Zarządzanie ciągłością działania

Pomagamy organizacjom przygotować się do utrzymania i odtworzenia krytycznych procesów w przypadku ich zakłócenia.

Ustalamy, które działania wymagają pierwszeństwa, jakie zasoby są niezbędne do ich realizacji i jak długo może trwać przerwa.

Na tej podstawie opracowujemy strategię i plany ciągłości działania oraz sprawdzamy skuteczność przyjętych rozwiązań podczas ćwiczeń i testów.

Wybierz zakres, który Cię interesuje

Pomagamy organizacjom, które:

tworzą system zarządzania ciągłością działania lub dostosowują go do zmian w organizacji i wymagań interesariuszy, w tym wymagań prawnych (DORA, Ustawa o KSC, Ustawa o zarządzaniu kryzysowym);

chcą poprawnie przeprowadzić analize BIA, wskazać krytyczne procesy, dopuszczalny czas przerwy oraz wymagania dotyczące ich utrzymania i odtworzenia, w tym wskaźniki RTO i RPO;

opracowują lub aktualizują strategię, plany i procedury ciągłości działania;

chcą sprawdzić w testach skuteczność przyjętych rozwiązań oraz przygotowanie zespołów i dostawców do reagowania na zakłócenia;

potrzebują pomocy w dokończeniu lub poprawie projektu BCM, którego dotychczasowy przebieg lub rezultaty nie spełniają oczekiwań (tzw. project rescue);

szukają stałego wsparcia w bieżącym utrzymaniu i doskonaleniu systemu BCM.

Co decyduje o skuteczności planów ciągłości działania?

Plan ciągłości działania (Business Continuity Plan, BCP) powinien określać, jak utrzymać lub odtworzyć procesy w przypadku ich zakłócenia. Jego skuteczność zależy od tego, czy przyjęte rozwiązania odpowiadają wymaganiom organizacji dotyczącym RTO, RPO i minimalnego poziomu działania (MBCO), czy potrzebne zasoby są dostępne, a osoby odpowiedzialne za działania potrafią je realizować.

Podstawą prawidłowego planu awaryjnego są wyniki analizy wpływu na działalność (BIA) i oceny ryzyka. Pozwalają ustalić priorytety, wymagania dotyczące ciągłości działania oraz zagrożenia, które należy uwzględnić przy wyborze strategii i opracowaniu planów. Przyjęte rozwiązania awaryjne wymagają także uzgodnienia z zespołami i dostawcami uczestniczącymi w ich realizacji przed zatwierdzeniem planu.

Ćwiczenia i testy pozwalają sprawdzić przyjęte założenia, użyteczność procedur i przygotowanie uczestników. Ich wyniki oraz zmiany zachodzące w organizacji i w jej otoczeniu stanowią podstawę do aktualizacji planów i ich doskonalenia.

W jaki sposób budujemy system zarządzania ciągłością działania

Analiza kontekstu organizacji

Zaczynamy od analizy kontekstu organizacji,w ramach której identyfikujemy wymagania interesariuszy zewnętrznych i wewnętrznych. Uwzględniamy je przy ustalaniu kryteriów oceny wpływu w BIA, aby priorytety ciągłości działania odpowiadały zobowiązaniom organizacji oraz potrzebom jej klientów, partnerów i zespołów.

Analiza wpływu
Impact App

Analizę wpływu biznesowego przeprowadzamy z użyciem Impact App, aplikacji, która prowadzi właściciela procesu przez kolejne kroki w ustrukturyzowanej sekwencji: od scenariusza najgorszego przypadku, przez szacowanie wpływu w kilku kategoriach dla kolejnych przedziałów czasowych, po wyznaczenie parametrów RTO i RPO oraz identyfikację zasobów. Właściciele procesów pracują samodzielnie, we własnym rytmie, bez wielogodzinnych warsztatów angażujących cały zespół.

Ocena ryzyka metodyką ERAMIS

Wyniki BIA zasilają bezpośrednio ocenę ryzyka prowadzoną metodyką ERAMIS oraz plany ciągłości działania i plany odtworzenia po awarii (Disaster Recovery Plan, DRP). Każdy etap dostarcza dane do kolejnego, więc organizacja nie powtarza tych samych analiz dla różnych celów. Efektem jest spójny system zarządzania ciągłością działania zgodny z ISO 22301, DORA i ustawą o KSC, z dokumentacją, która logicznie łączy wymagania interesariuszy z parametrami odtworzenia i właścicielami procesów. Wyniki poszczególnych analiz trafiają do zbiorczego rejestru dopiero po zatwierdzeniu wyników przez właściciela procesu.

We wszystkich projektach, poza modelem BPO, stosujemy podejście „train the trainer”: po zakończeniu projektu organizacja potrafi samodzielnie aktualizować BIA, prowadzić testy i utrzymywać system bez stałego wsparcia zewnętrznego.

Zakres usług zarządzania ciągłością działania

Analiza wpływu na biznes (BIA)

Przeprowadzamy analizę BIA zgodną z ISO 22301 §8.2 i wymaganiami DORA art. 11 z użyciem aplikacji Impact App. Dla każdego procesu szacujemy skutki przerwy w kilku kategoriach wpływu, dopasowanych do specyfiki klienta, w kolejnych przedziałach czasowych. Wynikiem jest lista procesów krytycznych z parametrami RTO i RPO opartymi na udokumentowanej analizie, gotowa do akceptacji przez Zarząd i weryfikacji przez audytora.

Dowiedz się więcej o analizie BIA

Opracowanie ram i polityki BCM

Projektujemy system zarządzania ciągłością działania, uwzględniając wymagania ISO 22301 oraz mające zastosowanie obowiązki wynikające z DORA, ustawy o KSC i ustawy o zarządzaniu kryzysowym. Na podstawie analizy kontekstu organizacji i wymagań interesariuszy określamy zakres systemu, strukturę zarządzania oraz podział ról i odpowiedzialności. Wynikiem jest polityka BCM i dokumentacja ram zarządzania ciąglością działania, dopasowane do specyfiki organizacji, stanowiące podstawę do wdrożenia i utrzymania systemu.

Potrzebuję polityki BCM

Plany ciągłości działania (BCP) i plany odtworzenia po awarii (DRP)

Opracowujemy plany ciągłości działania (BCP) i plany odtworzenia po awarii (DRP), dostosowane do specyfiki organizacji. Wykorzystujemy wyniki BIA i oceny ryzyka, aby ustalić zakres planów, priorytety oraz wymagania dotyczące utrzymania i odtworzenia procesów. W planach określamy zasady uruchomienia trybu awaryjnego i procedury eskalacji, a także role i zakresy odpowiedzialności, potrzebne zasoby oraz kolejność działań. Organizacja otrzymuje praktyczne instrukcje postępowania w przypadku zakłócenia, których skuteczność można sprawdzić podczas ćwiczeń i testów.

Umówmy się w sprawie BCP oraz DRP

Procedury zarządzania incydentami

Opracowujemy procedury zarządzania incydentami, łącząc zasady reagowania na zakłócenia i uruchamiania planów ciągłości działania z obowiązkiem zgłaszania incydentów do CSiRT, organów właściwych i klientów. Określamy kryteria klasyfikacji, ścieżki eskalacji, podział ról i odpowiedzialności oraz zasady komunikacji wewnętrznej i zewnętrznej. Wynikiem są procedury i szablony komunikacji dopasowane do struktury organizacji, jej procesów i wymagań sektorowych.

Chcę spotkania w tej sprawie

Testy i ćwiczenia

Projektujemy i przeprowadzamy testy planów ciągłości działania, od testów powiadamiania i przeglądów procedur po gry sztabowe i testy operacyjne. Każde ćwiczenie ma zdefiniowany cel, scenariusz i kryteria oceny. ISO 22301 wymaga prowadzenia ćwiczeń i testów oraz sporządzania raportów zawierających wyniki, rekomendacje i działania doskonalące. Dokumentacja ta jest również przydatna podczas audytów nadzorczych.

Dowiedz się więcej o testach

Business Process Outsourcing (BCM BPO)

Realizujemy uzgodnione zadania z zakresu zarządzania ciągłością działania (BCM) w modelu stałej miesięcznej obsługi. Przeprowadzamy cykliczne analizy BIA, uwzględniamy zmiany zachodzące w organizacji, organizujemy ćwiczenia i testy oraz aktualizujemy dokumentację. Zakres współpracy dostosowujemy do potrzeb organizacji i kompetencji jej zespołu. Organizacja otrzymuje stałe wsparcie specjalistów BCM, bez konieczności budowania własnego zespołu obejmującego wszystkie kompetencje potrzebne do utrzymania systemu.

Potrzebuję stałego wsparcia BCM

Dwadzieścia lat projektów w sektorach o najwyższych wymaganiach odporności operacyjnej.

Ponad 250 projektów dla instytucji finansowych, operatorów infrastruktury krytycznej, podmiotów administracji publicznej i organizacji przemysłowych w Polsce i Europie.

Treść strony opracowała

Renata Davidson

Współwłaścicielka
i Prezes Zarządu

PECB ISO 22301:2012 Master oraz certyfikat PECB Lead Cybersecurity Manager. Piastowała funkcję eksperta w zakresie zarządzania ciągłością działania przy Ministerstwie Infrastruktury, aktualnie ekspert techniczny ds. normy ISO 22301 w Polskim Centrum Akredytacji.

Najczęściej zadawane pytania o zarządzanie ciągłością działania

Czym jest system zarządzania ciągłością działania (BCM) i czym różni się od planu ciągłości działania?

System zarządzania ciągłością działania (Business Continuity Management, BCM) to całościowy proces obejmujący analizę wpływu biznesowego, ocenę ryzyka, opracowanie planów, testowanie gotowości i ciągłe doskonalenie. Plan ciągłości działania (BCP) jest jednym z elementów tego systemu — dokumentem operacyjnym, który opisuje, co robić, gdy proces zostanie przerwany. Organizacja, która ma plan, ale nie ma systemu, zwykle nie jest w stanie utrzymać tego planu w aktualnym stanie ani zweryfikować, czy nadal odpowiada rzeczywistości operacyjnej.

Jakie regulacje wymagają wdrożenia BCM i planów ciągłości działania?

Norma ISO 22301:2019 definiuje wymagania dla systemów zarządzania ciągłością działania i jest podstawą certyfikacji. Rozporządzenie DORA (UE 2022/2554) w artykule 11 nakłada na instytucje finansowe obowiązek identyfikacji funkcji krytycznych i istotnych oraz dokumentowania wymagań odtworzeniowych dla wspierających je systemów ICT. Dyrektywa NIS2 (UE 2022/2555) i polska ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) stawiają analogiczne wymagania podmiotom kluczowym i ważnym w sektorach krytycznych. System BCM zgodny z ISO 22301 dostarcza dokumentacji odpowiadającej tym wymaganiom bez konieczności tworzenia osobnych opracowań dla każdej regulacji.

Jak długo trwa wdrożenie systemu BCM i od czego zależy harmonogram projektu?

Czas zależy od zakresu organizacji, liczby procesów objętych analizą BIA i stanu istniejącej dokumentacji. Dla organizacji z dobrze udokumentowaną listą procesów kluczowych i dostępnymi właścicielami procesów etap BIA zajmuje zwykle dwa do czterech tygodni. Opracowanie planów i procedur realizujemy równolegle. Dla organizacji, które dopiero budują system od podstaw, pełne wdrożenie zajmuje od trzech do sześciu miesięcy — zależnie od złożoności regulacyjnej i liczby lokalizacji. Indywidualny harmonogram ustalamy podczas konsultacji wstępnej.

Czy analiza BIA i parametry RTO są weryfikowane podczas audytu ISO 22301?

Tak. Audytorzy certyfikujący ISO 22301 i inspektorzy organów nadzorczych sprawdzają, czy parametry RTO i RPO mają uzasadnienie w udokumentowanej analizie wpływu. Regularnie spotykamy organizacje, które mają gotowe plany ciągłości działania, ale nie są w stanie wyjaśnić, skąd wzięły się wartości RTO i dlaczego wybrały te, a nie inne procesy do objęcia planem. To luka, którą audytor znajdzie szybko. Dokumentacja BIA przeprowadzanej przez Davidson Consulting zawiera profil wpływu dla każdego procesu z uzasadnieniem parametrów odtworzenia i logicznym śladem audytowym od wymagania interesariusza do decyzji o klasyfikacji procesu jako krytycznego.

Czy w modelu BPO Davidson przejmuje pełną odpowiedzialność za system BCM?

W modelu BPO przejmujemy operacyjną odpowiedzialność za wyznaczone zadania BCM — prowadzenie analiz BIA, organizację testów, zarządzanie dokumentacją i monitorowanie zmian regulacyjnych wpływających na system. Odpowiedzialność zarządcza i decyzyjna pozostaje po stronie organizacji — Zarząd zatwierdza listę procesów krytycznych i wymagania odtworzeniowe, co jest wymagane zarówno przez ISO 22301, jak i przez regulacje finansowe. Nasi eksperci wspierają Zarząd merytorycznie przez cały czas trwania umowy BPO.

Jak testy planów ciągłości działania powinny wyglądać, żeby spełniały wymagania regulacyjne?

ISO 22301 wymaga regularnych testów, ale nie narzuca jednego formatu. Skuteczny program testów obejmuje co najmniej ćwiczenia konferencyjne (desk-top exercises), które weryfikują kompletność i spójność procedur, oraz symulacje scenariuszowe angażujące rzeczywisty zespół decyzyjny. Testy powinny mieć zdefiniowany cel, scenariusz i kryteria oceny — a ich wyniki, w tym zidentyfikowane luki i rekomendacje naprawcze, powinny być udokumentowane. DORA w artykule 11 dodatkowo wymaga testowania planów ciągłości w zakresie ICT co najmniej raz w roku. Projektujemy testy tak, żeby ich dokumentacja była użyteczna zarówno operacyjnie, jak i podczas audytu.

Co zyskuje organizacja po wdrożeniu rzetelnego systemu BCM

Dobrze zbudowany system zarządzania ciągłością działania skraca czas kolejnych etapów pracy. Gdy dojdzie do incydentu, organizacja nie szuka procedur, uruchamia te, które zostały przetestowane. Podczas audytu ma gotowy ślad audytowy, od wymagania interesariusza, przez wyniki BIA, po zatwierdzone przez Zarząd parametry odtworzenia. A w komunikacji z regulatorem, partnerami i klientami może pokazać udokumentowaną gotowość jako argument, a nie deklarację.

Pytanie brzmi rzadko „czy mamy plan ciągłości działania”, bo zwykle jakaś forma planu istnieje. Pytanie brzmi raczej: czy ten plan zadziała, gdy zajdzie taka potrzeba, i czy jesteśmy w stanie to udowodnić.

Skontaktuj się w sprawie oferty.

Interesują Cię nasze usługi w zakresie ciągłości działania?
A może chcesz dobrać szkolenia odpowiednie dla Twojej kadry? Skontaktuj się z nami i umów na bezpłatną konsultację.