ISO 22301 – Klauzula 8.1: Operativno planiranje i kontrola

U jednoj rečenici: pre nego što krenete da radite analizu uticaja na poslovanje, procenu rizika i pisanje planova, morate unapred odrediti pravila igre — kriterijume po kojima se ti procesi rade — jer bez zajedničkih pravila, svako odeljenje radi po sopstvenom osećaju, i rezultat je gomila nekompatibilnih dokumenata umesto jednog koherentnog sistema.

Šta klauzula zapravo traži

Pojednostavljeno, ova klauzula traži četiri stvari:

• Unapred odredite pravila. Pre nego što krenete da radite BIA, procenu rizika ili planove, dogovorite se po kom kriterijumu se nešto smatra "kritičnim procesom" i po kojoj skali se ocenjuje rizik. Konkretan primer sledi u nastavku teksta.
• Ta pravila zaista primenite. Nije dovoljno da kriterijumi postoje na papiru — neko treba redovno da proverava da li ih se svi u firmi zaista drže.
• Čuvajte dokaz da je posao rađen kako treba. Zapisnik, potpisan obrazac, popunjen šablon — nešto opipljivo, ne samo sećanje da je nešto urađeno.
• Pratite promene. I one koje svesno napravite, i one koje se dese same od sebe a niko ih zvanično ne prijavi — u oba slučaja, treba proceniti da li ta promena pravi problem za sistem.

Pored ovoga, standard traži i da ne zaboravite posao koji za vas obavljaju spoljne firme — dobavljači, logistika, cloud provajderi. Ako neki važan deo posla zavisi od nekog van vaše firme, i taj deo mora biti pod nekom vrstom kontrole, a ne prepušten pretpostavci da će "oni to već rešiti".

Ova klauzula je, u suštini, "upravljački okvir" za sve što sledi u ostatku klauzule 8 — BIA, procenu rizika, strategije i planove. Ne razrađuje sadržaj tih procesa (to dolazi u narednim tekstovima), nego postavlja pravila po kojima se oni rade i proveravaju.

Zašto je ovo bitno

Bez ove klauzule, vrlo je verovatno da će različiti delovi firme raditi analizu uticaja i procenu rizika svako na svoj način — jedno odeljenje meri uticaj u danima zastoja, drugo u dinarima izgubljenog prihoda, treće uopšte ne koristi merljive kriterijume nego subjektivnu procenu "veliki/mali problem". Kad rukovodstvo pokuša da uporedi i rangira rizike iz cele firme da bi odlučilo gde prvo da uloži novac, dobija neuporediva merenja iz kojih se ne može doneti pouzdana odluka. Kriterijumi iz ove klauzule postoje upravo da bi svi u firmi "merili istim metrom".

Primer iz prakse: Elektrotehna — uspostavljanje kriterijuma

Kad je BCM koordinator prvi put pokušao da sakupi BIA podatke od tri odeljenja (proizvodnja, nabavka, komercijala), otkrio je tačno ovaj problem: proizvodnja je uticaj merila u satima zastoja linije, nabavka u broju nedelja kašnjenja isporuke sirovina, a komercijala uopšte nije imala jasan način da izrazi uticaj, samo opisne ocene poput "ozbiljno" ili "podnošljivo". Rezultati se nisu mogli uporediti niti rangirati.

Pre nastavka, Elektrotehna je uspostavila zajedničke kriterijume za ceo BCMS:

• Kriterijum za "kritičan proces": proces se smatra kritičnim ako prekid duži od 8 sati izazove finansijski gubitak preko 500.000 dinara (direktan gubitak prihoda plus ugovorne penale) ili direktno ugrozi ispunjenje zakonske ili sertifikacione obaveze. Ovaj prag je izveden direktno iz podataka prikupljenih još u klauzuli 4.1 i 4.2 (ugovorni penali od 0,5% dnevno kod ključnih klijenata).
• Zajednička matrica rizika: svi rizici se ocenjuju po istoj skali od 1 do 5 za verovatnoću i za uticaj, sa jasno opisanim značenjem svakog broja (na primer, uticaj 5 = prekid preko 24 sata ili gubitak preko 2.000.000 dinara), tako da "visok rizik" znači isto kad ga oceni proizvodnja i kad ga oceni nabavka.
• Standardni šablon plana: svaki plan kontinuiteta, bez obzira koje odeljenje ga piše, mora sadržati iste obavezne delove — RTO, okidač za aktivaciju (kada se tačno plan pokreće), akcije u prvih sat vremena, akcije u prvih 24 sata, i kontakt listu. Ovo sprečava da jedan plan bude detaljna knjiga od dvadeset strana, a drugi jedan pasus napisan u žurbi.

Primer iz prakse: kontrola sprovođenja kriterijuma

Uspostavljanje kriterijuma nije dovoljno — standard traži i da se ta pravila zaista poštuju. BCM koordinator u Elektrotehni je uveo jednostavnu kontrolu: pre nego što bilo koji plan uđe u centralni registar dokumenata (iz klauzule 7.5), koordinator proverava da li sadrži sve obavezne delove i da li je ocena rizika data po dogovorenoj matrici, ne po sopstvenoj skali autora. Dodatno, jednom godišnje se organizuje kratka radionica kalibracije, gde predstavnici svih odeljenja zajedno prolaze kroz nekoliko primera i porede kako bi ocenili isti hipotetički scenario — ovo sprečava da, na primer, nabavka sistematski potcenjuje rizike, dok proizvodnja sve ocenjuje kao visok rizik "za svaki slučaj".

Primer iz prakse: kontrola promena

Ova klauzula se nadovezuje na klauzulu 6.3 (planiranje promena BCMS-a), ali ovde je fokus na operativnim procesima, uključujući i nenamerne promene. Konkretan primer iz Elektrotehne: tokom jedne vežbe, otkriveno je da je šef jedne smene neformalno promenio proceduru eskalacije — umesto da prvo zove BCM koordinatora kao što piše u planu, počeo je direktno da zove operativnog direktora, jer je smatrao da je to brže. Ova promena nikad nije zvanično prijavljena niti uneta u dokumentaciju.

Po zahtevu ove klauzule, takva nenamerna promena morala je da se preispita, ne samo ignoriše ili kažnjava. Ispostavilo se da je šef smene bio u pravu — direktan poziv operativnom direktoru je zaista brži u praksi. Umesto da se insistira na staroj proceduri, plan je zvanično izmenjen da odražava taj brži put, uz jasnu napomenu kada se koji kontakt zove. Da je promena bila loša, ista analiza bi vodila u drugom pravcu — vraćanje na staru proceduru uz objašnjenje zaposlenima zašto je to bitno.

Primer iz prakse: kontrola eksternalizovanih procesa

Elektrotehna je ranije (u klauzuli 4.3) odredila da transport i špediciju obavlja spoljna logistička firma, čiji kontinuitet ne upravlja direktno, ali čiji prekid utiče na sopstveno poslovanje. Da bi ispunila zahtev ove klauzule, Elektrotehna je u ugovor sa špediterom unela konkretnu klauzulu: špediter je obavezan da obavesti Elektrotehnu u roku od dva sata o bilo kom događaju koji ugrožava dogovorene rokove isporuke, i da ima definisanu alternativu (rezervna vozila ili partnersku firmu) za slučaj kvara sopstvenog voznog parka.

Isti princip primenjen je i na cloud provajdera ERP sistema — Elektrotehna je proverila uslove ugovora (SLA) da vidi da li garantovano vreme oporavka provajdera zaista zadovoljava sopstveni cilj RTO-a od 8 sati, umesto da to jednostavno pretpostavi, što je direktno rešavanje zablude opisane ranije u seriji — "cloud provajder se brine o svemu".

Smernice za dokumentaciju

Za ovu klauzulu, korisno je imati kratak dokument sa dogovorenim kriterijumima (prag za "kritičan proces", matrica rizika, obavezni delovi plana) koji služi kao referenca svima koji rade BIA, procenu rizika ili pišu planove. Za kontrolu promena, dovoljna je jednostavna evidencija — kad se otkrije nenamerna promena (tokom vežbe ili incidenta), zabeležiti šta je promenjeno, da li se prihvata ili ispravlja, i ažurirati odgovarajući dokument. Za eksternalizovane procese, relevantne ugovorne klauzule (ili SLA dokumenti) treba da budu povezani sa odgovarajućim planom u centralnom registru, tako da je jasno na koga se firma oslanja i pod kojim uslovima.

Najčešća greška

Najčešća greška je preskakanje ove klauzule u praksi — firme krenu direktno na pisanje BIA i planova bez ikakvih zajedničkih pravila, pa se tek kasnije, kad pokušaju da sve to sažmu na nivou cele firme, otkrije da su odeljenja merila potpuno različitim merilima. Druga česta greška je pretpostavka da spoljni izvršioci (dobavljači, logistika, cloud provajderi) automatski imaju sopstveni kontinuitet na nivou koji vama treba, bez da se to ikad proveri ugovorom ili konkretnim pitanjem — što ostavlja rupu u sistemu tačno na mestu koje firma ne kontroliše direktno.