ISO 22301 – Klauzula 9.3: Preispitivanje od strane rukovodstva

U jednoj rečenici: ovo je tačka gde se sve što smo pratili kroz celu seriju — pokazatelji, nalazi provere, rezultati vežbi, status ciljeva, promene u firmi i njenom okruženju — konačno sastaje na jednom mestu, pred ljudima koji imaju ovlašćenje da donesu odluke i odobre resurse, ne samo da saslušaju izveštaj.

Šta klauzula zapravo traži

Najviše rukovodstvo treba u planiranim intervalima da preispita BCMS, kako bi se uverilo da je i dalje odgovarajući, adekvatan i efikasan. Preispitivanje treba da razmotri:

• status radnji dogovorenih na prethodnom preispitivanju,
• promene u spoljašnjem i unutrašnjem kontekstu (klauzula 4.1),
• promene u potrebama i očekivanjima zainteresovanih strana (klauzula 4.2),
• informacije o performansama — trendove neusaglašenosti i korektivnih radnji, rezultate praćenja i merenja (9.1), rezultate interne provere (9.2), rezultate vežbi (8.5), i status ispunjenja ciljeva kontinuiteta (6.2),
• povratne informacije zainteresovanih strana koje se odnose na kontinuitet poslovanja,
• prilike za dalje unapređenje.

Rezultat preispitivanja mora sadržati konkretne odluke — o prilikama za unapređenje i o eventualnoj potrebi za izmenom BCMS-a, uključujući potrebne resurse. Ne dovoljno je samo saslušati izveštaje; preispitivanje mora proizvesti odluke.

Zašto je ovo bitno

Kroz celu ovu seriju, gradili smo ka baš ovoj tački. Pokazatelji iz klauzule 9.1, nalazi provere iz 9.2, evaluacija iz 8.6, rezultati vežbi iz 8.5 — svaki od njih, posmatran izolovano, daje samo deo slike. Bez preispitivanja od strane rukovodstva, ti delovi ostaju razbacani po različitim izveštajima koje čita samo BCM koordinator. Ova klauzula postoji da bi neko sa ovlašćenjem da odobri budžet i menja prioritete firme sve to video zajedno, i doneo odluku — tačno onako kako je opisano još u klauzuli 5.1, gde je rukovodstvo prvi put preuzelo stvarnu ulogu u sistemu.

Detaljan primer: godišnje preispitivanje u Elektrotehni

Evo kako izgleda jedan konkretan, godišnji sastanak preispitivanja, sa svim elementima koje standard traži.

1. Status radnji sa prethodnog preispitivanja

Od tri radnje dogovorene prošle godine, dve su zatvorene: skraćen interval sinhronizacije backupa sa 4 na 2 sata (posle nalaza sa vežbe opisane u klauzuli 8.5), i uveden korak da se obrasci o kompetentnosti automatski prosleđuju BCM koordinatoru (korektivna radnja iz interne provere, klauzula 9.2). Treća radnja — kvalifikacija drugog alternativnog dobavljača sirovina — još je u toku, sa novim rokom.

2. Promene u kontekstu

Od prošlog preispitivanja, firma je proširila poslovanje sa manjim, trećim skladištem, koje još nije formalno uključeno u obuhvat BCMS-a (klauzula 4.3). Takođe, spoljni signali o porastu ransomware napada na proizvodne firme u regionu, već pomenuti u evaluaciji iz klauzule 8.6, i dalje su aktuelni.

3. Promene kod zainteresovanih strana

Jedan od dva ključna klijenta je ove godine potpisao produžen ugovor sa strožim uslovima isporuke — penali sada počinju posle 12, ne 24 sata kašnjenja. Ovo direktno menja pretpostavku na kojoj je RTO za ERP sistem izračunat u klauzuli 8.2, i zahteva ponovnu proveru margine.

4. Informacije o performansama

Rukovodstvu je predstavljen sažetak: RTO za ERP sistem izmeren na 6 sati i 40 minuta (cilj bio 8 sati — ispunjen, uz napomenu iz tačke 3 da treba ponovo proveriti maržu prema novom ugovoru). Svi kritični procesi su testirani bar jednom u poslednjih 12 meseci (100%, cilj ispunjen). Jedna neusaglašenost iz interne provere, zatvorena. Nula neaktivnih rizika bez definisanog tretmana u registru.

5. Povratne informacije zainteresovanih strana

Isti ključni klijent koji je produžio ugovor, prilikom pregovora je eksplicitno pomenuo da je primetio poboljšanu pouzdanost isporuka u odnosu na prethodnu godinu — neformalna, ali vredna potvrda da ulaganje u sistem kontinuiteta ima merljiv efekat na poslovni odnos, ne samo na interne pokazatelje.

6. Prilike za unapređenje

Na osnovu preporuke iz godišnje evaluacije (klauzula 8.6), predložena je realističnija vežba za ransomware scenario umesto dosadašnje diskusione, uz razmatranje investicije u tehnologiju za rano otkrivanje napada.

Odluke doneta na sastanku

Za razliku od običnog izveštaja, sastanak se završava konkretnim, zapisanim odlukama:

• Odobren budžet za tehnologiju ranog otkrivanja cyber pretnji, sa rokom implementacije do sledećeg preispitivanja.
• Naloženo da se do sledećeg kvartala treće skladište formalno uključi u obuhvat BCMS-a, sa sopstvenom BIA analizom.
• Naloženo IT menadžeru da ponovo proveri da li RTO od 8 sati za ERP i dalje ostavlja dovoljnu marginu s obzirom na novi, stroži ugovorni rok od 12 sati.
• Potvrđeni ciljevi za narednu godinu, uz dodatak novog cilja vezanog za ransomware spremnost.

Svaka od ovih odluka ima jasnog vlasnika i rok — iste discipline koju smo videli još kod postavljanja ciljeva u klauzuli 6.2.

Smernice za dokumentaciju

Zapisnik preispitivanja treba da prati redosled iz standarda — status prethodnih radnji, promene u kontekstu, promene kod zainteresovanih strana, performanse, povratne informacije, prilike za unapređenje — i da se završi jasnom listom odluka sa vlasnicima i rokovima, ne opisom diskusije. Ovaj zapisnik postaje ulazna tačka za sledeće preispitivanje (tačka 1 u sledećem ciklusu), čime se zatvara krug kontinuiranog unapređenja koji ćemo detaljnije obraditi u klauzuli 10.

Najčešća greška

Najčešća greška je da preispitivanje postane puko slušanje izveštaja — rukovodstvo sasluša brojke, klimne glavom, i sastanak se završi bez ijedne nove odluke ili izmene budžeta. Takvo preispitivanje formalno ispunjava obavezu da se sastanak održi, ali ne ispunjava svrhu klauzule. Druga česta greška je selektivno izveštavanje — iznošenje samo dobrih rezultata (RTO ispunjen, vežbe uspešne), uz prećutkivanje otvorenih problema poput promenjenog ugovornog roka koji zahteva ponovnu proveru — što rukovodstvu daje lažan osećaj sigurnosti umesto stvarne slike na osnovu koje treba da odlučuje.