ISO/IEC 20000-1 u praksi - Planiranje: rizici, ciljevi i plan upravljanja uslugama

ISO/IEC 20000-1 u praksi — deo 3 od 10

Kontekst (deo 1) je pokazao šta utiče na Nimbus Ops i ko šta očekuje. Politika i matrica odgovornosti (deo 2) su pokazale ko je za šta zadužen. Sad dolazi deo koji te dve stvari pretvara u konkretan rad: šta se prati kao rizik, koji brojevi se stvarno gone kroz godinu, i kako se sve to uklapa u jedan plan koji ima rokove i vlasnike, a ne samo dobre namere.

U Nimbus Ops-u su ova tri dokumenta — registar rizika, ciljevi upravljanja uslugama i plan upravljanja uslugama — usko povezana. Rizici iz registra direktno oblikuju ciljeve (ako je rizik "spor odziv na incidente", cilj je konkretan broj minuta), a plan kaže kada i sa kojim resursima se na tim ciljevima radi tokom godine.

6.1 — Registar rizika

Registar rizika se ažurira kvartalno na sastanku koji vodi Ana Ristić, uz obavezno učešće rukovodilaca timova. Svaki rizik ima procenu verovatnoće i uticaja na skali 1–5, pa se nivo rizika računa kao proizvod (1–25): 1–5 nizak, 6–12 srednji, 13–25 visok.

Nimbus Ops d.o.o. — interni dokument sistema upravljanja uslugama
Registar rizika upravljanja uslugama
Šifra dokumenta: NO-SMS-DOC-005 Verzija: 1.3 Status: Aktivan
Vlasnik dokumenta: Ana Ristić Poslednje ažuriranje: 12.01.2026. Sledeći pregled: Q2 2026. (kvartalno)
ID Rizik V U Nivo Mere ublažavanja Vlasnik
R01 Veći ispad AWS regiona eu-central-1 utiče na dostupnost Nimbus Watch platforme 2 5 10 — Srednji Multi-AZ arhitektura, DR plan sa failover na eu-west-1, kvartalno testiranje Nikola Erić
R02 Gubitak inženjera sa ekskluzivnim znanjem o legacy modulima ("bus factor") 4 4 16 — Visok Dokumentovanje u internoj bazi znanja, pair programming na kritičnim modulima, plan sukcesije Nikola Erić
R03 Curenje podataka klijenata usled bezbednosnog propusta 2 5 10 — Srednji Godišnji penetracioni testovi (SecuraLab), enkripcija u mirovanju i tranzitu, kontrola pristupa Stefan Vuković
R04 Nimbus Care tim ne uspeva da ispuni rokove implementacije usled ograničenog kapaciteta 4 4 16 — Visok Plan kapaciteta i prognoza tražnje, prioritizacija projekata, rezervni podizvođač za vršne periode Jelena Popović
R05 Neusklađenost sa GDPR-om pri obradi podataka EU klijenata 2 4 8 — Srednji DPA ugovori sa klijentima, skladištenje podataka u EU regionu, redovna provera usklađenosti Stefan Vuković
R06 Rast troškova AWS infrastrukture usled kolebanja kursa RSD/USD 3 3 9 — Srednji Mesečno praćenje troškova (FinOps pregled), godišnji ugovori sa AWS-om, evaluacija rezervnog provajdera Marko Jovanović
R07 Neplanirana promena izazove ispad usluge usled neadekvatne procene rizika 3 5 15 — Visok Formalni RFC proces, CAB sastanci za promene visokog rizika, obavezan rollback plan Ana Ristić
R08 Kašnjenje ili slab kvalitet usluge kod dobavljača SecuraLab utiče na bezbednosni raspored 2 2 4 — Nizak Ugovor sa jasno definisanim rokovima, identifikovan alternativni dobavljač Stefan Vuković
R09 Gubitak velikog klijenta (npr. Meridian Grid) usled nezadovoljstva uslugom 2 4 8 — Srednji Kvartalni pregledi usluge sa klijentom, praćenje CSAT-a, rano uočavanje signala nezadovoljstva Milica Đorđević

V = verovatnoća (1–5), U = uticaj (1–5). Rizici sa nivoom "visok" (R02, R04, R07) su obavezna tačka dnevnog reda na kvartalnom pregledu rukovodstva.

6.2 — Ciljevi upravljanja uslugama

Rizici pokazuju šta može poći naopako. Ciljevi pokazuju šta se aktivno gura napred. Svaki cilj u Nimbus Ops-u ima baznu vrednost, konkretan broj kao metu i rok — bez toga cilj tipa "poboljšati dostupnost" ostaje samo lepa rečenica.

Nimbus Ops d.o.o. — interni dokument sistema upravljanja uslugama
Ciljevi upravljanja uslugama za 2026. godinu
Šifra dokumenta: NO-SMS-DOC-004 Verzija: 1.0 Status: Aktivan
Vlasnik dokumenta: Ana Ristić Odobrio: Marko Jovanović Datum izdavanja: 20.01.2026.
Cilj Trenutno Cilj Rok Vlasnik Rizik
Dostupnost Nimbus Watch platforme (mesečno) ~99,7% ≥ 99,9% Kontinuirano, pregled kvartalno Nikola Erić R01
Prosečno vreme prvog odziva na P1 incidente ~22 min ≤ 15 min Kraj Q2 2026. Ana Ristić R07
Prosečno vreme rešavanja P1 incidenata (MTTR) ~5,5 h ≤ 4 h Kraj 2026. Nikola Erić —
Udeo promena bez naknadnog incidenta ~91% ≥ 95% Kraj Q3 2026. Ana Ristić R07
Zadovoljstvo klijenata (CSAT, ocena 1–5 nakon rešenih tiketa) 4,2 ≥ 4,5 Kontinuirano, pregled kvartalno Milica Đorđević R09
Broj formalno sprovedenih testova kontinuiteta usluge (DR test) 0 formalnih ≥ 2 godišnje Q2 i Q4 2026. Nikola Erić R01
Broj P1/P2 incidenata mesečno vezanih za legacy komponente ~3,4/mesečno ≤ 1,5/mesečno Kraj 2026. Nikola Erić R02
Udeo zaposlenih sa završenim planom obuke 40% 100% Kraj Q3 2026. Ana Ristić R02
Udeo Nimbus Care projekata isporučenih u ugovorenom roku ~78% ≥ 90% Kraj 2026. Jelena Popović R04

6.3 — Plan upravljanja uslugama

Ovo je dokument koji spaja rizike i ciljeve sa kalendarom i resursima. Namerno je kratak — u Nimbus Ops-u nije zamišljen kao opsežna strategija, nego kao radni raspored koji se realno prati.

Nimbus Ops d.o.o. — interni dokument sistema upravljanja uslugama
Plan upravljanja uslugama — 2026.
Šifra dokumenta: NO-SMS-DOC-006 Verzija: 1.0 Status: Aktivan
Vlasnik dokumenta: Ana Ristić Odobrio: Marko Jovanović Datum izdavanja: 20.01.2026.

1. Svrha
Ovaj plan definiše kako će Nimbus Ops d.o.o. tokom 2026. sprovoditi aktivnosti sistema upravljanja uslugama definisane Politikom upravljanja uslugama (NO-SMS-DOC-002), na osnovu rizika iz Registra rizika (NO-SMS-DOC-005) i ciljeva definisanih u NO-SMS-DOC-004.

2. Resursi

  • Ana Ristić — 0,6 FTE posvećeno koordinaciji SMS-a (uz redovne operativne obaveze)
  • Nikola Erić — 0,2 FTE posvećeno tehničkim SMS aktivnostima (DR testovi, dokumentacija arhitekture)
  • Budžet od približno 8.000 EUR godišnje za alate, obuke i ugovor sa SecuraLab-om
  • Jira Service Management i Confluence licence — pokriveno postojećim IT budžetom

3. Vremenski okvir aktivnosti

Period Aktivnosti
Q1 2026. Ažuriranje registra rizika, uvodna obuka tima o SMS procesima, formalizacija RFC procesa
Q2 2026. Prvi formalni DR test (failover eu-central-1 → eu-west-1), pun prelazak na formalni change management proces
Q3 2026. Interna provera celog SMS-a, zatvaranje kompetencijskih planova tima
Q4 2026. Drugi DR test, kvartalni pregled rukovodstva sa odlukom o eventualnoj formalnoj sertifikaciji, priprema plana za 2027.

4. Praćenje napretka
Napredak prema ciljevima se prati mesečno kroz izveštaj o performansama usluga (obrađen u delu 10 ove serije) i zvanično razmatra na kvartalnom pregledu rukovodstva koji predsedava Marko Jovanović.

Kako se ovo koristi u svakodnevnom radu

Registar rizika nije fioka u koju se nešto jednom upiše i zaboravi — to je radni dokument koji Ana Ristić otvara pre svakog kvartalnog pregleda i pre svake veće odluke o promeni prioriteta. Kad je krajem 2025. Nikola Erić predložio da se dva inženjera privremeno prebace sa razvoja novih funkcija na dokumentovanje legacy modula, argument je bio direktno pozivanje na R02 iz registra — ne opšti utisak da "treba više dokumentacije", nego konkretan rizik sa nivoom 16.

Ciljevi imaju sličnu ulogu u svakodnevnim prioritetima tima podrške — kad Milica Đorđević pravi raspored dežurstava, brine da li će prosečno vreme odziva ostati ispod 15 minuta, a ne samo da li su tiketi "nekako" pokriveni.

Sledeći tekst u seriji prelazi na podršku sistemu: kompetentnost tima, plan obuke, indeks obavezne dokumentacije i primer stranice iz interne baze znanja — praktičnu stranu onoga što ovaj plan pretpostavlja da tim zna i ume.

Comments

Post a Comment

Popular posts from this blog

Šta je ISO 27001 i da li je mojoj firmi stvarno potreban?

  Prvi tekst na blogu InfoSec bez stresa — i pitanje koje sebi postavi skoro svaki vlasnik male ili srednje firme onog trenutka kad prvi put čuje za ovaj standard. Realna situacija Zamislite ovo: firma ima 15 zaposlenih, radi razvoj softvera ili pruža IT usluge, posluje solidno, sve funkcioniše. Onda stigne mejl od velikog klijenta — banke, osiguravajuće kuće ili strane kompanije s kojom se pregovara o saradnji. U prilogu je bezbednosni upitnik, a na dnu jedna rečenica koja pokvari popodne: „Molimo dostavite ISO 27001 sertifikat ili plan implementacije u naredna tri meseca." Ili, druga verzija iste priče: firma konkuriše na tenderu, sve uslove ispunjava — sem jednog. Traži se ISO 27001. Prva reakcija je obično paničan Google upit u stilu „šta je ISO 27001" i „da li mi to stvarno treba", u ponoć, uz osećaj da se upravo otvorila rupa u budžetu i rasporedu koje niko nije planirao. Ako je ovo vaša situacija — ili slutite da bi mogla postati — ovaj tekst je tu da va...
Read more

ISO 22301:2019 u praksi — Praktična obuka na primeru fabrike piva

Ova serija od osam članaka provodi vas kroz sve zahteve standarda ISO 22301:2019 — Sistemi upravljanja kontinuitetom poslovanja (BCMS) , klauzulu po klauzulu, na konkretnom praktičnom primeru: fiktivnoj proizvodnoj pivari „Zeleni Hmelj" d.o.o. , sa sopstvenom varionicom, punionicom i hibridnom IT/OT arhitekturom (SCADA/PLC industrijski sistemi, lokalni ERP i cloud servisi — Microsoft 365, cloud backup/DR, SaaS CRM). Umesto apstraktnog prepričavanja teksta standarda, svaki post gradi stvaran, upotrebljiv dokument — politiku, matricu, BIA analizu, BCP plan, zapisnik — kakav bi auditor tražio na sertifikacionoj proveri. Kroz celu seriju provlači se jedan princip: zahtevi kontinuiteta poslovanja dolaze od biznisa ka IT sektoru, a ne obrnuto — proizvodnja i komercijala definišu koliko dugo mogu da izdrže bez svog sistema, a IT/OT sektor sprovodi tehnička rešenja koja taj zahtev ispunjavaju. Sadržaj serije Deo 1 Uvod u BCMS i Klauzula 4 — Kontekst organizacije Razlika BCMS v...
Read more

ISO 27031: Upravljanje IRBC-om i usklađivanje sa ciljevima kontinuiteta (klauzula 6.1–6.3)

6.1 – Opšte Standard deli uzroke prekida u nekoliko grupa: prirodni uzroci – požar, poplava. Retki, ali fizički pogađaju celu lokaciju odjednom, ne samo jednu komponentu. tehnički kvarovi – hardver, softver, napajanje, klimatizacija. Najčešća kategorija u praksi, i ona za koju firme obično imaju najviše iskustva. ljudska greška – loše podešen bekap, propust u upravljanju izmenama. Retko ko je namerno kriv, ali posledice su iste kao da jeste. namerna akcija – hakovanje, malver, sabotaža. Ovde je pored oporavka bitna i istraga – ko je i kako ušao. društveni faktori – pandemija, štrajk. Ne pogađaju tehnologiju direktno, nego ljude koji je održavaju. cyber napadi – DoS, DDoS, napadi koji preplave sistem saobraćajem dok ne prestane da radi. lanac snabdevanja – prekid kod cloud provajdera, nejasni bezbednosni uslovi u ugovoru sa dobavljačem. Ovde firma nema direktnu kontrolu, samo ugovor i poverenje. Rizik da IT prestane da radi ima jedan prepoznatljiv obrazac: retko se ...
Read more