Kryzysem, który może zagrozić całej firmie, jest każde zdarzenie uniemożliwiające jej prowadzenie normalnej działalności. Dlatego też BCP musi uwzględniać zdarzenia powszechnie uznawane za katastrofy, tj.: pożar, powódź, zawalenie się budynku, ale też wewnętrzne problemy organizacji - utratę strategicznych pracowników i dostawców, zniszczenie lub kradzież istotnych informacji, unieruchomienie infrastruktury IT.

Strategia
Koncepcja BCP, jak i inne przedsięwzięcia związane z ochroną zasobów organizacji, musi być kompromisem między stopniem zabezpieczenia a kosztami. Wymaga dokładnej identyfikacji potencjalnych zagrożeń i prawdopodobieństwa ich wystąpienia oraz oszacowania i określenia konsekwencji zawieszenia realizacji procesów. Na tej podstawie można uszeregować priorytety i podjąć decyzję, które procesy i w jakim stopniu muszą być kontynuowane w trakcie kryzysu. Analiza potrzeb przedsiębiorstwa pod kątem BCP jest o tyle ważna, że bez względu na metodę jej realizacji (środki własne – outsourcing) nie wolno bagatelizować możliwości niedoszacowania, jak i przeszacowania nakładów na BCP.

Punktem wyjścia opracowania planu BCP jest określenie rodzaju zasobów (np.: dane konieczne do fakturowania klientów, baza danych kontrahentów, materiały potrzebne do produkcji, personel), jakie muszą być dostępne w sytuacji kryzysowej, oraz analiza konsekwencji przerwania poszczególnych procesów. To pozwala na określenie możliwego do zaakceptowania poziomu strat i czasu przestojów, na jakie firma może sobie pozwolić. Analiza musi obejmować także trudno mierzalne straty pośrednie, związane np. z utratą reputacji firmy. Potrzebne jest także określenie minimalnych parametrów, które pozwolą na utrzymanie niezbędnej jakości produktów lub usług na możliwym do zaakceptowania poziomie. Przykładowo: być może faktury sprzedaży nie muszą być wystawiane za pośrednictwem systemu księgowego, ale prostego arkusza kalkulacyjnego, bądź dwudniowe opóźnienie dostaw nie wpłynie znacząco na stosunki z kluczowym klientem.

W praktyce
BCP obejmuje zarówno działania prewencyjne, jakie mają zminimalizować wystąpienie zdarzenia kryzysowego (np. instalacja systemu przeciwpożarowego czy ochrona budynku), jak i działania, które mają wykluczyć prawdopodobieństwo utraty i dostępności do strategicznych zasobów (np.: instalacja i utrzymanie systemu antywirusowego), oraz opracowanie i wdrożenie planów pozwalających na jak najszybsze odtworzenie zasobów lub pozyskanie nowych, gdy kryzys już nastąpił. Najprościej jest w przypadku systemów IT stworzyć centra i łącza zapasowe, w przypadku nieruchomości – utworzyć dodatkowe biura umożliwiające relokację firmy lub jej części. Jednak przeprowadzenie wszystkich tych działań własnymi środkami w dużych organizacjach jest niemal niewykonalne, a już z pewnością nieopłacalne. Stąd też firmy chętnie podejmują w tym zakresie współpracę z wyspecjalizowanymi podmiotami zewnętrznymi.

Outsourcing
Istotną zaletą i wartością dodaną outsourcingu BCP jest – przede wszystkim – dokładna analiza potrzeb klienta. Outsourcerzy dysponują wiedzą i i metodologią, która pozwala w krótkim czasie określić wspomniane parametry, ocenić poszczególne procesy i ponoszone na ich ochronę nakłady oraz straty powstałe w wyniku wystąpienia zdarzeń kryzysowych. Zdarza się, że jedyną płaszczyzną współpracy pomiędzy firmą zewnętrzną a przedsiębiorstwem jest szczegółowy audyt organizacji pod kątem wymogów BCP i wskazanie rozwiązań, jakie firma może przeprowadzić własnymi środkami. Innym czynnikiem przemawiającym na korzyść outsourcingu jest bezpieczeństwo. Jeśli do zarządzania kryzysem zatrudniliśmy firmę zewnętrzną, to za błędy i niedostateczną jakość usługi outsourcer płaci stosowne odszkodowanie. Przy realizacji planów BCP środkami własnymi takie błędy to wymierne straty finansowe.

Projekty outsourcingu BCP są opracowywane indywidualnie dla każdej firmy. Ważne jest, by plany ciągłości działania odzwierciedlały nie tylko rzeczywiste i obecne wymagania organizacji, ale także obejmowały ewentualne zmiany wewnątrz samej organizacji firmy i zmiany otoczenia, w jakim ona funkcjonuje, w przyszłości. Nie zwalnia to jednak zlecającej usługę firmy od dalszego planowania, opracowywania strategii BCP, a także od partnerskiego podejścia do współpracy, komunikacji swoich potrzeb i utrzymania dobrych relacji z outsourcerem.

Sebastian Kanikuła

Outsourcing Magazine

• Business Continuity Plan Development – strategia i plany wznowienia działalności biznesowej (dotyczy to ludzi, procesów i systemów informatycznych).

• Disaster Recovery Planning – strategia i plany przywrócenia prawidłowego działania systemów informacyjnych na wypadek awarii.

• Crisis Management/Incident Response – procesy i procedury wstępnego działania, eskalacji i zarządzania sytuacjami kryzysowymi (w tym awariami).

• Systems/Data High Availabilty – plan i wdrożenie architektury rozwiązań technologicznych pozwalających na zapewnienie ciągłej dostępności kluczowych systemów.

• Service Level Management – wymagania dotyczące poziomu usług krytycznych procesów zachodzących w przedsiębiorstwach (w tym systemów informatycznych)