ISO 22301: Jak připravit firmu na výpadek, krizi nebo jinou mimořádnou událost

Co se stane s firmou, když na několik hodin nebo dní vypadne elektřina, informační systém, internet, klíčový dodavatel nebo důležité výrobní zařízení? Co když onemocní několik klíčových zaměstnanců najednou, dojde k požáru, povodni nebo kybernetickému incidentu?

Mnoho firem se na podobné situace připravuje až ve chvíli, kdy nastanou. ISO 22301 nabízí systematický způsob, jak připravit organizaci na narušení provozu, zvládnout jeho dopady a následně obnovit činnost.

Norma je určena pro systémy řízení kontinuity podnikání – Business Continuity Management System (BCMS). Její požadavky jsou obecně použitelné pro organizace různé velikosti a různých typů. Rozsah a způsob aplikace se přizpůsobuje konkrétnímu prostředí a složitosti organizace.

Co je ISO 22301?

ISO 22301:2019 Security and resilience – Business continuity management systems – Requirements je mezinárodní norma stanovující požadavky na systém řízení kontinuity podnikání. Jejím cílem není předvídat každou možnou havárii. Smyslem je vytvořit systém, který organizaci umožní:

• identifikovat situace, které mohou narušit její fungování,
• vyhodnotit jejich možné dopady,
• stanovit, které činnosti a služby jsou pro organizaci kritické,
• připravit strategie a postupy pro zachování nebo obnovení důležitých činností,
• určit odpovědnosti a způsob řízení při incidentu,
• pravidelně ověřovat, zda připravené postupy fungují,
• vyhodnocovat výsledky a systém průběžně zlepšovat.

ISO 22301 tedy není pouze „krizový plán“. Jde o systém řízení, který má být součástí fungování organizace a který se průběžně udržuje a zlepšuje.

Proč se kontinuitou podnikání zabývat?

Provoz firmy je závislý na řadě vzájemně propojených podmínek. Některé jsou přímo pod kontrolou organizace, jiné nikoli. Může jít například o:

• dostupnost energií,
• informační a komunikační technologie,
• zaměstnance a klíčové kompetence,
• výrobní zařízení a další infrastrukturu,
• dodavatele a subdodavatele,
• dopravu a logistiku,
• dostupnost prostor,
• data a dokumentaci,
• externí služby,
• schopnost komunikovat se zákazníky a dalšími zainteresovanými stranami.

Narušení jedné z těchto oblastí nemusí znamenat okamžité zastavení celé firmy. Může ale způsobit omezení některých činností, zpoždění dodávek, nesplnění smluvních závazků nebo jiné provozní problémy.

ISO 22301 proto pracuje s otázkou, jaké činnosti jsou pro organizaci důležité, jaké dopady by mělo jejich přerušení a jaké schopnosti musí organizace mít, aby dokázala pokračovat v poskytování svých produktů nebo služeb na předem stanovené přijatelné úrovni.

ISO 22301 není jen pro velké společnosti

Jedním z častých omylů je představa, že systém kontinuity podnikání je určen pouze pro velké průmyslové podniky nebo nadnárodní společnosti. ISO uvádí, že požadavky ISO 22301 jsou obecné a mohou být použity organizacemi různých velikostí a typů. Způsob jejich aplikace však musí odpovídat prostředí a složitosti konkrétní organizace.

Pro menší firmu proto nebude systém vypadat stejně jako pro velký výrobní podnik. Smyslem není vytvořit desítky dokumentů jen proto, aby firma „měla ISO“. Smyslem je nastavit takový systém kontinuity, který odpovídá skutečnému fungování organizace a jejím rizikům.

Jak se ISO 22301 zavádí?

Zavedení systému řízení kontinuity podnikání není jednorázové vytvoření krizového dokumentu. Jde o systematický proces.

• Poznání organizace a stanovení rozsahu

Nejdříve je potřeba pochopit, jak firma funguje.

Posuzují se například její produkty a služby, procesy, zdroje, závislosti, zainteresované strany a podmínky, ve kterých organizace působí.

Součástí systému je také stanovení rozsahu BCMS.

• Identifikace rizik a narušení

Organizace potřebuje vědět, co může její provoz narušit.

Může jít například o:

• výpadek energie,
• nedostupnost IT,
• požár nebo jinou škodu na majetku,
• výpadek klíčového dodavatele,
• nedostatek zaměstnanců,
• narušení dopravy,
• kybernetický incident,
• nedostupnost objektu,
• přírodní události nebo jiné vnější vlivy.

Cílem však není vytvořit nekonečný seznam katastrof. Důležité je soustředit se na situace, které mohou mít významný dopad na schopnost organizace poskytovat její produkty nebo služby.

• Business Impact Analysis – analýza dopadů

Významnou součástí kontinuity podnikání je Business Impact Analysis (BIA).

BIA pomáhá zjistit, jaké dopady by mělo přerušení jednotlivých činností a jaké jsou priority organizace z hlediska kontinuity.

ISO/TS 22317:2021 poskytuje pro BIA samostatný metodický rámec. Zároveň výslovně uvádí, že neexistuje jeden univerzální postup BIA použitelný stejně pro všechny organizace. Proces má být přizpůsoben potřebám, cílům, zdrojům a omezením konkrétní organizace.

Výsledkem by proto neměla být jen tabulka rizik, ale především pochopení toho, co firma skutečně potřebuje zachovat a v jakém rozsahu a čase.

• Stanovení strategie kontinuity

Na základě zjištěných potřeb organizace stanovuje, jak bude na narušení reagovat.

Může se například řešit:

• náhradní způsob práce,
• alternativní dodavatelé,
• náhradní prostory,
• záložní technologie,
• dostupnost klíčových pracovníků,
• ochrana a dostupnost důležitých informací,
• alternativní komunikační kanály,
• způsob obnovení klíčových činností.

Konkrétní řešení se vždy odvíjí od charakteru organizace a výsledků analýz.

• Vytvoření plánů a postupů

Strategie musí být převedena do praktických postupů.

ISO/TS 22332:2021 poskytuje doporučení pro tvorbu a udržování plánů a postupů kontinuity podnikání.

Důležité je, aby byly plány prakticky použitelné v reálné situaci.

Dokument, který má desítky stran, ale zaměstnanci v krizové situaci nevědí, kde najít potřebnou informaci nebo kdo má rozhodnout, nemusí být skutečně funkčním nástrojem kontinuity.

• Školení, testování a cvičení

Připravený systém je potřeba ověřovat.

ISO 22301 počítá s cvičeními a testováním postupů kontinuity. Jejich smyslem je ověřit, zda nastavená opatření skutečně fungují, a odhalit místa, která je potřeba upravit.

Může jít například o simulaci:

• výpadku IT,
• nedostupnosti objektu,
• výpadku klíčového dodavatele,
• ztráty určitého zdroje,
• nedostupnosti klíčových pracovníků.

Výsledkem testování nemá být pouze konstatování „splněno“. Důležité je zjistit, co nefungovalo podle očekávání a co je potřeba změnit.

• Interní audit, přezkoumání a zlepšování

BCMS je systém řízení, a proto jeho zavedením práce nekončí.

Je potřeba sledovat jeho fungování, provádět interní audity, vyhodnocovat výsledky, provádět přezkoumání vedením a přijímat opatření ke zlepšování.

Kontinuita podnikání se totiž mění společně s firmou. Změna dodavatele, technologie, zaměstnanců, objektu nebo podnikatelského modelu může změnit také rizika a požadavky na kontinuitu.

Jaké jsou výhody ISO 22301?

ISO uvádí mezi přínosy ISO 22301 například zvýšení odolnosti organizace, zlepšení řízení rizik, systematickou reakci na krizové situace a zvýšení důvěry zainteresovaných stran. V praxi může dobře nastavený systém pomoci zejména tím, že firma:

• Ví, co je pro její fungování skutečně kritické.

Ne každá činnost má při narušení provozu stejnou prioritu.

• Má předem stanovené postupy.

V krizové situaci není nutné všechna rozhodnutí vytvářet od začátku.

• Má jasněji stanovené odpovědnosti.

Lidé by měli vědět, kdo rozhoduje, kdo komunikuje a kdo zajišťuje konkrétní činnosti.

• Umí lépe vyhodnotit své závislosti.

Například závislost na konkrétním dodavateli, systému, objektu nebo pracovníkovi.

• Pravidelně ověřuje připravenost.

Cvičení a testování mohou odhalit problémy, které by samotná dokumentace neodhalila.

• Dokáže systematicky zlepšovat svou připravenost.

Výsledky testování, auditů a dalších hodnocení se stávají vstupem pro další zlepšování systému.

ISO zároveň uvádí, že ISO 22301 může být využita jako nástroj pro posuzování schopnosti organizace plnit vlastní potřeby a závazky v oblasti kontinuity podnikání.

Jaká jsou rizika, pokud firma kontinuitu neřeší?

Neexistuje norma ani metodika, která by mohla zaručit, že k narušení provozu nikdy nedojde nebo že jeho následky budou nulové. Rizikem je především nepřipravenost organizace na situaci, která naruší její schopnost fungovat. Bez systematického přístupu může firma například zjistit až během incidentu, že:

• není jasné, kdo má rozhodovací pravomoc,
• klíčová informace není dostupná,
• zaměstnanci nevědí, jak postupovat,
• organizace závisí na jediném dodavateli,
• náhradní řešení není připravené,
• kontaktní údaje nejsou aktuální,
• plán neodpovídá skutečnému fungování firmy,
• předpokládaná doba obnovy není realistická.

Samotné vytvoření dokumentace navíc nestačí. Pokud se postupy netestují a neaktualizují, může být jejich skutečná použitelnost výrazně jiná, než organizace předpokládá.

Na co si při zavádění ISO 22301 dát pozor?

Nevytvářet systém jen kvůli certifikátu

Certifikace může být pro některé organizace důležitým cílem, ale samotný certifikát nenahradí funkční připravenost. Systém má především pomáhat firmě zvládnout reálné narušení provozu.

Nepřehnat množství dokumentace

Více dokumentů automaticky neznamená lepší připravenost.

Postupy musí být srozumitelné, dostupné a použitelné lidmi, kteří je budou v konkrétní situaci skutečně používat.

Nezaměřit se pouze na IT

Výpadek informačních systémů je pouze jedním z možných narušení.

Kontinuita podnikání se může týkat také lidí, objektů, energií, dodavatelů, dopravy, technologií, externích služeb nebo dalších zdrojů.

Nezapomenout na dodavatele a další závislosti

Firma nemusí být ohrožena pouze vlastním problémem. Její provoz může být závislý na externích organizacích.

Proto je důležité rozumět významným závislostem a jejich možným dopadům na vlastní provoz.

Neudělat jednorázový projekt

Firma se mění. Proto se musí měnit i systém kontinuity podnikání.

ISO 22301 je založena na systému, který se udržuje, vyhodnocuje a zlepšuje.

ISO 22301 a klimatická změna

Od roku 2024 se na ISO 22301:2019 vztahuje Amendment 1:2024 – Climate action changes.

Tato změna mimo jiné zavádí požadavek, aby organizace určila, zda je klimatická změna relevantním tématem pro její systém řízení, a aby vzala v úvahu, že relevantní zainteresované strany mohou mít požadavky související s klimatickou změnou.

Neznamená to, že každá organizace musí automaticky zavést stejná klimatická opatření. Relevance klimatické změny se posuzuje v kontextu konkrétní organizace.

Jak může s ISO 22301 pomoci Levatos?

Zavedení systému kontinuity podnikání může být pro firmu časově i odborně náročné. Zároveň je důležité, aby systém odpovídal skutečnému fungování organizace a nebyl pouze souborem dokumentů vytvořených pro audit.

Levatos s.r.o. vám může pomoci zejména s:

• posouzením současného stavu připravenosti organizace,
• stanovením rozsahu systému řízení kontinuity podnikání,
• identifikací významných rizik a závislostí,
• přípravou a provedením Business Impact Analysis,
• nastavením strategie kontinuity,
• zpracováním potřebné dokumentace a postupů,
• nastavením odpovědností a kompetencí,
• přípravou a vyhodnocením cvičení a testování,
• interním auditem systému,
• přípravou na certifikační audit,
• průběžným udržováním a zlepšováním systému.

Naším cílem není vytvořit systém, který bude dobře vypadat pouze při auditu. Cílem je nastavit kontinuitu podnikání tak, aby byla použitelná pro skutečný provoz vaší firmy.

Pokud si nejste jistí, jak dobře je vaše firma připravena na výpadek klíčového procesu, dodavatele, IT, energií nebo jiné významné narušení provozu, můžeme nejprve provést úvodní posouzení současného stavu a společně určit, kde jsou nejdůležitější oblasti ke zlepšení.

Chcete zjistit, jak je na narušení provozu připravena právě vaše firma?

Kontaktujte Levatos s.r.o. a domluvte si konzultaci k ISO 22301 a kontinuitě podnikání.