Informatyczne systemy zarządzania: Plan Ciągłości Działania

Roman Pogorzelski

Ciągłość Działania. Czym jest i jak ją powinniśmy rozumieć? Generalnie rzecz biorąc, mamy do czynienia z dwoma pojęciami, które stosowane są wymiennie, mimo iż tak być nie powinno. Tymi pojęciami są Planowanie Ciągłości Działania (ang. Business Continuity Planning – BCP) oraz Odtworzenie po Katastrofie (ang. Disaster Recovery – DR). Celem krótkiego uporządkowania słownictwa, należy zaznaczyć, że Odtworzenie po Katastrofie (DR) jest zestawem procesów, zasad i procedur związanych z przygotowaniem procesu odtworzenia lub zapewnienia ciągłości działania krytycznej infrastruktury technologicznej, po wystąpienie katastrofy (naturalnej bądź spowodowanej działaniami człowieka), natomiast Planowanie Ciągłości Działania (BCP) to stworzenie i sprawdzenie (testowanie) logistycznego planu działania, który ma umożliwić organizacji częściowe lub całkowite odtworzenie i/lub przywrócenie przerwanych krytycznych (pilnych) procesów oraz funkcji organizacyjnych w ciągu ustalonego czasu po katastrofie. Taki plan logistyczny nazywany jest Planem Ciągłości Działania.

Widzimy zatem wyraźnie, że terminów tych nie powinniśmy stosować zamiennie, ponieważ DR zawiera się w BCP.

Czemu służą takie plany?

To pytanie nasuwa się nam, kiedy zaczynamy rozmowę na temat Ciągłości Działania. Przecież do tej pory nie wydarzyła się żadna katastrofa! Komentarze te, jakkolwiek prawdziwe, są stwierdzeniami odnoszącymi się do naszej rzeczywistości jedynie wycinkowo, gdyż – przywołując kolejną definicję – katastrofa jest serią wysoce nieprawdopodobnych zdarzeń zachodzących niemal jednocześnie, które – o ile natychmiast nie podejmiemy właściwych działań naprawczych – spowodują nieodwracalne szkody.

Banki, jako instytucje zaufania publicznego, podlegają nie tylko regulacjom prawnie określającym zasady ich funkcjonowania, ale również muszą realizować oczekiwania ich interesariuszy. Przy tym spora część wymogów zawartych w aktach prawnych jest wynikiem usystematyzowania wymagań, wypływających właśnie z oczekiwań grup interesów. A takich aktów prawnych jest całkiem sporo: Basel II, Sarbanes-Oxley Act, BS7799/ISO17000, CoBIT, DRII/BCI, AIRMIC/ALARM/IRM czy też COSO ERM. Do tego należy oczywiście dodać wymogi polskie, czyli rekomendacje Komisji Nadzoru Finansowego.

Mnogość aktów prawnych nie sprzyja ich znajomości. W trakcie badań przeprowadzonych przez Roeper ASW i korporację EMC (Risk and Regulatory Compliance Research) ustalono, że jedynie 57 proc. wyższej kadry zarządzającej w przedsiębiorstwach w USA oraz 55 proc. ich odpowiedników w Europie zna wymogi formalne związane z bezpieczeństwem i ciągłością działania kierowanych przez nich instytucji. Trudno jednoznacznie ocenić ten rezultat w kontekście instytucji finansowych – wspomnianym badaniem objęci byli przedstawiciele kadry zarządzającej różnych gałęzi gospodarki, ale moje dotychczasowe doświadczenie pozwala stwierdzić, iż należy wzmocnić wysiłki nad podniesieniem poziomu świadomości, co do wymogów bezpieczeństwa i Ciągłości Działania w sektorze finansowym.

Ważne w czasie kryzysu