Analiza wpływu na działalność (BIA) bywa traktowana jak dokument, który trzeba wypełnić przed audytem. W małej firmie ma jednak prostsze zadanie: pomóc ustalić, które procesy trzeba odtworzyć najpierw, gdy coś przestaje działać. Poniżej pokazuję, jak przejść od listy procesów do uzasadnionych priorytetów odtwarzania. Przykłady są ilustracyjne i wymagają dopasowania do działalności firmy.
Od czego zacząć BIA w małej firmie
Punktem wyjścia jest lista procesów, ale nie taka, która miesza działy, zadania i narzędzia. Warto zacząć od procesów rozumianych jako ciąg działań, który dostarcza produkt lub usługę klientowi albo utrzymuje firmę w ruchu. Przykład ilustracyjny: zamiast wpisywać "księgowość", opisz proces "obsługa dokumentów kosztowych i rozliczeń".
Norma ISO 22301:2019 jest opublikowaną normą wymagań dla systemu zarządzania ciągłością działania. ISO opisuje ją jako ramy planowania, wdrażania, monitorowania i doskonalenia zdolności organizacji do reagowania na zakłócenia i odtwarzania działania. Publiczna strona normy nie podaje gotowych progów BIA, RTO ani MTPD dla firm, dlatego żadnych wartości nie należy z niej przenosić mechanicznie. Więcej o samej normie przeczytasz w artykule ISO 22301 - system ciągłości działania krok po kroku.
Drugim punktem odniesienia jest ISO 22313:2020, opublikowany przewodnik stosowania wymagań ISO 22301. ISO wskazuje, że podejście jest odpowiednie dla organizacji różnych rozmiarów, a dobór rozwiązania zależy od środowiska i złożoności. To ważne dla małej firmy: nie musi kopiować struktury dużej organizacji, ale powinna zachować logikę analizy.
Jak opisać proces, żeby dało się go porównać
Procesy trzeba opisać w sposób, który pozwala je zestawić ze sobą. Dla każdego wpisz krótko:
- co powstaje na wyjściu procesu i kto tego potrzebuje,
- jakie zasoby są niezbędne: ludzie, systemy, dostawcy, lokalizacja,
- co się dzieje, gdy proces staje, i kto to zauważy pierwszy,
- jakie zależności wewnętrzne i zewnętrzne wpływają na jego wznowienie.
Ten opis nie wymaga jeszcze liczb. Chodzi o to, by przy kolejnym kroku porównywać podobne rzeczy, a nie ogólne etykiety. Jeśli w firmie działa zintegrowany system zarządzania, warto sprawdzić, czy opis procesów jest spójny z dokumentacją innych norm - pomoże w tym materiał IMS - zintegrowany system zarządzania.
Pytania o wpływ, które porządkują priorytety
BIA nie polega na wymyślaniu progów, lecz na zadawaniu pytań o skutki przerwy. Na pierwszym warsztacie pomocne są powtarzalne pytania do każdego procesu, zadawane również dla kilku kolejnych momentów przerwy:
- Które zobowiązania wobec klientów lub partnerów są zagrożone jako pierwsze?
- Jakie skutki finansowe, prawne lub wizerunkowe mogą się pojawić i po jakim czasie?
- Które procesy blokują inne procesy, gdy staną?
- Które zasoby są trudne do szybkiego zastąpienia?
Odpowiedzi mogą mieć formę jakościową, np. "wpływ wysoki, średni, niski", z krótkim uzasadnieniem. Taka ocena pomaga uporządkować wstępne priorytety, jeśli uzasadnienie jest zapisane i możliwe do sprawdzenia. Następnie trzeba uzgodnić akceptowalny poziom działania i czasy odtworzenia na podstawie zobowiązań oraz danych firmy.
Próg, którego nie umiesz uzasadnić, nie jest ustaleniem - jest zgadywaniem. W BIA lepiej mieć mniej liczb, ale każdą opartą na rzeczywistym zobowiązaniu lub obserwacji.
Od wpływu do priorytetów odtwarzania
Po zebraniu odpowiedzi procesy można ustawić w kolejności. Praktyczny sposób to grupowanie: najpierw te, których przerwa najszybciej uderza w klienta lub w zobowiązania regulacyjne, potem te, które wspierają je pośrednio, na końcu te, których przerwa jest odczuwalna, ale możliwa do zniesienia krótko. Kolejność powinna wynikać z zapisanych uzasadnień, a nie z tego, kto głośniej mówi na spotkaniu.
Dopiero na tym etapie pojawia się miejsce na parametry odtwarzania, takie jak docelowy czas odtworzenia czy maksymalny akceptowalny czas przerwy. ISO 22313:2020 wskazuje, że wytyczne dotyczą zdolności utrzymania produktów i usług na wcześniej określonym akceptowalnym poziomie podczas zakłócenia. Strona normy nie zawiera uniwersalnej tabeli czasów odtworzenia, więc wartości trzeba wypracować wewnątrz firmy i udokumentować założenia.
Jak uniknąć typowych błędów w małej firmie
Najczęstsze ryzyko to przenoszenie szablonów z większych organizacji bez dopasowania. Drugie to opisywanie stanowisk zamiast procesów. Trzecie - pomijanie dostawców i systemów zewnętrznych, które w małej firmie mogą być pojedynczym punktem awarii.
Warto też rozdzielić role: osoba prowadząca proces opisuje zależności, a osoba odpowiedzialna za ciągłość działania porównuje wpływy między procesami. Taki podział zmniejsza ryzyko, że każdy dział oceni siebie jako najważniejszy. Ustalenia powinny być zapisane w formie możliwej do przeglądu, np. tabeli z uzasadnieniami.
Praktyczny plan pierwszego przejścia
- Zbierz listę procesów w jednym miejscu i usuń duplikaty oraz etykiety działów.
- Opisz każdy proces według czterech elementów: wyjście, zasoby, skutek przerwy, zależności.
- Zadaj pytania o wpływ i zapisz odpowiedzi wraz z uzasadnieniem.
- Uporządkuj procesy w grupy priorytetów na podstawie uzasadnień.
- Dopiero potem ustal parametry odtwarzania i zapisz założenia, na których się opierają.
- Zaplanuj przegląd ustaleń, gdy zmieni się zakres usług, dostawcy lub systemy.
Takie pierwsze przejście nie wymaga gotowych progów ani danych porównawczych. Wymaga natomiast konsekwencji w zapisie i gotowości do rewizji. Norma ISO 22301:2019 jest przeznaczona do rewizji, więc warto śledzić status wydania i nie opierać dokumentacji na nieopublikowanych zapowiedziach. Aktualny status znajdziesz na stronie ISO 22301:2019, a wytyczne do stosowania wymagań - na stronie ISO 22313:2020.