Документ относительно небольшой (презентация + whitepaper), доступен после регистрации на сайте Smart Payment Association , ищется по словам «BCP in the Payment Card Issuance».

Тем не менее,  ирландские коллеги в ожидании непогоды подготовили документ, в котором можно почерпнуть кое-что полезное. Документ называется «Business Continuty Planning in Severe Weather. Advice to Businesses  on Preparing for Severe Weather«. Вполне системно рассказывается, на что стоит обратить внимание при подготовке к неблагоприятным погодным явлениям, какого рода последствия обычно возникают, и как им противостоять. Документ небольшой,  читается легко.

Что же привлекло внимание автора статьи? Наличие у MF Global программы обеспечения непрерывности бизнеса.  На этом месте мне захотелось четко сформулировать свою позицию по этому вопросу, и послушать, что думают мои читатели.

Тезис №1. Управление непрерывностью бизнеса – не панацея от всех возможных проблем организации. 

Конечно, очень удобно, когда есть на кого переложить ответственность за возникшие проблемы, но давайте все-таки отделять мух от котлет.  Миссия эффективной системы обеспечения непрерывности бизнеса – сохранить функционирование организации при наступлении чрезвычайной ситуации. Здесь важно понимать, что мы считаем чрезвычайной ситуацией.  Если вы играете на бирже, и курс/ставки вдруг резко изменились не в ту сторону, в которую вам хотелось, лично для вас это безусловная чрезвычайная ситуация. Фиаско, так сказать. Но это абсолютно прогнозируемый риск, на который вы идете, и более того, в этом суть вашего бизнеса. И не существует волшебной таблетки, которая сможет вас защитить (кроме сдержанно-консервативной стратегии управления рисками, но тогда вы получите принципиально другой уровень доходности).

Чрезвычайная ситуация, которая приводит к недоступности таких ресурсов, как ИТ, офис, персонал, документы – это понятная задача. Это по нашей кафедре. Защитные меры от этих рисков понятны и реализуемы.

Проблемы, которые приводят к тому, что у вас перестают покупать вашу продукцию, вам перестали давать кредиты, и т.п., это риски другого характера. Ими тоже можно и нужно управлять, но не надо называть это непрерывностью бизнеса.

Как всегда, есть много пограничных областей. И здесь мы переходим к тезису №2.

Тезис №2. Лучше хорошо решить небольшую задачу, чем никак не решить большую.

Система обеспечения непрерывности бизнеса отлично развивается по спирали (AKA цикл PDCA). В 90% случаев сначала обеспечивается непрерывность ИТ-сервисов, потом решается задача восстановления рабочих мест, взаимозаменяемости персонала, управления поставками и т.п. При таком подходе система работает.

Если замахнуться на весь бизнес сразу, скорее всего вы, во-первых, не достигнете цели, а, во-вторых, похороните саму инициативу по управлению непрерывностью бизнеса на долгие годы. Поэтому даже к таким вопросам, как управление ликвидностью в момент ЧС, я бы подходил очень осторожно, ограничивая задачу резервом средств на операции на тот период времени после ЧС, который понадобится на восстановление бизнес-процессов в минимальном объеме.

Итак, грехи:

1. Детальное сценарное планирование

Порой, анализ рисков начинается с детального перечисления событий, которые угрожают активам организации. Но какая, в общем,  разница, что случилось с вашим офисом – сгорел он, на ресепшне оставили конверт со спорами сибирской язвы, или просто все дороги залило разлившейся рекой? Мораль – фокусируйтесь на том, какие ресурсы будут вам недоступны, а не из-за чего это произошло.

2. Сделаем это по-быстрому 

Это печальный грех, потому что встречается очень часто. Когда проект стартует для галочки, чтобы отчитаться акционерам/регуляторам и т.п. К сожалению, это бывает везде, и почти ничего тут не поделаешь. Единственный ваш шанс (как консультанта) – аппелировать к высшим силам – топ-менеджменту, акционерам.

3. Инициативы вендоров

Множество поставщиков  (оборудования, решений по резервному копированию, услуг аутсорсинга) поднимает тему непрерывности бизнеса на флаг, используя ее как драйвер для продвижения своих решений. Хотя и есть в этом зерно истины, но, отданный на откуп вендорам решений, проект может привести к заметному перекосу в пользу инфраструктуры/услуг конкретного поставщика. Мораль проста – больше пользоваться услугами независимых и незаинтересованных консультантов.

4. IT DR вместо BCM

С одной стороны, ИТ-директора делают очень полезную работу, продвигая тему обеспечения непрерывности бизнеса в своих компаниях. С другой стороны, и примеров тому бесконечно много, часто все заканчивается только на непрерывности ИТ-сервисов. Как следствие – организация получает шанс получить после ЧС работающую ИТ-инфраструктуру, пользоваться которой будет некому….

5. Отсутствие целостной картины

Важно (но далеко не всегда это делается), строя систему обеспечения непрерывности бизнеса, разобраться, а что, собственно за бизнес у организации? Зачем она существует, как функционирует? Порой, разобравшись в бизнес-процессах организации, удается найти немало возможностей для оптимизации.

6. Black-box Brigade  (русского эквивалента не придумалось)

Вместо того, чтобы вовлечь ключевых людей организации в процесс, объяснить цели и задачи происходящего, команда консультантов проводит аудит, выполняя непонятную для большинства задачу. В результате на стол представителю заказчика ложится некий документ, который с большой вероятностью перекочевывает навсегда на полку шкафа. Понятно, что при таком подходе как минимум говорить про интеграцию управления непрерывностью  в бизнес-процессы организации уже не приходится.

7. Плохие отраслевые стандарты

Ну, эта тема для нас менее актуальна – отраслевых стандартов у нас, кроме как в банковской сфере, нигде нет ))

8. Отсутствие средств автоматизации

То, о чем регулярно рассказываю на своих выступлениях – динамика и масштаб организации очень быстро превращают бумажные планы в устаревшие, непригодные к использованию документы, подрывая тем самым доверие к самому процессу обеспечения непрерывности бизнеса.

9. Толщина плана.

Не надо оценивать качество планов по их толщине. Чем лаконичнее и конкретнее план, тем больше будет шансов им воспользоваться в момент ЧС.

Sungard Availability Services

Документ системно написанный, и может быть полезен при составлении чек-листа, разработке RFP и т.п.

В рекомендациях выделяется несколько областей для оценки возможных вариантов ЦОД. Ниже можно найти основные  рекомендации, за более подробной информацией рекомендую обратиться к исходному документу.

1. Расположение и доступ

• Близость к вашему офису
• Простота и оперативность доступа для ваших сотрудников
• Физическая безопасность и возможность ее приведения к вашим стандартам
• Наличие надежных систем пожарной сигнализации и пожаротушения, соответствующих предназначению помещения

2. Инженерная инфраструктура – бесперебойное питание и кондиционирование

• Наличие двух независимых вводов
• Время работы от ИБП
• Последние случаи сбоев питания и как долго они продолжались
• Время работы ДГУ от полного бака
• Наличие процедур и договоренностей дозаправки топливом

• Защищенность и надежность здания
• Наличие планов обеспечения непрерывности бизнеса
• Успешные тесты планов НБ
• Наличие процедур актуализации планов НБ

5. Персонал и дополнительные услуги

• Образование, опыт и требования, предъявляемые к персоналу ЦОД
• Проведение регулярных тренингов для персонала
• Использование персоналом лучших отраслевых практик
• Наличие системы мониторинга и оперативного реагирования
• Наличие поддержки в режиме 24х7
• Наличие, стоимость и условия оказания дополнительных сервисов

Достойный пример для подражания.

Посмотрим на происходящее с точки зрения управления непрерывностью бизнеса.  Сотрудники не могут добраться до работы. Ситуация в Лондоне еще относительно хороша тем, что о забастовке было известно заблаговременно. Гораздо чаще проблемы с транспортной доступностью возникают неожиданно, как результат серьезных аварий, терактов, или природных явлений (встречаем грядущий снегопад ).  Итак, что делать организациям?

Во-первых, оценить масштаб бедствия. В этом заметно помогает  наличие актуальной структурированной информации о том, где проживают сотрудники и как добираются до офиса. В сочетание с прогнозами восстановления транспортного сообщения можно принять решение о необходимости активации тех или иных планов обеспечения непрерывности бизнеса.

Во-вторых, оповестить сотрудников о том, что им необходимо делать. Своевременное указание сотрудникам, без которых можно обойтись в офисе, остаться дома или вернуться с полпути домой поможет как избежать потерь человеческого времени, так и снизить нагрузку на транспортную систему города.

В третьих, проводить периодические учения. Не надо ждать полного коллапса – воспользуйтесь ближайшим серьезным снегопадом и отработайте возможность работы из дома.

Очевидно, все это должна сопровождать серьезная технологическая подготовка. Ключевым моментом является обеспечение  возможности удаленной работы. По мере расширения использования технологий виртуализации рабочих станций данная задача становится технологически все более простой, но важно не забывать обеспечить возможность одновременной удаленной работы значительного числа сотрудников. Не стоит забывать и про организацию самого процесса принятия решений и информирования персонала. В зависимости от масштаба организации, задачи сбора необходимой информации о сотрудниках и массового оповещения могут быть выполнена как с использованием специализированных решений, так и вручную, но главное – процесс должен быть спланирован и отработан.

При этом, несмотря на явно зашкаливающий уровень паранойи,  среди всех этих советов можно найти и немало полезного, что пригодится вам и в наших «мирных» реалиях. Такие вещи как, например, отсутствие электричества на несколько часов, с нарастающей недоступностью многих привычных нам благ цивилизации – ситуация реальная, и будет лучше, если вы окажетесь к ней готовы.

Когда я начал читать отчет, мне  вспомнился проект по внедрению продукта Incident Manager в одной нефтяной компании. Тогда я первый раз вживую увидел, как устроен центр управления инцидентами, как в реальной жизни отрабатываются происшествия. Для себя я тогда вынес три ключевых слагаемых успеха подобных проектов:

1. Информация. Крайне важно наличие механизмов сбора, верификации, распространения информации с минимальными искажениями. Для последующего разбора полетов важно также качественное протоколирование происходящего.
2. Простота. Когда горит нефтяная вышка или происходит ЧП в местах массового скопления народа, сложные решения не работают. Все процессы и инструменты должны быть настолько просты (и надежны), насколько это возможно.
3. Подготовка. В момент ЧП люди плохо делают даже то, к чему они привыкли. То, чего они никогда не делали (не репетировали, не отрабатывали хотя бы в режиме учений) – они сделать не смогут.

Похожий подход я встретил и у коллег из ЮАР. Возможно, южноафриканский опыт покажется полезным и организаторам нашей Олимпиады-2014.