DOBRE PRAKTYKI Plan ciągłości działania - dlaczego firma powinna go mieć?

Pandemia uświadomiła wielu firmom, że chociaż nie da się przewidzieć wszystkich czarnych scenariuszy, posiadanie sprawdzonego planu ciągłości działania to czasem różnica pomiędzy być a nie być.Kiedy w marcu tego roku okazało się, że praca zdalna to jednak konieczność, byliśmy gotowi. Praktycznie z dnia na dzień przeszliśmy w tryb home-office, a wkrótce potem nasz biurowiec całkowicie się zamknął. Po ustaleniu kanałów komunikacji i cotygodniowych spotkań międzydziałowych, na których omawialiśmy bieżące wydarzenia, staliśmy się wirtualni w stu procentach. Administracja, obsługa IT, wsparcie klienta, sprzedaż, marketing – każdy obszar naszej pracy funkcjonował od teraz online, a my nie wiedzieliśmy nawet, kiedy będziemy mogli wrócić do biura. W takim położeniu przepracowaliśmy dwa miesiące, by dopiero z początkiem czerwca uruchomić pierwsze dyżury w firmie. Jak będziemy wspominać ten okres?

Wiemy, że nie wszystkie firmy oferują produkt cyfrowy, a co za tym idzie, nie są w stanie, przynajmniej w teorii, gładko przejść do pracy w trybie zdalnym. W końcu ciężko oczekiwać od producenta mebli, że nagle porzuci linie produkcyjne i przestawi się na sprzedaż trójwymiarowych modeli CAD swoich produktów, o ile oczywiście nie postanowi dopasować oferty do potrzeb fanów The Sims. Jednak obserwując także rynek cyfrowy, widzieliśmy, jak dużą różnicę robi dobrze skonstruowany plan ciągłości działania. Zapewnienie spokoju ducha, który jest jedną z naszych kluczowych wartości, nie mógł przyjąć bardziej namacalnej formy.

Pandemia skłoniła nas do wnikliwego spojrzenia na poziom organizacji w firmie. BCP (business continuity plan) z reguły zakłada odpowiednie przeciwdziałania ryzyku utraty ciągłości biznesu, a zagrożenie epidemiczne jest jednym z czynników uniemożliwiających prowadzenie działalności. W takiej sytuacji warto pamiętać nie tylko o zabezpieczeniu łańcucha dostaw czy zapewnieniu środków ochrony osobistej pracownikom, ale także, co nie jest tak oczywiste, o narzędziach takich jak podpis elektroniczny, którego brak może drastycznie ograniczyć decyzyjność zarządu spółki, gdy kontakt fizyczny jego członków jest ograniczony lub niemożliwy.

Ważne jest też odpowiednie przeszkolenie pracowników, zaznajomienie ich z procedurami postępowania, podział ról w momencie wystąpienia przypadku zakłócenia ciągłości działania i wiele innych zagadnień. O tym, jakie trudności firma może napotkać, dowiadujemy się często dopiero, gdy stajemy z nimi twarzą w twarz. A tymczasem wiele kwestii z zakresu BCP warto rozważyć zawczasu. Warto, na przykład, zadać sobie pytanie, czy firma wie, jak przestrzegać przepisów RODO w pracy na odległość? Czy pracownicy korzystają z zabezpieczonych sieci podczas pracy z domu? Czy mamy optymalne rozwiązania MDM (mobile device management)? Przedsiębiorców, w związku z obostrzeniami, najbardziej zaskoczyły właśnie kwestie administracyjne i technologiczne.
Im lepiej wdrożony system zarządzania ciągłością działania, tym mniejsze straty finansowe dla firmy i więcej możliwości manewru, gdy pojawią się trudności. W żadnym przypadku nie jest to zbędnie podjęty wysiłek, co ostatnie kilka miesięcy potwierdziły.

Patrząc na zachowanie ciągłości działania samych systemów informatycznych, firmy są pod tym względem zazwyczaj dużo lepiej przygotowane. IT Continuity Plan jest standardem niejako wpisanym w funkcjonowanie działu IT. To znane powiedzenie, że praca zespołu IT opiera się na gaszeniu pożarów i łataniu dziur. Dlatego też działy informatyczne stosunkowo łatwo dostosowały się do pracy zdalnej (w pewnym sensie działają w takim trybie na co dzień). Procedury na wypadek, gdy, na przykład, serwer ulegnie awarii lub system wykryje zagrożenie, muszą być opracowywane na bieżąco, dlatego pandemia i związana z nią konieczność pracy zdalnej nie były dużym wyzwaniem dla działów IT.

Niemniej dobre ITCP to nie tylko backup i VPN dla inżynierów. To przede wszystkim cała infrastruktura Disaster Recovery, na którą możemy przełączyć nasze systemy w razie awarii infrastruktury zapasowej, najlepiej oddalona o kilkaset kilometrów, co dodatkowo minimalizuje ryzyko pojawienia się awarii w obu serwerowniach jednocześnie.

Jednym z istotnych parametrów IT Continuity Plan jest też RPO. RPO (recovery point objective), czyli punkt odzyskiwania danych, np. na poziomie 15 minut, oznacza, że dane z serwerowni głównej kopiowane są do serwerowni zapasowej co kwadrans, a więc, w przypadku awarii głównego serwera, klient utraci postępy pracy maksymalnie z ostatniego kwadransa.

Z kolei parametr RTO (recovery time objective) oznacza czas niezbędny do przełączanie usługi na środowisko zapasowe (Disaster Recovery). Projektując RPO i RTO warto rozważyć różne scenariusze awarii i opracować szczegółowe procedury postępowania, a następnie przetestować je z zespołem, dzięki czemu będziemy przygotowani na (prawie) każdą sytuację.

W związku z tym, że działamy w branży ochrony poufnych informacji, dbamy o bezpieczeństwo i zachowanie ciągłości wyjątkowo skrupulatnie. W grę wchodzi w końcu płynność postępowań w wielomilionowych procesach naszych klientów. W ciągu 11 lat wypracowaliśmy ścisłe zasady postępowania. Nasz Koordynator ciągłości działania tak opisuje ostatnio zrealizowane testy zachowania ciągłości:

„Stworzyliśmy możliwość dla członków zespołu do przećwiczenia ról i odpowiedzialności, a także możliwość grupowej dyskusji na procedurami. Chcieliśmy, aby poszczególne osoby nie tylko czuły się przygotowane na realizację swoich zadań w sytuacji awarii, ale też by zespół obsługi klienta miał okazję zadać pytania, których, być może, zespół projektowy sobie wcześniej nie zadał. Zależało nam na tym, żeby wszyscy rozumieli tzw. “big picture”. Regularnie aktualizujemy procedury zapewnienia ciągłości i co roku przeprowadzamy ich retesty.”

W tym roku nasze testy zachowania ciągłości przypadł tuż przed pandemią. W testach brał udział niemal zupełnie inny skład zespołu od tego, który opracowywał oryginalne założenia, a mimo to, nie napotkaliśmy większych trudności. Jako że testy wykonujemy regularnie, a ewentualne incydenty, które pojawią się w trakcie, z każdym kolejnym “przeglądem” jeszcze bardziej uszczelniają nasz system na wypadek trudności, jesteśmy spokojni, że nawet pandemia nie przeszkodzi użytkownikom w pracy. A taki jest przecież cel nadrzędny całego przedsięwzięcia.

Zresztą sam system VDR to w pewnym sensie składnik planu zachowania ciągłości działania naszych Klientów. Z jego pomocą każda firma będzie w stanie płynnie przenieść w tryb zdalny procesy wymagające zachowania poufności, jak na przykład pozyskiwanie kredytowania, restrukturyzację, audyt, rozmowy z kontrahentami i prawnikami, pracę na dokumentach i wiele innych. Konieczność pracy na odległość nie musi wiązać się ze wstrzymywaniem lub odwoływaniem projektów z udziałem zewnętrznych partnerów i klientów firmy. Mogą być one efektywnie prowadzone np. w Data Roomie.

Wszyscy chcemy wierzyć, że pandemia jak ta z COVID-19 nie powtórzy się, ale mimo tego nie należy odkładać przygotowań na później. Każde opóźnienie działalności i brak możliwości podejmowania decyzji, jak w przypadku pandemii, to straty dla biznesu. A to tylko jedna z przyczyn, dla których BCP warto mieć zawsze pod ręką.