.

Возможно, в этот день были и другие выступления, но мне удалось раздобыть только эти материалы.

 

Программа 6 октября

«Интегрированные системы управления рисками предприятия» – Андрей Николаевич Баутов, АНО «Международный Институт Исследования Риска»

 

Эта презентация вызвала, пожалуй, наибольший интерес у аудитории. Еще бы, ведь рассказ был не только о нормативной базе и статистике, но и о реальном опыте внедрения информационной системы, причем отечественной разработки, причем в российской организации, да еще и не в банке! Поэтому и вопросов было много, и выступление заняло вдвое больше времени, чем было положено по регламенту.

Сама презентация лежит здесь.

Круглый стол: Чрезвычайные ситуации – реальный опыт выживания

Ведущий – Алексей Чеканов, генеральный директор Алмитек

Вначале Алексей сказал несколько вступительных слов о статистике чрезвычайных ситуаций и допускаемых ошибках на примере аварии в Мексиканском заливе. И попросил участников круглого стола особенно остановиться упомянуть о том, были ли подобные ошибки допущены в их случае.

Участник круглого стола: Николай Пучков, координатор непрерывности бизнеса ЗАО КБ «Ситибанк», Россия

 

По другим презентациям Николая я знаю, что СитиБанк имеет опыт реальных чрезвычайных ситуаций, потребовавших эвакуации персонала и возобновления деятельности в резервном помещении. Но в этой презентации Николай решил не повторять рассказ о прошлых событиях, а поделиться той методикой или общим подходом, который был выработан на их основе. Этот подход включает в себя шаги по построению зрелой программы обеспечения непрерывности бизнеса, предъявляемые к плану непрерывности требования, описание процесса реагирования на инцидент, а также средства и решения для кризисного управления.

Сама презентация лежит здесь.

Участник круглого стола: Константин Мусатов, специалист по непрерывности бизнеса, Инфосистемы Джет

О том, что много лет назад системный интегратор Инфосистемы Джет пережил пожар, слышали, наверное, многие. Но так подробно эту историю, насколько я знаю, еще никогда не рассказывали. Я составил почти почасовой хронометраж событий, описал последовательность восстановительных действий и уроки, вынесенные из этого происшествия.

Сама презентация лежит здесь.

Участник круглого стола: Сергей Петренко, гл.редактор «Защита информации. Инсайд»

К сожалению, Сергею пришлось выступать в условиях острой нехватки времени, поэтому он многое не смог раскрыть в своей презентации. Ее можно рассматривать как подробный справочник, посвященный подходам к построению системы непрерывности бизнеса с описанием всех шагов и многочисленными примерами документов.

Сама презентация лежит здесь.

Современные программно-технические средства для комплексного управления непрерывностью бизнеса и информационной безопасностью

Докладчик - Акатьева Мария, Руководитель направления систем менеджмента информационной безопасности и непрерывности бизнеса, LETA IT-company

 

Мария рассказывала об одном из инструментов для разработки, создания и обновления хотел написать планов, но, на самом деле, платформа ARIS, о которой шла речь в презентации, помогает на всех шагах процесса управления непрерывностью бизнеса. Другое дело, что внедрение этого инструмента только ради управления процессом НБ вряд ли оправданно, а для использования его внутри многих процессов организации требуется достичь определенного уровня зрелости.

Сама презентация лежит здесь.

RTO и MTPoD – тонкости проведения анализа влияния на бизнес – Бореалис А.Н., директор по консалтингу, СТК Развитие

Интересное разъяснение в терминологии, используемой в области управления непрерывностью бизнеса. По сути термины MTPoD и RTO соотносятся примерно как BCM и DR. Первый говорит о бизнес-стороне и обозначает критическое время, спустя которое компания прекратит существование, если прервавшийся процесс не будет восстановлен. Второй же относится скорее к технической (необязательно технологической) стороне восстановления. Так вот в существующей версии стандарта BS 25999 есть противоречия в определении такого важного термина MTPoD.

Сама презентация лежит здесь.

Круглый стол: «Не-ИТ составляющая BCM: реальные размеры айсберга».

Ведущий – Максим Малёжин, старший менеджер Ernst&Young,

- BCM vs культура и зрелость организации

- Business Impact Analysis - неочевидные аспекты

- организация как живой организм (BCM "as is" vs "to be")

- зависимости между бизнес-процессами и подразделениями - клубок противоречий

- планы реагирования специфичных бизнес-подразделений - HR, PR, Call Center и т.д.

Участники:

Сергей Землянский, Information security/BCP Manager, BNP Paribas

Это была попытка вовлечь аудиторию в дискуссию на обозначенные темы, но получилось что-то вроде беседы двух приятелей между собой.

В целом же конференция произвела довольно грустное впечатление, если оценивать ее по количеству участников и слушателей. Количество слушателей вряд ли превышало два десятка человек, да и количество участников тоже не поразило воображение. Легкую оптимистическую ноту всему придает сам факт проведения этого мероприятия.

Заметные фигуры в области BCM - Andrew Hiles

15-16 сентября в Москве прошло знаменательное событие — в эти дни состоялся двухдневный семинар, которым руководил Эндрю Хилз (Andrew Hiles). Этот человек заслуживает отдельной статьи, поскольку его вклад в создание нового направления менеджмента под названием «управление непрерывностью бизнеса» и его развитие весьма велик.

Эндрю Хилз начал свою карьеру в области ИТ программистом в королевских воздушных силах Великобритании. Затем перешел на работу в Транспортное агентство Лондона. Позже в качестве менеджера ИТ-проектов и менеджера по реинжинирингу бизнес-процессов производственного управления он руководил несколькими крупными техническими и организационными проектами, включая реорганизацию ключевых функций лондонского транспорта. Оттуда он перешел в управление связи как первый в истории этого подразделения консультант по бизнес-системам, отвечающий за крупные проекты. В дальнейшем, работая в компьютерной службе Управления атомной энергии Великобритании, он обеспечивал работу суперкомпьютеров, мейнфреймов и другой вычислительной техники. Также он отвечал за работу службы поддержки и контроль качества услуг центра обработки данных.

Андрю Хилз основал группу Survive! — первую международную группу планирования непрерывности бизнеса и аварийного восстановления. Он был основателем и первым председателем института непрерывности бизнеса (Business Continuity Institute) (Великобритания), а также основателем Всемирной организации по безопасности пищевых продуктов (World Food Safety Organization). Его стаж в области непрерывности бизнеса и аварийного восстановления совокупно превышает 25 лет.

Его авторству принадлежит инструмент Business Continuity Management Framework™, предназначенный для оценки рисков и влияния на бизнес, а также разработки планов непрерывности бизнеса, который используется во многих международных организациях.

Он был номинирован на звание достижения в области непрерывности бизнеса на первой церемонии вручения наград в области непрерывности бизнеса, которая состоялась в Лондоне в 1997 году, а в 2004 году внесен в зал славы непрерывности бизнеса, расположенный в Вашингтоне.

Эндрю является автором более 300 статей и ряда книг:

• Полное руководство по управлению непрерывностью бизнеса (The Definitive Handbook of Business Continuity Management);
• Лучшие практики и оценка рисков организации (Best Practice and Enterprise Risk Assessment);
• Анализ влияния на бизнес – лучшие практики (Business Impact Analysis – Best Practices);
• Путеводитель по риск-менеджменту (Guide to Risk Management);
• Руководство по аварийному восстановлению IBM UK (IBM GUIDE UK Disaster Recovery Manual). Во время написания Эндрю был председателем группы операционного менеджмента IBM (UK).

Эндрю также участвовал в написании Британского промышленного бизнес-руководства по управлению непрерывностью бизнеса и руководства по непрерывности бизнеса института директоров (Institute of Directors) и департамента торговли и промышленности (Department of Trade and Industry).

Эндрю является членом многих профессиональных сообществ таких как британское компьютерное сообщество (British Computer Society) и института управления информационными системами (Institute for the Management of Information Systems). Он был в числе основателей и стал первым председателем влиятельной группы Европейский информационный рынок (European Information Market (EURIM)), которая оказывает поддержку группе EURIM в парламенте Великобритании. Работа этой группы связана с европейскими законодательными актами, влияющими на сферу ИТ.

Кстати, семинар был организован компанией Stamford Global.

От расходов к активам: переоценка планов УНБ и их ценности (окончание)

Чтобы еще больше подчеркнуть высокую экономическую денежную стоимость программы УНБ, можно привести следующие рассуждения. Вероятность наступления различных чрезвычайных ситуаций очень мала, возможность ее оценки с приемлемой точностью спорна, но не вызывает сомнений, что она не равна нулю. Совсем свежий пример — жаркое лето 2010. Синоптики высказывали мнение, что «судя по данным палеоклиматических исследований, подобной аномальной жары на территории нынешней европейской части России не было около пяти тысяч лет.» С таким сенсационным заявлением выступил глава Гидрометцентра РФ Роман Вильфанд. Но если принимать во внимание, что одна и та же Программа УНБ обеспечивает реагирование не на одну, а на много различных чрезвычайных ситуаций, то ее денежная стоимость значительно возрастает. Ведь ее экономическая монетарная стоимость для каждого сценария будет своя, а расходы на реализацию программы — одни и те же для всех сценариев. Таким образом, итоговую таблицу можно изменить следующим образом:

 

	Экономическая монетарная стоимость для ЧС1
+	экономическая монетарная стоимость для ЧС2
+	…
+	экономическая монетарная стоимость для ЧСN
–	за вычетом расходов на Программу УНБ
–	за вычетом дополнительных расходов
=	Полезность Программы УНБ

 

Бухгалтерский довод

Одно из традиционных возражений против признания программы УНБ активом заключается в сложности ее оценки с бухгалтерской точки зрения. Хотя существующие правила бухгалтерского учета не позволяют рассматривать приведенные выше рассуждения в буквальном смысле, можно утверждать, что уравнение экономической полезности является прочным фундаментом для демонстрации ценности планов УНБ, используя расчет возврата на инвестиции (ROI). В прошлом невозможность оценить ежегодный ROI программы УНБ ставило программу в невыгодное положение в борьбе за корпоративные ресурсы. Однако, вполне реально разумно модифицировать алгоритм вычисления ROI, чтобы использовать его в организациях любого типа.

Базовая формула для подсчета ROI имеет следующий вид:

ROI = ( Доходы – Расходы ) / Расходы * 100 %

Используя снова данные Деревенского Благотворительного Банка, получаем, что ROI в данном примере составляет 28 %.

ROI = (3 000 000 – 2 340 000) / (2 340 000)*100 % = 28 %

Конечно, можно предложить тратить на программу УНБ меньше и тем самым повысить ее экономическую полезность и ROI. Например, руководство может потребовать снизить расходы на программу УНБ с 2 340 000 руб. до 1 510 000. Тем самым, экономическая полезность программы УНБ возрастет с 660 000 до 1 490 000 руб.,

Экономическая монетарная стоимость	3 000
за вычетом расходов на Программу BCM	- 1 300
за вычетом дополнительных расходов	- 210
Полезность Программы УНБ	1 490

а ROI — с 28 % до 98%:

ROI = (3 000 000 – 1 510 000) / (1 510 000)*100 % = 98 %

Однако серьезное возражение против подобного предложения состоит в том, что достижение той же величины экономической денежной стоимости маловероятно, если программа УНБ становится менее гибкой и не включает некоторые риски. Например, менее гибкая программа УНБ может быть рассчитана на риск, угрожающий получению половины дохода (600 млн. руб.) на протяжении не трех, а только двух месяцев, т.е. рассчитана на сохранение не 150, а лишь 100 млн. руб. В таком случае экономическая денежная стоимость окажется меньше и составит

ЭДС = 100 млн. руб. * 2 % = 2 млн. руб., (а не 3 млн. руб.)

Следовательно, несмотря на сокращение расходов на программу, более низкая экономическая денежная стоимость приведет к пропорционально более низким, а не более высоким значениям экономической полезности и ROI. Конечно, необходимо проводить более глубокий анализ взаимного влияния этих величин друг на друга в каждом конкретном случае.

Когда возникают дискуссии вокруг численных показателей, руководители программы УНБ получают шанс изменить ее восприятие внутри организации. При возникновении такой дискуссии сам факт полезности УНБ часто уже не подвергается сомнению. В таком случае обсуждение бюджета может сосредоточиться на численных оценках и прогнозах программы. Выгодность ситуации заключается в том, что менеджеры программ УНБ теперь могут эффективно соревноваться в таких числовых упражнениях, поскольку согласие с приведенными оценками открывает возможность использовать стандартные и повторяемые измерения для оценки программ УНБ.

Изменяя язык, изменяем восприятие

Тот факт, что правила бухучета не признают программу УНБ активом, конечно, служит барьером на пути формального преобразования расходов на программу УНБ в реальный бухгалтерский актив. Но это не должно препятствовать тому, чтобы использовать приведенные выше аргументы для изменения восприятия самой программы внутри организации. Способность привести конкретные цифры может побудить руководителей организаций по-новому взглянуть на программы УНБ.

Все дело в том, что язык является мощным инструментом. Когда люди называют свои программы УНБ активами, а не расходами, а проводимые работы «добавляющими ценность», а не «расходующими ресурсы», они перехватывают инициативу в рамках дискуссии о ресурсах, требующихся программе УНБ. Подбор слов, используемых в разговорах об УНБ, может влиять на то, с какой точки зрения финансовый директор и другие руководители оценивают свои бюджеты и принимают решения о том, какие проекты и в каком объеме следует финансировать. Выбор других словарных оборотов может изменить отношение.

Не должно быть сомнений в том, что компании, которые тщательно готовятся к аварийному восстановлению, в большей степени способны продолжать свои бизнес-операции, чем те, у которых нет УНБ-планов. Минимизация планов УНБ или неспособность эффективно потратить ресурсы на их разработку только усугубят последствия чрезвычайной ситуации, если она наступит. Способность организации справиться с хаосом, воспользоваться неспособностью конкурентов быстро реагировать на происходящее и вместе с тем продолжать обслуживать клиентов, обеспечивать работой сотрудников и вести операционную деятельность будет ключом к выживанию. Применение методов, описанных в данной статье, позволит менеджерам УНБ эффективно бороться за ресурсы внутри таких организаций, которые ориентируются на результат и применяют для принятия решений анализ ROI.

Материал подготовлен на основе статьи “From Expense to Asset: A Reexamination of BCM Plans and Their Value”, Аaron Miller

От расходов к активам: переоценка планов УНБ и их ценности

Каждый год организации тратят существенные суммы на разработку планов непрерывности бизнеса (BCP), предполагая, что они должны подготовиться к большому количеству возможных аварий. Пожары, химические заражения, компьютерные сбои и даже взрыв террористами бомбы могут нанести предприятию ущерб, вызвать приостановку его деятельности на недели, если не месяцы.

Правильно разработанные BC-планы позволяют организации более эффективно реагировать на прерывания штатной деятельности. Эти планы помогают минимизировать потери времени сотрудников и, что наиболее важно, потерю денежных потоков и прибылей предприятия.

Однако исторически ценность BC-планов преуменьшалось, если не полностью отрицалось. Многие матричные организации воспринимают BC-планы как неизбежное зло, нечто что должно быть сделано, при этом с минимальными затратами. В некоторых организациях высшее руководство недооценивают усилия, необходимые для создания эффективных BC-планов. Они настаивают на том, что эти работы должны отнимать у руководителей мало времени, а учения, такие как эмуляции и тестирования систем резервного копирования, проходить с минимальным воздействием на текущие операции.

Однако сегодня, по мере того, как мир становится все более неопределенным, типы и уровни угроз бизнесу меняются. За последнее десятилетие полезность BC-планов становилась все более очевидной, особенно после событий  9/11. На промышленных предприятиях, имеющих дело с опасными химическими реагентами, планы эвакуации и кризисного реагирования существовали уже давно. Сегодня даже компании, связанные с ИТ и предоставляющие услуги, понимают необходимость наличия BC-планов, учитывая как сильно их деятельность зависит от сохранности данных и восстановления операций в случае аварии.

Должны ли организации начать относиться к планам непрерывности бизнеса как к активам, а не расходам? Создает ли эффективное управление непрерывностью бизнеса долгосрочную ценность для организации? А если и когда план был применен, помогает ли наличие в организации качественно подготовленного плана генерировать доход и экономить деньги?

В пользу рассмотрения BC-планов в качестве корпоративного актива, а не расходов, можно привести убедительные доводы. В поддержку такой точки зрения есть как соображения как экономической полезности, так и стратегической бизнес-логики. Цель данной статьи состоит не в том, чтобы убедить налоговые органы изменить правила бухгалтерского учета, а в том, чтобы предоставить профессионалам в области непрерывности бизнеса получить надежные данные, доказывающие, что их работа создает для организации дополнительную ценность.

Довод экономической полезности
Оценка BC-плана как актива имеет такой же экономический смысл как оценка предоплаченного страхового полиса. Программа УНБ является в действительности “предоплаченной подготовленностью”. Организация делает первоначальную инвестицию в актив, который позволяет снижать риски. Экономическая ценность BC-плана может быть подсчитана аналогично тому, как и проектная годовая стоимость страховки. В обоих случаях может быть использовано одно и то же базовое уравнение.

Общая выгода x Вероятность = Экономическая денежная стоимость (ЭДС)

С помощью этого уравнения можно определить, превышает ли стоимость страховки выгоду, получаемую компанией, или равняется ей. Если цена страховки меньше ее экономической денежной стоимости, то это - хорошая покупка. Если цена выше ЭДС, то компания зря расходует ресурсы, покупая страховку.

Например, предположим, что организация купила страховку от прерывания производственных процессов. Сумма покрытия страховки составляет 10 млн. руб. Стоимость такой страховки составляет 100 тыс. руб в год. Вероятность реализации ЧС, покрываемых страховкой, оценивается как 1/50. Тогда экономическая полезность страховки составляет 10 млн. / 50 = 200 тыс. руб. Приобретение такой страховки является хорошей покупкой, поскольку ее можно купить дешевле ее экономической полезности.

Ту же логику можно использовать для оценки экономической полезности BC-плана. Можно легко подсчитать затраты на разработку BC-плана и сравнить их с подсчитанной ЭДС. Например, предположим следующий сценарий:

• Деревенский Благотворительный Банк получает доход в размере 1,2 млрд. руб. в год.

• Программа УНБ призвана предотвратить риск, угрожающий получению половины дохода (600 млн. руб.) на протяжении одного квартала, т.е. потери 150 млн. руб.

• Вероятность реализации ЧС оценивается в 2%, таким образом

ЭДС = 150 млн. руб. * 2 % = 3 млн. руб.

• Расходы на Программу УНБ в год составляют:
• время, потраченное сотрудниками 480 тыс. руб.
• + технические решения 1,5 млн. руб.
• = 1 980 тыс. руб.

• Дополнительные расходы на УНБ включают в себя:
• утрата скидки, предоставляемой существующим поставщиком 60 тыс.руб.
• + расходы на дублирующих друг друга поставщиков 300 тыс. руб.
• = 360 тыс. руб.

Если свести все эти данные вместе, получится следующее:

Экономическая монетарная стоимость	3 000
за вычетом расходов на Программу BCM	- 1 980
за вычетом дополнительных расходов	- 360
Полезность Программы УНБ	660

Этот пример иллюстрирует положительную экономическую полезность ежегодных расходов на BC-планы организации. Даже при расходах в размере 2,34 млн. и вероятности наступления ЧС в 2 % полезность программы УНБ составляет 660 тыс. руб. Подобные расчеты могут быть проведены любой организацией с целью оценки, являются ли разумными ее расходы на BC-планы.

(Продолжение следует)

Худшие практики (окончание)

4. Выбор стратегий УНБ
Стратегии управления непрерывностью деятельности, которые должны использоваться для поддержания производственных шагов и процессов организации во время прерывания, уже были описаны при разработке ПНБ. Эти стратегии, а также связанные с ними тактики восстановления отдельных производственных шагов и процессов, должны быть зафиксированы на бумаге и предоставлены высшему руководству.
Выбранные стратегии не обязательно должны быть реализованы, также как и тактики, описанные в ПНБ, не обязаны быть реализуемыми. Они лишь выражают желания организации в области устойчивости и непрерывности, и, следовательно, должны рассматриваться лишь как цели.

5. Тестирование, поддержка и пересмотр
Если ПНБ разработан, можно считать доказанной способность организации управлять непрерывностью своей деятельности.
Однако для выполнения требований аудиторов, регуляторов и других заинтересованных лиц должны быть предоставлены свидетельства того, что план тестировался, поддерживался в актуальном состоянии и проходил аудит.

5.1. Тестирование:
Свидетельством того, что способность организации управлять непрерывностью своей деятельности тестировалась, является разработка плана программы тестирования. Чтобы быть успешным, этот план не обязательно реализовывать. Самого его существования и демонстрации намерения провести тестирование, как только наступит подходящая дата, часто бывает достаточно. Запланированные тестирования следует начинать с простой проверки ПНБ, сидя за столом, которую проводит менеджер непрерывности бизнеса, и быстро переходить к сложным тестам, проведение которых слишком дорогостояще, чтобы быть когда-либо выполненным.

5.2. Поддержка:
Программа поддержания УНБ в актуальном состоянии должна показывать, что организация сохраняет готовность справляться с инцидентами, несмотря на постоянные изменения, которые происходят во всех организациях.
Самым эффективным способом продемонстрировать это является планирование расписания обновления ПНБ в актуальном состоянии и повторная публикация плана с новой датой и номером версии в те дни, которые указаны в этом расписании, даже если в действительности в плане ничего не изменилось.

5.3. Пересмотр:
Предпочтительным методом пересмотра процесса УНБ в организации является самооценка. Поэтому, чтобы продемонстрировать свою беспристрастность, проводить пересмотр следует тому сотруднику, которого изначально назначили менеджером непрерывности бизнеса.
Однако, поскольку стандарты непрерывности деятельности постоянно развиваются, менеджер непрерывности бизнеса должен быть готов продемонстрировать во время проведения пересмотра любые свидетельства соответствия стандартам, какие только потребуются.

6. Встраивание УНБ в культуру организации
Тот факт, что ПНБ уже разработан, служит доказательством наличия зрелой культуры непрерывности деятельности. Любая попытка внушить энтузиазм по отношению к непрерывности деятельности является нереалистичной, но для менеджера непрерывности деятельности важно быть уверенным в том, что руководство организации знает об УНБ и той важной работе в этой области, которая выполняется.

6.1. Оценка осведомленности об УНБ и тренировок:
Перед тем, как приступать к планированию и разработке элементов кампании вовлечения высшего руководства, важно предположить, что руководители очень мало или совсем ничего не знают об УНБ.

6.2. Разработка УНБ в рамках корпоративной культуры:
Разработка программы обучения, тренировок и вовлечения для высшего руководства является очень сложной задачей, т.к. отводимого на ее проведение времени обычно очень мало. Во многих организациях оно не превышает десяти минут. Поэтому критически важно донести главную мысль - в организации есть менеджер непрерывности деятельности, который разработал и внедрил ПНБ.

6.3. Отслеживание культурных изменений:
Кампанию по вовлечению высшего руководства следует воспринимать как одноразовую задачу. Ее успех будет измеряться количеством времени, которое высшее руководство посвятит тому, чтобы выслушать и задать вопросы менеджеру непрерывности деятельности.

Хотя автор надеется, что эта статья позабавит читателей, он добавляет, что подобное отношение к управлению непрерывностью бизнеса достаточно часто встречается на практике (и это в Великобритании - родоначальнице данного направления менеджмента, что же говорить о России, добавлю я от себя), и надо приложить все возможные усилия, чтобы избавиться от подобных плохих практик.

Худшие практики

Недавно попалась на глаза статья в журнале Continuity, и я не смог отказать себе в удовольствии ее перевести, поскольку по содержанию ее легко можно было бы приписать перу Григория Остера. Должен заметить, что все описанное, к сожалению, встречается в нашей реальной жизни.

Управление непрерывностью бизнеса
Управление непрерывностью бизнеса (УНБ) - это управленческий процесс, используемый для того, чтобы убедить аудиторов, регуляторов и другие заинтересованные стороны в том, что организация способна эффективно реагировать на возможные воздействия, угрожающие ее репутации, бренду и деятельности, создающей прибавочную стоимость, даже если это не так.

1. Политика УНБ и управление программой УНБ
Эффективная программа УНБ не требует участи высших руководителей организации и требует минимального участия управленческих, операционных, административных и технических специалистов.
Ответственность за УНБ возлагается на какого-нибудь сотрудника организации, который не обладает властными полномочиями, находится на нижних уровнях иерархии в организации и кому руководитель организации чувствует необходимость дать поручение чем-нибудь заняться. Этот сотрудник будет называться менеджером непрерывности бизнеса, но у него не будет подчиненных и ему не будут предоставляться дополнительные ресурсы для выполнения своей работы.
Управление организацией при реагировании на инцидент будет осуществляться руководителем организации, никак не интересующимся программой УНБ и не имеющим никакого представления об управлении инцидентами и планах непрерывности бизнеса.

2. Разработка и реализация реагирования в рамках УНБ
Целью процесса УНБ является создание плана непрерывности бизнеса (ПНБ), и именно с этого следует начать процесс УНБ. План предназначен для того, чтобы убедить заинтересованных лиц и аудиторов, что критические функции организации будут продолжать осуществляться во время прерывания, что бы его ни вызвало, а остальные функции будут восстановлены контролируемым образом.
Менеджеру непрерывности бизнеса следует при первой же возможности приступить к разработке плана непрерывности бизнеса и не волноваться по поводу привлечения к этой работе других сотрудников, поскольку у них, наверное, есть более важные дела.

2.1. План управления инцидентами
План управления инцидентами может быть разработан, но поскольку он влечет дополнительные расходы, то не является обязательным. Руководитель организации обеспечит эффективное и своевременное управление в случае наступления серьезного инцидента и защитит бренд организации от финансового и репутационного ущерба без всякого плана управления инцидентами.

2.2. План непрерывности бизнеса (ПНБ)
ПНБ служит основой, на которой строится весь процесс УНБ. В нем описываются теоретические действия всей организации в ответ на инцидент, вызывающий прерывание деятельности, а вовсе не те меры, которые реализованы в действительности. Те, кому предстоит использовать этот план, должны быть способны взять его и применить, ни разу до этого не подержав в руках, и интуитивно понимать, как его использовать, чтобы выбрать и применить подходящие стратегии управления восстановлением деятельности бизнес-подразделений в соответствии с приоритетами, существующими у этих подразделений в данный момент.
Элементы и содержание плана непрерывности бизнеса могут меняться от организации к организации, но если для разработки ПНБ будет использован шаблон, полученный из другой организации, вероятно, он будет отражать культуру этой другой организации и сложность ее технических решений.

2.3. Планы возобновления деятельности подразделений
Планы возобновления деятельности содержат описание действий по реагированию на инцидент конкретных департаментов или бизнес-подразделений. Обычно они разрабатываются самими департаментами и не имеют никакой или очень слабую связь с планом непрерывности бизнеса с точки зрения целей, приоритетов и процессов восстановления. Типичным примером плана возобновления бизнеса служит план аварийного восстановления информационных и телекоммуникационных систем, который должен быть разработан ИТ-департаментом самостоятельно, чтобы не тратить время пользователей на выяснение их требований к ИТ-системам.

3. Понимание организации
Когда заканчивается разработка плана непрерывности бизнеса, можно приступать к созданию других элементов программы УНБ, которые захотят увидеть аудиторы. Предварительным условием для этого является изучение жаргона, используемого профессионалами в области непрерывности бизнеса, для его применения по отношению к вашей организации, даже если больше никого эта терминология не интересует.

3.1. Анализ воздействия на бизнес (АВБ)
Теоретически в ходе анализа влияния на бизнес (BIA) выявляется, измеряется и оценивается влияние потери, прерывания или нарушения течения бизнес-процессов, чтобы руководство могло определить, через какой промежуток времени это влияние становится неприемлемым. На практике достичь этого невозможно.
Осуществление анализа влияния на бизнес путем проведения интервью, семинаров и заполнения опросных листов дорого и отнимает много времени, поэтому не стоит даже пытаться, если только менеджеру непрерывности бизнеса нечего больше делать. Вместо этого, цель анализа влияния на бизнес, состоящая в определении "максимально допустимого времени прерывания" каждого из бизнес-процессов, может быть достигнута с помощью информации из плана непрерывности бизнеса, который уже разработан. Максимально допустимое время прерывания каждого бизнес-процесса совпадает с целевым временем восстановления, указанным в плане непрерывности бизнеса, и эту информацию следует извлечь из ПНБ в отдельный документ, который можно направить руководителю в качестве доказательства проведения АВБ.

3.2. Анализ требований непрерывности (АТН)
В рамках проведения анализа требований непрерывности собирается информация о ресурсах, требуемых для возобновления и продолжения работы. Снова, эти данные могут быть взяты из ПНБ, который уже разработан, поэтому нет необходимости совершать дополнительные действия.

3.3. Оценка рисков
В контексте УНБ при проведении оценки рисков оценивается вероятность и размер ущерба от реализации тех угроз, способных вызвать прерывание бизнеса, о которых чаще всего упоминают в СМИ или которые более всего волнуют руководителей организации. При оценке рисков надо использовать количественные методы, подсчитывая вероятность реализации каждой угрозы и размер вызываемого ею ущерба, и затем перемножая эти две величины, чтобы создать иллюзию точной численной оценки риска.
Для каждого измеренного риска должно быть указано некоторое количество действий реагирования, уменьшающих риск. Они должны быть продемонстрированы руководству как свидетельство того, что в организации понимают угрожающие ей риски и предпринимают меры по их уменьшению. После демонстрации этого отчета руководству организации оценка рисков может быть забыта, по крайней мере, на целый год.

(Продолжение следует)

Отчет о последствиях извержения в Исландии

Недавно британский институт непрерывности бизнеса опубликовал результаты опроса о влиянии, которое оказало извержение вулкана с труднопроизносимым названием в Исландии. На первый взгляд может показаться, что к России это не имеет отношения, но это не так. Ведь легко себе представить ситуацию, при которой какой-нибудь российский регион становится закрытым для полетов и, вообще, для перемещения, если учесть, например, существование на территории страны 11 действующих АЭС.
Опрос проходил с 22 апреля по 12 мая 2010 года. В нем приняли участие 44 организации, расположенные в 12 странах (66% участников — в Великобритании) и относящихся к 12 секторам экономики (финансовые услуги — 29%, ИТ и коммуникации — 22% и производство — 15%).

Выявленные результаты
«Боевой» опыт
84% участников опроса заявили, что их организация в какой-то мере испытала прерывание деятельности и только 16% — что никакого прерывания не испытывали. Около 27% отметили, что степень прерывания потребовала инициации их мер УНБ, что обычно означало активацию мер управления инцидентами.

Предсказуем ли риск?
50% организаций, в которых есть реестр рисков и для которых недоступность воздушного пространства над Европой могла бы стать проблемой, не имели этого риска в своем реестре. 9% ответили, что этот риск был включен. Международная ассоциация воздушного транспорта утверждает, что данный перерыв повлек наибольший ущерб с 2001 года, когда имело место закрытие воздушного пространства на длительное время. Интересно, что 7% участников опроса ответили, в организации есть реестр рисков, но они (будучи менеджерами непрерывности бизнеса) не имеют к нему доступа, а 10% ответили, что в организации нет такого реестра.

Есть ли разница, существует программа УНБ или нет?
Если сравнить описания последствий, приводимых в корпоративных и обычных СМИ, с описаниями, полученными в ходе опроса, будет справедливо сделать вывод, что наличие программы УНБ полезно тем, что многие последствия данного события, такие как

• управление в ситуации отсутствия персонала;
  
• понимание уязвимых мест в цепочках поставок;
  
• наличие хорошо отработанных процедур кризисного/инцидент менеджмента, включая четкое понимание роли управления персоналом в подобных инцидентах.
  были рассмотрены заранее.
  

Финансовые последствия 86% участников опроса смогли оценить размер ущерба. 75% оценило его суммой менее 100 000 EUR. Мало пострадал сектор услуг, однако в таких секторах как производство, энергетика, транспорт оценки размера ущерба достигают 10 млн. евро. Опираясь на комментарии участников опроса, можно сделать вывод, что в секторе услуг пострадал малый бизнес за счет того, что ряд мероприятий был отменен или отложен, возникли дополнительные расходы на оплату сверхурочной работы и снизилась продуктивность. Прерывание бизнеса: цепочка поставок 43% организаций испытали перебои в цепочках поставок, но лишь у немногих эти перерывы достигли сколько-нибудь значительного уровня. Однако, если бы перерыв оказался продолжительнее, 36% отметили, что должны были бы пересмотреть свою стратегию поставок. Для некоторых участников оказалось непросто выяснить, зависит ли их цепочка поставок от воздушного транспорта. Прерывание бизнеса: люди Для 71% организаций сбой в работе выразился в отсутствии персонала. Однако только 32% отметили, что отсутствующие сотрудники не были продуктивны. 39% могли работать удаленно. Как можно было ожидать, подразделения по работе с персоналом были вовлечены в урегулирование ситуаций, связанных с отсутствием персонала, хотя 5% отметило, что не были вовлечены, хотя и стоило бы. Прерывание бизнеса: страхование В опросе спрашивалось: считают ли участники, что они смогут компенсировать упущенную прибыль и повышенные расходы на оплату труда благодаря страхованию перерыва в производстве. Согласно ответам, полученным в ходе опроса, 54% участников считает, что их страховка не распространяется на данное событие. Однако, 30% не уверены, а 16% чувствуют, что могут потребовать компенсации. Информация о закрытии воздушного пространства 50% респондентов считают, что правительство, регулирующие органы, авиакомпании и аэропорты предоставляли достаточно информации для того, чтобы организации смогли выработать меры реагирования. 39% — не согласны. Выводы

1. Еще раз стоит подчеркнуть, что ценны сами работы по анализу и планированию, которые выполняются в рамках УНБ, а не полезность любого конкретного бумажного плана.
   
2. В ходе сбоев организации с эффективными программами УНБ действуют лучше благодаря более глубокому знанию своих критичных активов и процессов и своей подготовке к устранению последствий, а также быстрее восстанавливаются после сбоев. Они действуют противоположно подходу, в рамках которого ограниченные ресурсы тратятся на выявление всех мыслимых угроз или разработку планов реагирования на конкретные угрозы.
   В данном случае можно выделить две потенциальных области воздействия: отсутствие сотрудников, оказавшихся блокированными в местах, откуда они не могут выполнять свои функции, и сбои в цепочках поставок, когда зависящая от воздушного сообщения доставка критичных материалов задерживалась. Для того, чтобы понять последствия этих воздействий, не требуется ждать извержения вулкана в Исландии, поскольку их может вызвать множество других событий.