Naruszenie polskiej przestrzeni powietrznej przez rosyjskie drony powinno zostać potraktowane przez przedsiębiorstwa jako sygnał do przeglądu procedur awaryjnych.
Nie chodzi o wywoływanie paniki. Chodzi o sprawdzenie, czy organizacja potrafi działać w warunkach podwyższonego ryzyka.
Zdarzenia tego typu pokazują, że zagrożenia geopolityczne nie są abstrakcyjne dla biznesu. Mogą wpływać na bezpieczeństwo pracowników, dostęp do obiektów, transport, dostawców, komunikację, cyberbezpieczeństwo i decyzje operacyjne.
Dla firm oznacza to potrzebę przejścia z poziomu obserwacji do poziomu uporządkowanego działania. Każda organizacja powinna wiedzieć, jakie procedury uruchamia, kto podejmuje decyzje i jakie zasoby trzeba sprawdzić w pierwszej kolejności.
Pierwsza faza reakcji awaryjnej
Pierwsza faza reakcji awaryjnej nie polega na radykalnej zmianie sposobu pracy. Polega na przeglądzie przygotowania organizacji.
Firma powinna sprawdzić, czy ma aktualne kontakty, działające kanały komunikacji, opisane procedury eskalacji i dostęp do osób decyzyjnych. Powinna też ustalić, które procesy mogą zostać zakłócone przez ograniczenia transportowe, niedostępność pracowników, cyberatak, dezinformację albo decyzje administracyjne.
Ten etap powinien być spokojny, techniczny i udokumentowany. Celem jest ograniczenie niepewności, zanim pojawi się realne zakłócenie.
Co należy sprawdzić w pierwszej kolejności
Organizacja powinna rozpocząć od przeglądu zasobów awaryjnych. Obejmuje to środki łączności, zasilanie rezerwowe, dostęp do systemów, kopie zapasowe, listy kontaktowe, dokumentację procesów i procedury pracy w trybie ograniczonym.
Następnie trzeba sprawdzić, czy osoby odpowiedzialne za procesy znają swoje role. Dotyczy to zarządu, kierowników, zespołów IT, administracji, ochrony, HR, komunikacji i osób odpowiedzialnych za kontakt z dostawcami.
Firma powinna też przypomnieć pracownikom podstawowe zasady postępowania: gdzie szukać informacji, komu zgłaszać problemy, jak reagować na alarmy, jak postępować z podejrzanymi wiadomościami i kto publikuje komunikaty wewnętrzne.
Lista procedur do przeglądu
W pierwszym przeglądzie powinny znaleźć się procedury powiadamiania i eskalacji. Firma musi wiedzieć, kto informuje zarząd, kto uruchamia zespół kryzysowy i kto odpowiada za kolejne decyzje.
Należy sprawdzić procedury komunikacji z pracownikami, klientami, dostawcami, bankami, ubezpieczycielami, organami administracji i lokalnymi służbami. W sytuacji podwyższonego ryzyka brak aktualnych kontaktów może opóźnić reakcję bardziej niż sam incydent.
Do przeglądu powinny trafić plany ewakuacji, procedury ograniczenia dostępu do obiektów, instrukcje zabezpieczania dokumentów, procedury ochrony danych, Plan Ciągłości Działania oraz Plan Odtwarzania po Awarii.
Osobnym obszarem jest ochrona przed dezinformacją. Firma powinna mieć zasadę, że decyzje operacyjne zapadają na podstawie informacji z potwierdzonych źródeł.
Komunikacja z pracownikami
W kryzysie komunikacja wewnętrzna musi być szybka, spójna i kontrolowana. Pracownicy powinni wiedzieć, skąd otrzymają komunikaty i które kanały uznaje się za obowiązujące.
W ciągu pierwszych 24–48 godzin firma powinna przetestować grupowe SMS‑y, komunikator firmowy, e‑mail oraz kanały alternatywne. Należy sprawdzić, czy pracownicy odbierają komunikaty i czy potwierdzają ich otrzymanie.
Trzeba również określić, kto ma prawo wydawać komunikaty. W sytuacji napięcia nie może funkcjonować kilka równoległych źródeł informacji. Zwiększa to ryzyko chaosu i błędnych decyzji.
Firma powinna przygotować krótkie szablony komunikatów. Powinny obejmować zmianę organizacji pracy, ograniczony dostęp do obiektu, pracę zdalną, awarię systemów, zagrożenie lokalne, utrudnienia transportowe i instrukcję kontaktu z przełożonym.
Komunikacja zewnętrzna
Kryzys geopolityczny może szybko przełożyć się na relacje z klientami i dostawcami. Dlatego firma powinna sprawdzić kanały komunikacji z podmiotami, od których zależy ciągłość procesów.
W pierwszej kolejności należy zweryfikować kontakty do głównych dostawców, partnerów logistycznych, firm ochrony, operatorów IT, banków, ubezpieczycieli i zarządców obiektów. Trzeba też ustalić, kto kontaktuje się z klientami, jeżeli pojawi się ryzyko opóźnień lub ograniczenia świadczenia usług.
Komunikaty zewnętrzne powinny być rzeczowe. Nie powinny zawierać ocen politycznych, niepotwierdzonych informacji ani przewidywań bez podstaw. Ich celem jest przekazanie decyzji operacyjnych, a nie komentowanie sytuacji szerzej niż wymaga tego działalność firmy.
Ochrona przed dezinformacją
W okresach napięcia geopolitycznego dezinformacja może wpływać na decyzje biznesowe. Fałszywa informacja o ewakuacji, zamknięciu drogi, ataku cybernetycznym, niedostępności paliwa albo rzekomych decyzjach administracji może wywołać realne koszty.
Firma powinna wskazać osobę albo zespół odpowiedzialny za weryfikację informacji. Powinna też określić listę źródeł, z których korzysta w sytuacji kryzysowej.
Do źródeł podstawowych należą oficjalne komunikaty administracji państwowej, Rządowego Centrum Bezpieczeństwa, Ministerstwa Spraw Wewnętrznych i Administracji, Ministerstwa Obrony Narodowej, Sztabu Generalnego Wojska Polskiego, właściwego urzędu wojewódzkiego, lokalnych centrów zarządzania kryzysowego oraz służb ratunkowych.
Pracownicy powinni otrzymać prostą instrukcję. Nie przekazują dalej niepotwierdzonych komunikatów. Nie publikują informacji o zdarzeniach dotyczących firmy w mediach społecznościowych. Podejrzane wiadomości zgłaszają do wyznaczonego punktu kontaktu.
Cyberbezpieczeństwo w warunkach podwyższonego ryzyka
Zdarzenia geopolityczne często zwiększają ryzyko cyberataków, kampanii phishingowych i prób wyłudzenia danych. Dla firmy oznacza to potrzebę czasowego zaostrzenia nadzoru nad systemami.
Zespół IT powinien sprawdzić aktualność systemów, status kopii zapasowych, dostępność logów, uprawnienia administratorów, konta uprzywilejowane i usługi wystawione do internetu. Należy też potwierdzić możliwość odtworzenia danych z kopii zapasowych.
Warto ograniczyć niepotrzebne usługi, sprawdzić reguły dostępu zdalnego i przejrzeć nietypową aktywność w systemach. Dotyczy to zwłaszcza poczty, VPN, usług chmurowych, systemów finansowych i narzędzi do pracy zespołowej.
Pracownicy powinni otrzymać krótkie przypomnienie zasad. Nie otwierają podejrzanych załączników. Nie klikają linków z wiadomości dotyczących sytuacji wojennej, pomocy humanitarnej, mobilizacji, bankowości albo rzekomych komunikatów państwowych. Podejrzane wiadomości przekazują do IT.
Incydenty cyberbezpieczeństwa można zgłaszać przez oficjalny formularz CERT Polska.
Briefing dla kierownictwa
Zarząd i kadra kierownicza powinni odbyć krótki briefing dotyczący wpływu sytuacji za wschodnią granicą na działalność firmy.
Spotkanie powinno objąć ocenę procesów narażonych na zakłócenie, przegląd decyzji wymagających zatwierdzenia, wskazanie osób odpowiedzialnych za komunikację oraz ustalenie progów uruchamiania kolejnych etapów procedur awaryjnych.
Na tym etapie nie należy tworzyć rozbudowanych dokumentów od podstaw. Należy ustalić, co firma ma, czego brakuje i które luki trzeba zamknąć w pierwszej kolejności.
Dobrą praktyką jest wyznaczenie stałego rytmu monitorowania sytuacji. Może to być przegląd co 12 albo 24 godziny, zależnie od profilu działalności i ekspozycji na ryzyko.
Briefing dla pracowników
Pracownicy powinni otrzymać jasne informacje o tym, jak firma działa w okresie podwyższonego ryzyka.
Briefing powinien obejmować zasady komunikacji, procedury ewakuacji, sposób reagowania na alarmy, reguły pracy zdalnej, podstawy bezpieczeństwa informacji oraz ochronę przed dezinformacją.
Nie należy przeciążać pracowników nadmiarem szczegółów. W pierwszej kolejności trzeba przekazać informacje praktyczne: skąd przyjdzie komunikat, kto jest przełożonym kontaktowym, co zrobić przy utracie łączności, gdzie zgłaszać podejrzane wiadomości i jak postępować przy ograniczeniu dostępu do obiektu.
Współpraca z lokalnymi służbami i administracją
Plan działania powinien uwzględniać współpracę z lokalnymi służbami i administracją. Dotyczy to zwłaszcza firm posiadających większe obiekty, infrastrukturę techniczną, magazyny, flotę, zakłady produkcyjne albo działalność o znaczeniu dla lokalnej społeczności.
Firma powinna znać właściwe centrum zarządzania kryzysowego, podstawowe kanały kontaktu z urzędem gminy lub miasta, lokalizację najbliższych jednostek ratowniczych i zasady przekazywania informacji w razie incydentu.
Jeżeli firma prowadzi działalność w kilku lokalizacjach, każda lokalizacja powinna mieć własną listę kontaktową i lokalne ustalenia. Procedura centralna bez danych lokalnych może być niewystarczająca.
Monitoring sytuacji
Monitoring nie powinien polegać na ciągłym śledzeniu mediów społecznościowych. Powinien być uporządkowany.
Firma powinna wskazać osobę odpowiedzialną za przegląd sytuacji, listę źródeł, częstotliwość aktualizacji i tryb informowania kierownictwa. Powinna też określić kryteria zmiany poziomu gotowości.
Przykładowe kryteria to komunikaty RCB, decyzje administracji lokalnej, ograniczenia transportowe, zakłócenia u dostawców, wzrost prób phishingu, problemy z dostępnością pracowników albo utrudnienia w dostępie do obiektu.
Monitoring powinien prowadzić do decyzji. Samo zbieranie informacji nie poprawia gotowości, jeżeli organizacja nie wie, kiedy uruchamia kolejne działania.
Dokumentowanie działań
Każde działanie podjęte w ramach przygotowania powinno zostać udokumentowane. Dotyczy to testów komunikacji, przeglądu procedur, aktualizacji list kontaktowych, szkoleń, spotkań, ustaleń z dostawcami i zgłoszonych luk.
Dokumentacja ma znaczenie operacyjne i dowodowe. Pozwala sprawdzić, co zrobiono, kto podjął decyzję i jakie działania wymagają kontynuacji. Ułatwia także późniejszy przegląd planu oraz rozmowy z ubezpieczycielem, audytorem albo organem nadzoru.
Plan działania na wypadek kryzysu za wschodnią granicą
Każda firma powinna mieć krótki plan działania na wypadek eskalacji sytuacji za wschodnią granicą. Plan nie musi być rozbudowany, ale musi odpowiadać na podstawowe pytania.
Kto podejmuje decyzje w trybie kryzysowym? Kto komunikuje się z pracownikami? Kto odpowiada za kontakt z klientami i dostawcami? Jak firma działa przy ograniczeniu transportu? Jak zabezpiecza dane i dokumenty? Jak przechodzi na pracę zdalną? Jak reaguje na cyberatak? Jak weryfikuje informacje? Jak dokumentuje decyzje?
Plan powinien obejmować co najmniej pięć obszarów: ludzi, obiekty, technologię, dostawców i komunikację. Dla każdego obszaru trzeba wskazać odpowiedzialności, minimalne zasoby, działania awaryjne i progi eskalacji.
Dobry plan nie usuwa ryzyka. Ogranicza czas potrzebny na reakcję i zmniejsza zależność od improwizacji.
Co firma może zrobić w ciągu najbliższych dni
W pierwszym etapie należy zaktualizować listy kontaktowe i sprawdzić kanały komunikacji z pracownikami. Następnie trzeba przejrzeć procedury ewakuacji, pracy zdalnej, zabezpieczenia danych, cyberbezpieczeństwa i kontaktu z dostawcami.
Kolejnym krokiem powinien być briefing dla kierownictwa oraz krótkie szkolenie dla pracowników. Równolegle należy ustalić źródła informacji i zasadę przekazywania komunikatów w firmie.
Po tych działaniach warto przygotować krótki scenariusz testowy. Może dotyczyć ograniczenia dostępu do biura, niedostępności systemów, braku kontaktu z dostawcą, czasowej pracy zdalnej albo wzrostu prób phishingu.
Test pokaże, czy procedura jest zrozumiała i możliwa do wykonania.
Wnioski dla zarządów
Sytuacja za wschodnią granicą powinna zostać uwzględniona w zarządzaniu ryzykiem, planach ciągłości działania i procedurach kryzysowych. Organizacja nie powinna czekać na zdarzenie, które bezpośrednio zakłóci jej pracę.
W pierwszej kolejności trzeba sprawdzić podstawy: kontakty, role, komunikację, dostęp do systemów, kopie zapasowe, procedury ewakuacji, zasady pracy zdalnej i ochronę przed dezinformacją.
Firmy, które mają gotowe i przetestowane procedury, podejmują decyzje szybciej. Firmy, które ich nie mają, zwykle tracą pierwsze godziny na ustalanie spraw podstawowych.
Jeśli potrzebujesz pomocy w stworzeniu planu działania – napisz do nas zapytania@davidson.pl lub umów się ze mną na spotkanie
Davidson Consulting wspiera organizacje w przygotowaniu planów działania na wypadek kryzysu związanego z sytuacją za wschodnią granicą. Pracujemy nad scenariuszami, procedurami komunikacji, planami ciągłości działania, cyberbezpieczeństwem, ochroną przed dezinformacją i dokumentacją decyzji.
Plan powinien być możliwy do użycia w realnym zdarzeniu. Dlatego opracowujemy go na podstawie procesów, odpowiedzialności, zasobów i ograniczeń danej organizacji.
