ISO 27031: Finalni MBCO i odgovornost top menadžmenta (klauzula 12–13)

12 – Finalni MBCO

Zavisno od situacije, moguće je da IRBC u početku ne može da ispuni MBCO koji je poslovanje postavilo koristeći IT. U tom slučaju, IRBC ne ispunjava zahteve kontinuiteta koje je poslovanje postavilo. Ako postoji jaz između zahteva i sposobnosti, postoje samo dve opcije:

• zatvoriti jaz unapređenjem sposobnosti
• prihvatiti jaz i uključiti ga u risk registar

Kad se bira zatvaranje jaza, u zavisnosti od troška unapređenja IRBC-a, organizacija treba da preispita svoje poslovne zahteve i mogućnosti unapređenja IRBC-a, tako da se u budućnosti MBCO za IT može unaprediti i približiti ispunjavanju zahteva kontinuiteta poslovanja. Ovaj pregled i unapređenje IRBC-a treba da se sprovede kroz BCM, od strane odgovarajućeg menadžmenta.

Ovo je trenutak u standardu kad se konačno zatvara priča koju pratimo kroz celu seriju. Zavisnost identiteta nije problem koji "treba rešiti jednog dana" – standard traži da se, na osnovu svega što je utvrđeno, donese jedna od samo dve moguće odluke, formalno i sad, ne neodređeno odloženo.

Primer: Sad VoxServis ima sve što mu treba da donese tu odluku za zavisnost identiteta. MBCO koji je poslovanje postavilo: telefonske linije moraju da rade u roku od 30 minuta. Trenutna IRBC sposobnost: dva sata, netestirano. Jaz definitivno postoji. Opcija jedan – zatvoriti jaz: uvesti topli standby, drugi domenski kontroler u Novom Sadu, što bi realno moglo da spusti RTO ispod 30 minuta. Opcija dva – prihvatiti jaz: eksplicitno upisati u risk registar da trenutna sposobnost ne ispunjava ugovorenu obavezu, uz svesnu odluku menadžmenta da li se to rešava pregovorom sa klijentom o realnijem roku, ili se prihvata izloženost penalima kao proračunat rizik. Ono što VoxServis ne sme da radi jeste ono što je do sad radio – da jaz postoji, ali nikad formalno ne uđe ni u jednu od te dve kategorije.

Šta treba uraditi

• Za svaki identifikovan jaz između MBCO i stvarne IRBC sposobnosti, doneti eksplicitnu odluku – zatvara se, sa planom i rokom, ili se prihvata, upisano u risk registar sa potpisom odgovornog menadžmenta.
• Ne dozvoliti da jaz ostane u neopredeljenom stanju – "znamo da postoji, ali nismo ništa odlučili" nije jedna od dve dozvoljene opcije.
• Kad se bira zatvaranje jaza, povezati tu odluku sa realnim troškom i rokom, ne ostaviti je kao uopštenu nameru.
• Izbegavati najčešću grešku – jaz koji postoji godinama, poznat makar delu firme, ali nikad formalno ne uđe ni u plan zatvaranja ni u risk registar, dok ga stvaran incident ne otkrije svima odjednom.

13 – Odgovornost top menadžmenta za evaluaciju IRBC-a

Da bi bio efektivan, IRBC program treba da bude potpuno integrisan proces unutar upravljačkih aktivnosti organizacije, vođen sa vrha i podržan od strane top menadžmenta. Izabrane opcije IRBC strategije treba predstaviti top menadžmentu; odluka treba da se zasniva na apetitu za rizik i trošku. Top menadžment treba da bude obavešten ako izabrane opcije IRBC strategije ne mogu da ispune zahteve kontinuiteta poslovanja, u kom slučaju mogu biti informisani o trenutnoj sposobnosti. Top menadžment treba da izabere IRBC strategije od ponuđenih opcija i da odobri i potpiše dokumentovane opcije, potvrđujući da su akcije propisno sprovedene i da podržavaju ukupne zahteve kontinuiteta poslovanja. Izabrane opcije IRBC strategije treba da:

• pokrivaju verovatne rizike i efekte poremećaja
• budu integrisane sa izabranim strategijama kontinuiteta poslovanja organizacije
• budu odgovarajuće da ispune ukupne ciljeve organizacije unutar njenog apetita za rizik
• budu redovno pregledane od strane odgovarajućeg menadžmenta

Ovo je formalno, standardom propisano rešenje za problem koji je pokrenuo celu ovu seriju – DR plan koji piše IT sektor sam, bez učešća poslovnih funkcija. Standard eksplicitno kaže: finalna odluka o strategiji nije IT odluka. Ona pripada top menadžmentu, uz jasnu obavezu da bude informisan ako izabrana opcija ostavlja jaz – što je direktna veza sa klauzulom 12.

Primer: Kad opcije za zavisnost identiteta budu formalno predstavljene kod VoxServis-a – topli standby u Novom Sadu, poboljšan monitoring, dokumentovane procedure – to ne sme da bude odluka infrastrukturnog menadžera koji trenutno vodi ove aktivnosti na sopstvenu inicijativu, bez formalnog mandata. Top menadžment treba da vidi opcije, uporedi ih sa apetitom za rizik i troškom, i formalno potpiše izabranu opciju – uz eksplicitnu informaciju da li ta opcija zaista zatvara jaz do 30 minuta, ili ga samo smanjuje. Ovim se zatvara krug otvoren na samom početku serije: IRBC prestaje da bude nešto što IT sektor radi sam za sebe, i postaje ono što je oduvek trebalo da bude – poslovna odluka, sprovedena tehnički.

Šta treba uraditi

• Za svaki kritičan servis, formalno predstaviti izabrane opcije IRBC strategije top menadžmentu, ne samo obavestiti ih naknadno.
• Tražiti potpis top menadžmenta na izabranoj strategiji, uz eksplicitnu potvrdu da li ona u potpunosti ispunjava poslovne zahteve ili ostavlja poznat jaz.
• Uspostaviti raspored redovnog pregleda izabrane strategije od strane menadžmenta, ne samo jednokratno odobrenje.
• Izbegavati najčešću grešku – IRBC strategiju biranu i sprovedenu unutar IT sektora, dok je top menadžment obavešten tek naknadno, uzgred, umesto da formalno bira i svesno potpisuje odgovornost za rizik koji ostaje.

---

Standard je zatvoren – kratak pregled puta

Trinaest klauzula, trinaest tekstova kasnije, VoxServis-ova zavisnost identiteta – ona ista koja je zaustavila i telefoniju i CRM jednog utorka na samom početku serije – sad ima kompletnu priču:

• prepoznata kao rizik (6.4)
• formalno eskalirana (6.5, 8.1.1)
• izmerena kroz BIA (7.2)
• strateški rešena kombinacijom obrazaca (9.2.1)
• ugrađena u plan sa jasnim vlasništvom (10.1.3)
• pokrivena privremenim rešenjem (10.4)
• testirana kroz progresivan program vežbi (11.2.5)
• i konačno, formalno odlučena na nivou top menadžmenta (13.2) – zatvorena ili svesno prihvaćena (12), ne ostavljena u sivoj zoni