مدیریت ریسک
چارچوب مدیریت تداوم کسب و کار چیست؟
مدیریت تداوم کسب و کار یک فرآیند حیاتی است. این فرایند تضمین می‌کند که شرکت شما در حین بروز فاجعه با حداقل اختلال فعالیت‌های عادی خود را حفظ خواهید کرد.
مدیریت تداوم کسب و کار بر اساس این اصل کار می‌کند که سیستم‌های پاسخ‌دهنده خوب، خسارات ناشی از وقایع نظری را کاهش می‌دهند.
مدیریت تداوم کسب و کار چیست؟
مدیریت تداوم کسب و کار به عنوان برنامه‌ریزی پیشرفته و آماده‌سازی سازمان برای حفظ عملکردهای کسب و کار یا از سرگیری سریع پس از وقوع یک فاجعه تعریف می‌شود. همچنین شامل تعیین ریسک‌های احتمالی از جمله آتش‌سوزی، سیل یا حملات سایبری است.
رهبران کسب و کار قصد دارند بحران‌های احتمالی را قبل از وقوع، شناسایی و برطرف کنند. سپس این مراحل را برای اطمینان از عملکرد آن‌ها آزمایش کرده و برای اطمینان از به روز بودن فرآیند، آن را به صورت دوره‌ای مرور می‌کنند.
مدیریت تداوم کسب و کار چگونه کار می‌کند؟
مدیریت تداوم کسب و کار اساساً نوعی بیمه است. این امر باعث می‌شود سازمان‌ها بدانند که حتی اگر فاجعه‌ای رخ دهد، خسارت زیاد نخواهد بود.
بدون چنین طرحی، حادثه مخرب نه تنها دلیل کار اضافی و استرس است بلکه می‌تواند منجر به ناتوانی سازمان در تکمیل کار شود و به طور بالقوه خسارت مالی جبران‌ناپذیری وارد کند.
سیستم مدیریت تداوم کسب و کار تضمین می‌کند که این اتفاق نخواهد افتاد. این یک رویکرد جامع برای انعطاف‌پذیری سازمانی است که سازمان‌ها را قادر می‌سازد تا برنامه‌های موثر، حسابداری شرایط احتمالی و توانایی‌های سازمان و همچنین نیازهای کسب و کار را به روز رسانی و کنترل کرده و همچنین استقرار دهند.
تداوم کسب و کار را می‌توان برای کمک به سازمان‌ها برای آمادگی در برابر هر تعداد اختلال، از جمله موارد زیر به کار گرفت:
- بلایای طبیعی مانند زمین لرزه و طوفان
- بلایای مصنوعی مانند اختلالات جاده‌ای و ریلی
- خرابی‌های فنی مانند پرونده‌های خراب
- خطای انسانی، مانند قرار گرفتن در معرض داده‌ها یا USB از دست رفته
- آسیب زیرساختی مانند ترکیدگی لوله یا آتش‌سوزی الکتریکی
- خرابکاری عمدی مانند پرونده‌های مسروقه یا تجهیزات آسیب دیده
- حملات سایبری مانند باج‌افزار
مزایای مدیریت تداوم کسب و کار
دلیل اصلی اجرای سیستم مدیریت تداوم کسب و کار اطمینان از عملیاتی ماندن فرآیندهای کسب و کار شما در صورت بروز اختلال است. با این وجود، دلایل زیادی برای پذیرش این سیستم وجود دارد. این دلایل عبارتند از:
محافظت از اعتبار سازمان
اگر پس از یک حادثه مخرب بتوانید سریع و کارآمد پاسخ دهید، مردم تحت تأثیر قرار می‌گیرند. با این کار هرگونه احساسات منفی همراه با از دست دادن بهره‌وری کاهش می‌یابد.
تقویت روحیه کارمندان
اگر سیستم به خوبی مدیریت شود، همه افراد سازمان در نظر گرفته خواهند شد و ثابت می‌شود که مدیریت به نیازهای آن‌ها اهمیت می‌دهد.
برقراری روابط با شرکت‌های تابعه و شخص ثالث
یک سیستم مدیریت تداوم کسب و کارموثر نشان می‌دهد که سازمان از بالا به پایین به خوبی مدیریت می‌شود، این امر هر کسی را که با او کار می‌کنید تشویق خواهد کرد.
این نشان می‌دهد که شما یک شخص قابل اعتماد هستید که مسئولیت‌های خود را در قبال مشتری‌ها، کارمندان و شرکا پذیرفته‌اید.
برآورده کردن شرایط قانونی
مجموعه‌ای از قوانین در حال رشد، نیاز دارند تا کسب و کارهای موجود در مناطق ضروری ترتیبات موثر تداوم کسب و کار را اجرا کنند.
در سطح جهانی، مقررات حاکمیت شرکتی مدیران را ملزم می‌کند از مراقبت، مهارت و اهتمام مناسب برای کاهش ریسک‌های پیش روی سازمان استفاده کنند.
فضای کنونی تهدیدات سایبری، رهبران کسب و کارها را نسبت به ریسک‌های حملات سایبری و اهمیت توانایی پاسخگویی و بهبودی از چنین حملاتی آگاه کرده است.
چارچوب مدیریت تداوم کسب و کار
سیاست‌ها و استراتژی‌ها
مدیریت تداوم چیزی بیش از واکنش به یک فاجعه طبیعی یا حمله سایبری است. این کار با سیاست‌ها و رویه‌های تدوین‌شده، آزمایش شده و در صورت بروز حادثه مورد استفاده قرار می‌گیرد.
این خط مشی، برنامه، احزاب اصلی و ساختار مدیریت را مشخص می‌کند. باید توضیح دهد که چرا تداوم کسب و کار ضروری بوده و حاکمیت در این مرحله حیاتی است.
دانستن اینکه چه کسی مسئول ایجاد و اصلاح چک لیست برنامه تداوم کسب و کار است، یکی از مولفه‌ها می‌باشد. مورد دیگر شناسایی تیم مسئول پیاده‌سازی است. حاکمیت وضوح را در زمانی که هرج و مرج می‌تواند برای همه افراد درگیر پیش آید فراهم می‌کند.
محدوده نیز بسیار مهم است. این تعریف معنای تداوم کسب و کار برای سازمان را دارد.
آیا محدوده شامل عملی نگه داشتن برنامه‌ها، محصولات و خدمات، داده‌های در دسترس است، یا مکان‌های فیزیکی و افراد ایمن؟ کسب و کارها باید بطور واضح در مورد آنچه که توسط یک طرح تحت پوشش قرار می‌گیرد، اعم از اجزای درآمدزای شرکت، جنبه‌های خارجی یا سایر زیر مجموعه‌های کل سازمان، شفاف باشند.
نقش‌ها و مسئولیت‌ها نیز باید در این مرحله تعیین شوند.
این‌ها ممکن است نقش‌هایی باشند که براساس عملکرد شغلی یا با توجه به نوع اختلالی که وجود دارد مشخص هستند. در همه موارد، سیاست، حاکمیت، محدوده و نقش‌ها باید به طور گسترده‌ای ابلاغ و پشتیبانی شوند.
ارزیابی تأثیرات کسب و کار
ارزیابی تأثیر یک فرآیند فهرست‌نویسی برای شناسایی داده‌هایی است که شرکت شما نگهداری می‌کند، از جمله مکان ذخیره‌سازی، نحوه جمع‌آوری و نحوه دسترسی به آن‌ها. تعیین می‌کند که کدام یک از این داده‌ها مهم‌تر بوده و میزان خرابی زمان قابل قبول که داده‌ها یا برنامه‌ها در دسترس نباشند چقدر است.
در حالی که شرکت‌ها هدف ۱۰۰ درصدی زمان کار را دارند، این نرخ حتی با توجه به سیستم‌های اضافی و قابلیت ذخیره‌سازی نیز همیشه ممکن نیست. این مرحله همچنین زمانی است که شما باید هدف زمان بازیابی خود را محاسبه کنید، که حداکثر زمانی است که برای بازگرداندن برنامه‌ها به حالت عملکردی در صورت از دست دادن ناگهانی سرویس لازم می‌باشد.
همچنین، شرکت‌ها باید هدف نقطه بازیابی را بدانند، یعنی سن داده‌هایی که برای مشتریان و شرکت شما برای از سرگیری فعالیت قابل قبول است. همچنین می‌توان آن را به عنوان فاکتور مقبولیت از دست رفتن داده در نظر گرفت.
ارزیابی ریسک
ریسک انواع مختلفی دارد. تجزیه و تحلیل تأثیر کسب و کار و ارزیابی تهدید و ریسک باید انجام شود.
تهدیدها می‌تواند شامل کارمندان داخلی، رقبا، شرایط بازار، مسائل سیاسی (اعم از داخلی و بین‌المللی) و وقایع طبیعی باشد. یکی از مولفه‌های اصلی برنامه شما ایجاد ارزیابی ریسک است که تهدیدهای احتمالی برای شرکت را مشخص می‌کند.
ارزیابی ریسک مجموعه وسیعی از ریسک‌ها را شناسایی می‌کند که می‌تواند بر شرکت تأثیر بگذارد.
شناسایی تهدیدات احتمالی اولین قدم است و می‌تواند گسترده باشد. این امر موارد زیر را در بر می‌گیرد:
- تأثیر از دست دادن پرسنل
- تغییر در ترجیحات مشتری یا مصرف‌کننده
- چابکی داخلی و توانایی پاسخگویی به حوادث امنیتی با یک برنامه
- نوسانات مالی
شرکت‌های تحت نظارت باید ریسک عدم رعایت قانون را در نظر بگیرند، که می‌تواند منجر به مجازات‌های مالی و جریمه‌های سنگین، افزایش نظارت بر آژانس و از دست دادن مقام، گواهینامه یا اعتبار شود.
هر ریسکی نیاز به بیان و جزئیات دارد. در مرحله بعدی، سازمان باید احتمال وقوع هر ریسک و تأثیر احتمالی هر یک را تعیین کند. احتمال و پتانسیل اقدامات اساسی در هنگام ارزیابی ریسک است.
پس از شناسایی و رتبه‌بندی ریسک‌ها، سازمان باید تعیین کند که تحمل ریسکش برای هر پتانسیل چیست. فوری‌ترین و مهم‌ترین موضوعاتی که باید به آن‌ها پرداخته شود کدامند؟ در این مرحله، راه‌حل‌های بالقوه باید شناسایی، ارزیابی و قیمت‌گذاری شوند. با استفاده از این اطلاعات جدید، که شامل احتمال و هزینه است، سازمان باید اولویت‌بندی کند که کدام ریسک‌ها برطرف می‌شوند.
پس از آن ریسک‌های رتبه‌بندی شده باید ارزیابی شوند تا مشخص گردد که در ابتدا به کدام ریسک‌ها پرداخته می‌شود. توجه داشته باشید که این فرآیند ساکن نیست. لازم است به طور منظم مورد بحث قرار گیرد تا تهدیدهای جدیدی که هم‌زمان با تکامل فناوری، ژئوپلیتیک و رقبا ظهور می‌کنند، مورد توجه قرار گیرد.
اعتبارسنجی و آزمایش
ریسک‌ها و تأثیرات آن‌ها باید به طور مداوم کنترل، اندازه‌گیری و آزمایش شوند. پس از اجرای برنامه‌های تضعیف، آن‌ها همچنین باید ارزیابی شوند تا اطمینان حاصل گردد که به درستی و منسجم کار می‌کنند.
شناسایی حادثه
در تداوم کسب و کار، تعریف آنچه که یک حادثه را تشکیل می‌دهد ضروری است. وقایع باید به طور واضح در اسناد سیاست‌گذاری شرح داده شود، همچنین باید مشخص گردد که چه کسی باعث وقوع حادثه شده است. این اقدامات تحریک‌کننده باید باعث بکارگیری برنامه تداوم کسب و کار به همان صورتی که تعریف شده است گردد و تیم را وارد عمل کند.
بازیابی از فاجعه
چه تفاوتی بین تداوم کسب و کار و بازیابی از فاجعه وجود دارد؟ مورد اول برنامه‌های کلیدی است که عملیات را هدایت و سیاست‌گذاری می‌کند. بازیابی از فاجعه همان اتفاقی است که هنگام وقوع حادثه رخ می‌دهد.
بازیابی از فاجعه شامل اعزام تیم‌ها و اقداماتی می‌باشد که آغاز شده است. این نتایج خالص کار انجام‌شده برای شناسایی ریسک‌ها و اصلاح آن‌ها است. بازیابی از فاجعه، برخلاف برنامه‌ریزی گسترده‌تر، مربوط به واکنش‌های خاص حادثه است.
پس از یک حادثه، یکی از وظایف اساسی این است که پاسخ را ارزیابی کنید و بر این اساس برنامه‌ها را اصلاح نمایید.
نقش ارتباطات و مدیریت تداوم کسب و کار
ارتباطات یکی از مولفه‌های اساسی مدیریت تداوم کسب و کار است. ارتباطات بحران یکی از مولفه‌ها می‌باشد که از وجود فرآیندهای شفاف برای برقراری ارتباط با مشتریان، مصرف‌کنندگان، کارمندان، کارمندان ارشد و ذینفعان اطمینان حاصل می‌کند. استراتژی‌های مداوم ارتباطی در حین و بعد از یک حادثه ضروری هستند. پیام‌رسانی باید سازگار، دقیق و از یک صدای سازمانی یکپارچه برخوردار باشد.
مدیریت بحران شامل لایه‌های زیادی از ارتباطات است، از جمله ایجاد ابزارهایی برای نشان دادن پیشرفت، نیازهای حیاتی و مسائل. انواع ارتباطات ممکن است در حوزه‌های انتخابیه متفاوت بوده اما باید بر اساس منابع اطلاعاتی یکسانی باشد.
تاب‌آوری و مدیریت اعتبار
ریسک‌های نداشتن برنامه تداوم کسب و کار قابل توجه می‌باشد. عدم آماده‌سازی به معنای آن است که شرکت برای رسیدگی به مسائل فوری آماده نیست.
این ریسک‌ها می‌توانند شرکت را از پای درآورده و منجر به مشکلات قابل توجه دیگری شوند، از جمله:
- زمان خاموشی برای سرورها، سیستم‌ها و برنامه‌های مبتنی بر ابر. حتی چند دقیقه خاموشی می‌تواند منجر به از دست دادن درآمد قابل توجه شود.
- از بین رفتن اعتبار و هویت برند. خرابی گسترده، سازگار یا مکرر می‌تواند اعتماد مشتری و مصرف‌کننده را از بین ببرد. نرخ حفظ مشتری می‌تواند سقوط کند.
- رعایت مقررات می‌تواند در صنایعی مانند خدمات مالی، بهداشت و درمان و انرژی در معرض خطر باشد. اگر سیستم‌ها و داده‌ها عملیاتی و قابل دسترسی نباشند، عواقب آن شدید است.
نمونه مدیریت تداوم کسب و کار
در سال ۲۰۱۳، صاعقه به ساختمان اداری در Mount Pleasant، کارولینای جنوبی برخورد کرد و باعث آتش‌سوزی شد. دفاتر مربوط به Cantey Technology بودند، یک شرکت IT که میزبان سرورهای بیش از ۲۰۰ مشتری است.
آتش زیرساخت‌های شبکه کانتی را شعله‌ور کرده، کابل‌ها را ذوب کرد و سخت‌افزار کامپیوتر آن را سوزاند. تجهیزات قابل تعمیر نبودند و دفتر غیرقابل استفاده بود. برای شرکتی که سرویس اصلی آن میزبانی سرورهای شرکت‌های دیگر است، وضعیت ناگواری به نظر می‌رسد. کل زیرساخت‌های کانتی نابود شد.
اما در نهایت، مشتریان کانتی حتی متوجه این واقعه نشدند.
کانتی به عنوان بخشی از برنامه تداوم کسب و کار خود، پیش از این سرورهای سرویس‌گیرنده‌اش را به یک مرکز داده از راه دور منتقل کرده بود، جایی که نسخه پشتیبان تهیه می‌شد. حتی اگر کارکنان کانتی مجبور به انتقال به یک دفتر موقت شوند، مشتریان آن هرگز دچار قطع خدمات نشدند.
این نتیجه‌ای بود که می‌توانست خیلی متفاوت رقم بخورد. فقط پنج سال قبل، این شرکت تمام سرورهای مشتری خود را در محل نگه داشته بود. اما بنیان‌گذار ویلیس کانتی تصمیم درستی گرفت که این شرایط ریسک‌های زیادی ایجاد می‌کند. تنها لازم بود که یک اختلال عمده در محل رخ دهد تا کل کسب و کار وی و همچنین کسب و کارهای مشتریانش نابود شده و وی را در معرض مسئولیت‌های قانونی نیز قرار دهد.
بنابراین کانتی طرح جامع‌تری برای تداوم کسب و کار پیاده‌سازی کرد و سرورهای مشتریان خود را از سایت خارج نمود و با این کار، از فاجعه جلوگیری کرد.
جمع‌بندی
مدیریت تداوم کسب و کار مربوط به حفاظت و یکپارچگی داده‌ها است، در نتیجه انجام ندادن آن می‌تواند فاجعه‌بار باشد.
این فرایند باید به عنوان بخشی از فرهنگ سازمانی معرفی شود. با داشتن رویکردی سیستماتیک در برنامه‌ریزی برای تداوم کسب و کار، کسب و کارها می‌توانند بهبود فعالیت‌های حیاتی را تسریع کنند.
