Termin ciągłość działania jest dosyć pojemnym sformułowaniem, co stwarza wiele wyzwań i oczekiwań przy wdrażaniu planów ciągłości działania (BCP). Właśnie ta różnorodna percepcja tego samego tematu wpływa często na to, że trudno podjąć decyzję o wdrożeniu.
Jednocześnie pojawia się wiele pytań o zakres, czas realizacji, wymagane zaangażowanie czy dobre praktyki. Odpowiedzią na nie często jest przywołanie normy ISO 22301, która w wymiarze zarządzania ciągłością działania (BCM) powoduje gęsią skórę w organizacjach, ze względu na wcześniejsze doświadczenia z opracowywania systemów np. jakości.
W tym momencie pojawia się również pytanie u decydentów, po co jeszcze planować, gdy jest to codzienność każdej organizacji. No i mamy pat. Jeśli wdrożenie nie zostanie trochę „wymuszone” przez klientów lub ubezpieczycieli, to wiele wdrożeń jest odkładanych na później.
Czas pandemii sprzyjał jednak wdrożeniom BCM w organizacjach i co najważniejsze, udało się skutecznie rozpocząć i realizować projekty w trybie zdalnym. To nie spowodowało jednak, że standardowe pytania zniknęły. Wymagały one bardzo konkretnych odpowiedzi i wyjaśnień, które przekonają decydentów do realizacji projektów oraz praktycznej formy realizacji. Kilka z tych zagadnień pozwolę sobie przybliżyć poniżej.
Oczekiwania a wykonalność
Zacznijmy od częstego oczekiwania ze strony ubezpieczycieli, aby wdrożenie nastąpiło w okresie ubezpieczenia. O ile opracowanie BCP jest możliwe do trzech miesięcy, to już wdrożenie rozwiązań zapewniających ciągłość działania będzie trudne do realizacji. Barierą będzie np. konieczny czas na weryfikację rozwiązań (zbadanie dostępności, negocjacje umowy), nie mówiąc o środkach finansowych, jakie mogą być z nimi związane (budżet nie jest z gumy).
Inną sprawą jest, iż możemy zdecydować się na modyfikacje naszego modelu działania, co wymaga podjęcia strategicznych decyzji, np. skorzystania z kilku dostawców, a nie tylko z jednego, analizy, czy nie wzrosną nam koszty na tyle, że staniemy się mniej konkurencyjni.
Innym pojawiającym się zagadnieniem jest możliwość zmniejszenia franszyzy w ubezpieczeniu utraty zysku, np. z 30 do 7 dni, po opracowaniu planu. Rozumienie tego zagadnienia przez każdą ze stron jest często mocno odmienne. Największe emocje budzi założenie, że należy opracować plan, który zapewni przywrócenie działania w tym okresie. Samo przygotowanie planu nie daje nam jednak takiej gwarancji. Wnioski z procesu mogą dopiero wskazać nam, w jaki sposób i jakimi środkami będziemy w stanie działalność przywrócić. Przy opracowaniu BCP być może w kolejnym okresie ubezpieczenia ryzyko będzie już lepiej zarządzane.
Wymienione zagadnienia to tylko wybrane przykłady różnic w postrzeganiu sytuacji i wymagań. Kolejne spróbuję przybliżyć na podstawie modelu 7 kroków, które trzeba wykonać, zanim napiszemy swój plan. Nie chodzi w nim o projektowe podejście do opracowania planu, ale o wyjaśnienie kwestii, jakie trzeba rozważyć przy jego opracowaniu.
7 kroków, zanim napiszemy plan
Poniżej krótka charakterystyka wybranych zagadnień, często różnie rozumianych.
Kroki 1–3. Ocena ryzyka oraz scenariusze
Pierwsze kroki to często najbardziej energetyzująca część procesu, ale wbrew pozorom najprostsza do realizacji w kontekście planowania ciągłości działania. Zwykła kartka papieru i wspólna dyskusja o wewnętrznych i zewnętrznych zagrożeniach może być wystarczająca. Podkreślam słowo wspólna, gdyż sam plan ciągłości dotyka wielu funkcji w organizacji, a bez ich zaangażowania nie będzie skuteczny.
Krok 1 sugeruje, abyśmy spojrzeli na organizację szeroko i zastanowili się nad kluczowymi zagrożeniami. Krok 2 to zdefiniowanie ryzyk, które powinny być zarządzane poprzez nasz plan.
Plany co do zasady są konstruowane dla ryzyka o niskim prawdopodobieństwie i katastroficznych skutkach. Zatem, jeśli identyfikujemy zagrożenia, których skutkami jesteśmy w stanie zarządzać przez obecnie funkcjonujące w organizacji procedury, to nie powielajmy tego w planie. Jest to źródło komentarza działów operacyjnych, produkcji czy służb utrzymania ruchu w zakładzie, że tym już zarządzają i mają rację. Dlatego trzeba wyjaśnić, jakie zagadnienia będą przedmiotem planowania ciągłości działania, a okaże się, że obawy znikają.
Pamiętajmy również, że w naszym rejestrze po całościowym przeglądzie są inne ryzyka, które będą zarządzane w ramach pozostałych procesów czy systemów (płynność, reklamacje, inne). Nimi oczywiście też nie będziemy się tutaj zajmować. Nie oznacza to, że ich skutki nie mogą zakłócić naszej działalności czy w przyszłości niektórych z ryzyk nie możemy uwzględnić w planie.
Gdy już wytypujemy kilka zagrożeń, które możemy zakwalifikować do grupy ryzyka ciągłości działania, pojawia się pytanie, czy dla każdego z nich musimy określać strategie.
Przechodzimy do Kroku 3, w którym zdefiniujemy scenariusze, względem których powinniśmy zaplanować nasze działania. Spójrzmy ponownie na listę ryzyk i zwróćmy uwagę, że niektóre z nich mogą mieć podobne konsekwencje dla działalności organizacji, jeśli się zmaterializują.
Przykładowo, pożar może skutkować utratą części lub całości budynków, maszyn i wyposażenia, uniemożliwiając ich dalsze użytkowanie. Taki sam skutek będzie miała powódź. O ile sposób reagowania na zagrożenia będzie zupełnie inny, to wymagania w zakresie odbudowy prowadzonej działalności są niemal identyczne. To oznacza, że możemy uwzględnić wiele ryzyk poprzez planowanie dla mniejszej liczby scenariuszy końcowych. Ułatwia to proces planowania ciągłości działania.
Kroki 4 i 5. Tolerancja i ramy czasowe odbudowy
Kolejne kroki to zagadnienia, gdzie zaczynają się schody. Po pierwsze, konieczne jest ustalenie przez organizację poziomu bólu, tj. punktu, po przekroczeniu którego strata staje się nieakceptowalna, z długoterminowymi oraz nieodwracalnymi konsekwencjami. Ten element staje się punktem odniesienia określającym szybkość, z jaką organizacja powinna zareagować na incydent.
Po drugie, trzeba określić terminy dla odbudowy naszej działalności. Możemy to zrobić, zadając sobie następujące pytanie: ile czasu mamy od momentu zaprzestania dostarczania produktów klientom do pojawienia się nieakceptowalnych konsekwencji (np. decyzja klienta o rezygnacji z dalszej współpracy)? Należy zadać sobie to pytanie względem każdego produktu/usługi, aby mieć pełny zestaw terminów, względem których należy przywracać działalność.
Ten etap wymaga właśnie wspólnej dyskusji – włączając w nią działy sprzedaży/obsługi klienta, finansów, działy produkcji czy zapewnienia jakości z mocnym zaangażowaniem kierownictwa organizacji – bez ustalenia czy przynajmniej zarysowania ram czasowych dla odbudowy i naszego poziomu tolerancji kolejne kroki będą bardzo trudne.
Kroki 6 i 7. Opcje i strategie działania
Gdy już mamy konsensus co do tego, które obszary oraz jak szybko chcielibyśmy przywracać, wybieramy najgorszy możliwy scenariusz z Kroku 3 i musimy przemyśleć, w jaki sposób będziemy to robili. Spróbujmy określić główne elementy swojej reakcji na zaistniałą sytuację (alternatywna lokalizacja, wyższe poziomy zapasów, partner zewnętrzny itp.), a następnie przejdźmy do kolejnego najgorszego scenariusza.
Podczas tego procesu przekonamy się, że można zbudować większość sposobów reagowania z tych samych elementów. I tak dalej. Uwzględniając wszystkie scenariusze, stworzymy zestaw możliwych opcji działania, które będziemy mogli wykorzystać dla większości sytuacji, nawet dla tych nieprzewidzianych.
Strategia to sposób działania, który przyjmujemy w obliczu konkretnego scenariusza. Składa się z opcji, które zdefiniowaliśmy w Kroku 6. Musimy dobrać elementy w taki sposób, aby pasowały do siebie i stanowiły spójną całość. Kiedy będzie realizował się jakiś scenariusz, będziemy mogli wybrać najlepiej pasującą strategię, zaadaptować i zastosować do sytuacji.
To dopiero początek drogi
Gdy już przemyślimy te zagadnienia, możemy przejść do napisania planu, a następnie do budowy odporności organizacji na zakłócenia. Pamiętajmy, że przygotowanie planu jest tylko początkiem drogi do budowy odporności, ale na pewno pomoże w konstruktywnych dyskusjach przy aranżacji ubezpieczeń czy realizacji rekomendacji polustracyjnych.
Kluczowy dostawca według wartości dostaw czy rezerwowy transformator mogą nie być tym, co zdecyduje, że szybko przywrócimy naszą działalność do stanu sprzed szkody czy zmniejszymy wysokość wypłaconego odszkodowania z polisy utraty zysku.
Janusz Słobosz
partner zarządzający riskChallenge
Autor jest związany z branżą ubezpieczeniową od ponad 25 lat, zarówno jako broker, konsultant ds. zarządzania ryzykiem, jak i menedżer. Obecnie niezależny konsultant i właściciel firmy riskChallenge specjalizującej się w usługach zarządzania ciągłością działania oraz wspierania brokerów, ubezpieczycieli i ich klientów w tym obszarze.
