ISO 22301 – Klauzula 6.1: Radnje za rešavanje rizika i mogućnosti

U jednoj rečenici: ova klauzula ne pita "šta može da pogodi naše poslovanje" (to dolazi kasnije, u klauzuli 8.2) — pita "šta može da pogodi sam sistem kontinuiteta poslovanja i spreči ga da radi svoj posao", što je iznenađujuće čest izvor zabune.

Šta klauzula zapravo traži

Kad planira BCMS, organizacija treba da uzme u obzir faktore iz konteksta (4.1) i zahteve zainteresovanih strana (4.2), i da odredi rizike i mogućnosti koje treba adresirati kako bi: dala uverenje da BCMS može da postigne planirane rezultate, sprečila ili smanjila neželjene efekte, i ostvarila kontinuirano unapređenje. Zatim treba isplanirati konkretne radnje za te rizike i mogućnosti, i kako će se te radnje integrisati u procese BCMS-a i oceniti njihova efikasnost.

Ključna razlika koju treba upamtiti: ovo nisu rizici po poslovanje firme (požar, kvar mašine, gubitak dobavljača) — to je predmet klauzule 8.2. Ovo su rizici po sam sistem upravljanja kontinuitetom — stvari koje mogu da spreče da BCMS uopšte funkcioniše kako treba.

Zašto je ovo bitno

Firme koje ovu klauzulu pomešaju sa procenom rizika iz 8.2 završe sa dva registra rizika koja govore skoro istu stvar, dok pravo pitanje — "da li nešto ugrožava sam sistem, a ne samo poslovanje koje on treba da štiti" — ostane bez odgovora. A upravo se tu često dešava propast BCM projekata: ne zato što firma nije prepoznala rizik od požara, nego zato što je sistem koji treba da upravlja tim rizikom sam po sebi krhak — zavisi od jedne osobe, dupli je posao sa postojećim sistemima, ili gubi prioritet čim se promeni rukovodstvo.

Primer iz prakse: Elektrotehna

Kad je Elektrotehna prošla kroz ovu klauzulu, fokus nije bio na fizičkim pretnjama poslovanju, nego na pretnjama samom sistemu:

• Rizik: BCM projekat je dobio zamah zahvaljujući ličnom angažovanju generalnog direktora (opisano u tekstu o klauzuli 5.1) — ali ako on promeni poziciju ili firmu, sistem bi mogao da izgubi prioritet preko noći. Radnja: kontinuitet poslovanja je formalno ugrađen kao stalna tačka kvartalnih sastanaka uprave, nezavisno od toga ko trenutno vodi firmu, tako da institucija, ne pojedinac, nosi odgovornost.
• Rizik: Elektrotehna već ima sertifikovan sistem upravljanja kvalitetom (ISO 9001) sa sopstvenim ciklusom internih provera i preispitivanja. Odvojen, paralelan BCM sistem bi udvostručio administrativni teret i zamorio zaposlene sastancima. Mogućnost: kvartalno preispitivanje BCMS-a je spojeno sa postojećim kvartalnim pregledom kvaliteta — isti sastanak, dodatna tačka dnevnog reda, umesto potpuno novog procesa.
• Rizik: BCM koordinator je preopterećen, jer pored redovnog posla vodi i ceo BCM sistem. Ako ostane bez vremena, dokumentacija počinje da zastareva, što direktno ugrožava pouzdanost celog sistema. Radnja: deo odgovornosti formalno prebačen na vlasnike pojedinačnih planova (uspostavljeno u klauzuli 5.3), tako da koordinator koordiniše, a ne radi sve sam.
• Mogućnost: firma je u procesu digitalizacije dela dokumentacije zbog drugih projekata (ERP nadogradnja) — ovo je prepoznato kao prilika da se i BCM dokumentacija preseli u istu, već planiranu digitalnu platformu, umesto da se kasnije posebno ulaže u alat samo za BCM.

Nijedna od ovih stavki nije "šta ako izbije požar" — sve su o tome da li sam sistem ima šansu da preživi promene, preopterećenje i administrativni zamor, što je, iskreno, češći uzrok propasti BCM projekata od stvarnih katastrofa.

Smernice za dokumentaciju

Dovoljna je kratka tabela: rizik ili mogućnost vezana za sistem, planirana radnja, ko je odgovoran, i kako će se proceniti da li je radnja bila efikasna (na primer, "posle godinu dana proveriti da li je BCM tačka dnevnog reda i dalje redovno prisutna na sastancima uprave"). Bitno je da ovaj dokument bude jasno odvojen od registra rizika iz klauzule 8.2, sa naznakom da se radi o dva različita nivoa — sistemskom i operativnom.

Najčešća greška

Najčešća greška je upravo mešanje sa klauzulom 8.2 — firme ovde nabroje fizičke i operativne rizike (kvar mašine, gubitak dobavljača) umesto rizika po sam sistem upravljanja. Druga česta greška je identifikovanje rizika bez konkretne radnje i bez načina da se proveri da li je radnja upalila — lista rizika bez plana i bez merila uspeha je samo još jedan dokument koji niko ne koristi.