ISO 22301:2019 u praksi — Deo 1: Uvod u BCMS i Klauzula 4 (Kontekst organizacije)
Cilj serije nije prepričavanje teksta standarda, već izgradnja realne, upotrebljive dokumentacije — politika, matrica, planova — kakvu bi auditor tražio na sertifikacionoj proveri.
Šta je BCMS i zašto je pivari uopšte potreban?
Sistem upravljanja kontinuitetom poslovanja (BCMS) nije IT Disaster Recovery plan, niti je to samo debeo fascikl koji čeka na polici do sledećeg audita. BCMS je upravljački sistem — skup međusobno povezanih procesa, politika, uloga i resursa — čiji je jedini zadatak da organizaciji omogući da nastavi isporuku proizvoda i usluga u prihvatljivom vremenskom okviru i na unapred definisanom kapacitetu tokom i nakon poremećaja.
Za pivaru poput „Zelenog Hmelja", razlozi za uvođenje BCMS-a su sasvim konkretni:
- Ugovorni zahtev — veliki maloprodajni lanci sve češće traže dokaz o kontinuitetu snabdevanja kao uslov za ulazak u lanac nabavke.
- Sezonalnost — najveći deo godišnjeg prometa ostvaruje se u letnjim mesecima; prekid punjenja boca u julu ima nesrazmerno veći finansijski efekat nego isti prekid u januaru.
- Regulatorni pritisak — akcizna roba, sanitarna kontrola i HACCP zahtevi nose sopstvene obaveze prijavljivanja i kontinuiteta.
- Rastuća zavisnost od IT/OT sistema — SCADA kontrola varionice, ERP za planiranje proizvodnje i cloud alati za prodaju danas su podjednako kritični kao i sama oprema u pogonu.
PDCA ciklus — kičma standarda
Standard je strukturiran po Plan-Do-Check-Act (Planiraj-Uradi-Proveri-Deluj) logici, koju ćemo pratiti kroz celu seriju:
| Faza | Klauzule | Šta pokriva |
|---|---|---|
| Plan (uspostavi) | 4, 5, 6 | Kontekst, liderstvo, planiranje ciljeva kontinuiteta |
| Do (primeni) | 7, 8 | Podrška, BIA, procena rizika, strategije, BCP planovi |
| Check (proveri) | 9 | Merenje performansi, interni audit, preispitivanje rukovodstva |
| Act (deluj) | 10 | Neusaglašenosti, korektivne mere, stalno poboljšanje |
Poslovni kontinuitet nije isto što i IT Disaster Recovery
Ovo je najčešća zabuna sa kojom se sreće svaka organizacija koja tek počinje implementaciju. IT Disaster Recovery (DR) je tehničko pitanje — kako vratiti server, bazu podataka ili aplikaciju u funkciju. Poslovni kontinuitet je poslovno pitanje — da li pivara i dalje može da proizvodi, puni i isporučuje pivo, bez obzira na to da li je uzrok prekida IT kvar, nestanak struje, bolest ključnog majstora pivara ili prekid isporuke hmelja.
| IT Disaster Recovery | Poslovni kontinuitet (BCMS) |
|---|---|
| Fokus na infrastrukturu, aplikacije, podatke | Fokus na poslovne procese i isporuku proizvoda/usluga |
| RTO/RPO definiše IT tim na osnovu tehničkih mogućnosti | RTO/RPO definiše vlasnik poslovnog procesa na osnovu uticaja na biznis |
| Podskup šireg plana | Obuhvata IT DR kao jednu od strategija oporavka |
Ovo razlikovanje je suština principa koji ćemo ponavljati kroz celu seriju: zahtevi dolaze od biznisa ka IT-ju, a ne obrnuto. Proizvodnja i komercijalni sektor pivare definišu koliko dugo mogu da izdrže bez punjenja boca. IT tim potom osmišljava tehnička rešenja koja taj zahtev ispunjavaju — IT ne sme samostalno da „izmisli" da je prihvatljivo da ERP bude nedostupan tri dana, ako to biznis nikada nije potvrdio.
Klauzula 4 — Kontekst organizacije
Klauzula 4 je temelj celog sistema. Pre nego što se uspostavi bilo kakva politika ili plan, organizacija mora razumeti u kom okruženju posluje, ko su njene zainteresovane strane i gde su granice sistema koji gradi.
4.1 — Razumevanje organizacije i njenog konteksta
Standard zahteva da organizacija identifikuje eksterne i interne faktore relevantne za njenu svrhu, koji utiču na sposobnost postizanja željenih ishoda BCMS-a. Za „Zeleni Hmelj" tim je taj popis izgledao ovako:
| Tip | Faktor konteksta | Relevantnost za BCMS |
|---|---|---|
| Eksterni | Sezonska koncentracija prometa (maj–avgust) | Prekidi u vršnom periodu imaju višestruko veći uticaj |
| Eksterni | Zavisnost od uvoznog hmelja i posebnih sojeva kvasca | Prekid lanca snabdevanja može zaustaviti varenje nezavisno od stanja IT/OT sistema |
| Eksterni | Nestabilnost javne elektro-mreže u industrijskoj zoni | Direktan rizik za rad varionice, hladnjača i punionice |
| Eksterni | Regulativa o akcizama i HACCP inspekcijama | Prekid mora biti prijavljen i dokumentovan u zakonskom roku |
| Eksterni | Rastući broj sajber napada na cloud servise (M365, SaaS CRM) | Prekid komunikacije sa kupcima i narudžbina |
| Interni | Zastarela PLC oprema u varionici (jedna linija, bez pune redundanse) | Jedna tačka otkaza za ceo proces kuvanja sladovine |
| Interni | Samo jedna aktivna linija punjenja boca | Kvar linije direktno zaustavlja isporuku gotovog proizvoda |
| Interni | Kritično znanje koncentrisano kod glavnog pivara i jednog SCADA inženjera | Rizik zavisnosti od ključnih pojedinaca |
| Interni | Ograničen IT budžet za redundantnu infrastrukturu | Utiče na izbor i realnost strategija u Klauzuli 8.3 |
Ovaj popis nije jednokratan zadatak — mora se preispitivati periodično i nakon svake veće promene (nova linija punjenja, migracija ERP-a u cloud, promena dobavljača energenata).
4.2 — Razumevanje potreba i očekivanja zainteresovanih strana
Standard (4.2.1) traži da organizacija identifikuje relevantne zainteresovane strane i njihove zahteve, dok 4.2.2 posebno izdvaja zakonske i regulatorne zahteve koje organizacija mora identifikovati, pratiti i dokumentovati.
Za „Zeleni Hmelj" tim je izradio sledeću matricu:
| Zainteresovana strana | Kategorija | Zahtev/očekivanje vezano za kontinuitet | Relevantnost za obim BCMS-a |
|---|---|---|---|
| Veliki maloprodajni lanci | Kupci | Garantovana isporuka po ugovorenom rasporedu; penali za kašnjenje | Visoka — direktno definiše RTO za punionicu i distribuciju |
| Dobavljači hmelja, slada i ambalaže | Dobavljači | Sopstveni planovi kontinuiteta koje pivara treba da proveri | Srednja — ulaz u procenu rizika lanca snabdevanja |
| Sanitarna i tržišna inspekcija | Regulator | Poštovanje HACCP procedura i tokom vanrednih situacija | Visoka — zakonski zahtev, ne sme se isključiti iz obima |
| Poreska uprava (akcize) | Regulator | Uredna evidencija proizvodnje i izlaza akcizne robe bez prekida | Visoka |
| Banka / osiguravajuća kuća | Finansijski partner | Dokaz o upravljanju rizikom kao uslov kreditnih linija/premije | Srednja |
| Zaposleni u proizvodnji i IT sektoru | Interna strana | Bezbednost, jasne uloge tokom vanrednih situacija | Visoka |
| Provajder cloud servisa (M365, backup, SaaS CRM) | IT partner/outsourcing | SLA garancije dostupnosti i vremena oporavka | Visoka — direktan ulaz u BIA za IT sisteme |
| Vlasnici / akcionari | Uprava | Zaštita reputacije i finansijske stabilnosti kompanije | Visoka — pokreće liderstvo iz Klauzule 5 |
| Lokalna zajednica | Društvo | Bezbedan rad postrojenja, ekološki uticaj u slučaju havarije | Srednja |
Napomena: standard eksplicitno navodi da se decision maker takođe smatra zainteresovanom stranom, kao i da su pogođene zajednice i lokalno stanovništvo uvek relevantne zainteresovane strane — što je posebno važno za proizvodni pogon poput pivare koja koristi značajne količine vode i energije.
4.3 — Određivanje obima sistema upravljanja kontinuitetom poslovanja
Ovo je klauzula gde teorija prelazi u prvi formalni dokument. Standard (4.3.2) jasno kaže: organizacija mora dokumentovati i obrazložiti isključenja iz obima, i ta isključenja ne smeju uticati na sposobnost i odgovornost organizacije da obezbedi kontinuitet poslovanja, kako je utvrđeno kroz BIA, procenu rizika ili primenjive zakonske zahteve.
U nastavku je formalni dokument koji „Zeleni Hmelj" koristi za definisanje granica svog BCMS-a.
Šta sledi
U narednom postu prelazimo na Klauzulu 5 — Liderstvo, gde ćemo pokazati kako top menadžment „Zelenog Hmelja" formalno usvaja Politiku kontinuiteta poslovanja i kako se raspodeljuju uloge i ovlašćenja između kriznog tima, IT sektora i vlasnika poslovnih procesa.
Comments
Post a Comment