ארגון שכבר מחזיק תוכנית המשכיות עסקית עלול להניח שעיקר העבודה מאחוריו. בפועל, תוכנית שנכתבה בעבר אינה בהכרח משקפת את המבנה הנוכחי של הארגון, את המערכות שבהן הוא משתמש, את התלות בספקים או את האיומים שעמם הוא נדרש להתמודד כיום.
בדיקת פערים נועדה לבחון האם התוכנית הקיימת עדיין מתאימה לפעילות הארגון והאם ניתן להפעיל אותה בזמן אירוע. כדי שהבדיקה תספק ערך ממשי, חשוב לבחור גורם מקצועי שאינו מסתפק בקריאת מסמכים, אלא בוחן את החיבור בין הנהלה, עובדים, תהליכים, מערכות מידע, ספקים ויכולת קבלת ההחלטות בזמן משבר.
למה תוכנית קיימת זקוקה לבדיקה תקופתית?
תוכנית המשכיות עסקית מבוססת על מידע שהיה נכון במועד כתיבתה. מאז ייתכן שנוספו שירותים, מערכות או אתרי פעילות, הוחלפו בעלי תפקידים ונוצרו תלויות חדשות בספקים חיצוניים.
גם שינוי שנראה נקודתי עשוי להשפיע על יכולת ההתאוששות של הארגון. מעבר למערכת ענן, שינוי בתהליך ייצור, מיזוג בין מחלקות או החלפת ספק מרכזי יכולים לשנות את סדר העדיפויות בזמן אירוע.
לכן בדיקת הפערים אינה מיועדת רק לארגונים שאין להם תוכנית מסודרת. היא חשובה גם לארגונים שכבר השקיעו בבניית BCP, אך צריכים לוודא שהוא נותר מעודכן, ישים ומתואם עם הפעילות בפועל.
מה צריך לבדוק בתוכנית המשכיות עסקית קיימת?
בדיקה מקצועית צריכה להתחיל בשאלה האם התהליכים והשירותים הקריטיים שהוגדרו בעבר עדיין משקפים את צורכי הארגון. לאחר מכן יש לבחון את המשאבים שעליהם נשענים אותם תהליכים ואת היכולת להמשיך להפעילם בתנאים של שיבוש.
בין הנושאים שכדאי לבחון:
- עדכניות ניתוח ההשפעה העסקית, BIA
- הגדרת השירותים והתהליכים הקריטיים
- זמני ההתאוששות שנקבעו לתהליכים ולמערכות
- חלוקת האחריות בין ההנהלה ובעלי התפקידים
- תלות בכוח אדם, בתשתיות, במידע ובספקים
- יכולת עבודה מאתר חלופי או במתכונת אחרת
- נהלי דיווח, תקשורת וקבלת החלטות
- התאמה בין התוכנית העסקית למענה הטכנולוגי
- מוכנות להתמודדות עם אירועי סייבר
- יישום לקחים מתרגילים ומאירועים קודמים
המטרה אינה רק לזהות סעיפים חסרים במסמך. יש לבדוק האם האנשים שאמורים להפעיל את התוכנית מכירים את תפקידם, האם המידע הנחוץ להם זמין והאם הפתרונות החלופיים שנקבעו אכן ניתנים להפעלה.
אילו יכולות חשוב לחפש אצל הגורם המבצע?
בדיקת תוכנית קיימת דורשת הבנה רחבה יותר מכתיבת נהלים. הגורם המבצע צריך להבין כיצד הארגון פועל בשגרה, אילו שירותים הוא חייב לשמר ומהן התלויות שעלולות לעכב את ההתאוששות.
כדאי לבחור גוף שמסוגל לחבר בין ההיבטים העסקיים, הניהוליים, התפעוליים והטכנולוגיים. מיקוד במערכות מידע בלבד עלול להחמיץ פערים בתהליכי עבודה, בשרשרת האספקה או בחלוקת הסמכויות. מנגד, בדיקה המתמקדת רק בהנהלה ובנהלים עלולה להתעלם מיכולת השחזור בפועל.
הגורם המתאים צריך לדעת לבחון תכנית המשכיות עסקית כחלק ממערכת שלמה הכוללת חוסן ארגוני, התאוששות מאסון, תגובה לאירועי סייבר, ניהול משברים ותקשורת בזמן חירום.
חשוב גם לבדוק האם לצוות המבצע יש ניסיון בעבודה עם ארגונים בעלי מאפיינים דומים. תוכנית של מפעל, גוף ציבורי, מוסד פיננסי או חברת טכנולוגיה מבוססת על תהליכים, סיכונים ודרישות שונים.
מדוע קריאת המסמכים לבדה אינה מספיקה?
מסמך יכול להיראות מסודר ומפורט, אך עדיין לא לספק מענה בזמן אמת. ייתכן שרשימות הקשר אינן מעודכנות, שהאחריות אינה ברורה או שהמערכת שהוגדרה כמשנית הפכה בינתיים לחיונית.
חלק מהפערים מתגלים רק בשיחה עם בעלי התפקידים. מנהל עשוי לגלות שהוא אינו יודע מי מוסמך להכריז על מצב חירום, בעוד שעובדים אחרים אינם יודעים לאיזה אתר חלופי להגיע או כיצד לקבל הנחיות אם מערכות התקשורת הרגילות אינן זמינות.
בדיקה המבוססת על ראיונות, מעבר על תהליכים ובחינת תרחישים מספקת תמונה מדויקת יותר. היא מאפשרת להשוות בין מה שנכתב בתוכנית לבין מה שהארגון באמת מסוגל לבצע.
מה הקשר בין BCP, התאוששות טכנולוגית וניהול משברים?
אחד הפערים הנפוצים בתוכניות קיימות הוא הפרדה בין תחומים שאמורים לפעול יחד. מחלקת מערכות המידע מחזיקה תוכנית התאוששות משלה, ההנהלה מפעילה נוהל לניהול משבר ומחלקות התפעול פועלות לפי נהלים אחרים.
בעת אירוע, ההפרדה הזאת עלולה ליצור סדרי עדיפויות סותרים. ייתכן שמערכת מסוימת תשוחזר במהירות אף שהתהליך העסקי שהיא משרתת אינו הראשון שהארגון צריך להחזיר לפעילות. במקרה אחר, ההנהלה עשויה לקבל החלטה בלי לדעת מהו זמן ההתאוששות הטכנולוגי האפשרי.
בדיקת הפערים צריכה לוודא שקיימת התאמה בין צורכי הפעילות, סדר שחזור המערכות, סמכויות ההנהלה, תקשורת עם העובדים והפעלת ספקים. כל המרכיבים צריכים לתמוך באותה מטרה: המשך אספקת השירותים הקריטיים והתאוששות מדורגת של הארגון.
איזה תוצר צריך לקבל בסיום הבדיקה?
דוח ארוך אינו בהכרח דוח שימושי. התוצר צריך לעזור להנהלה להבין מה דורש טיפול מיידי, אילו שיפורים ניתן לבצע בהמשך ומי אחראי לכל פעולה.
רצוי שכל פער יכלול:
- תיאור ברור של המצב הקיים
- ההשפעה האפשרית על הפעילות
- רמת החומרה או סדר העדיפות
- הפעולה הנדרשת לסגירת הפער
- הגורם האחראי לטיפול
- מועד יעד לביצוע
חשוב שההמלצות יתאימו ליכולות הארגון. פתרון שאינו ניתן ליישום מבחינה תקציבית, טכנולוגית או תפעולית לא ישפר את המוכנות, גם אם הוא נראה נכון על הנייר.
מדוע כדאי לשלב תרגול בתהליך?
תרגיל הוא הדרך לבדוק האם התוכנית פועלת מעבר למסמך. אפשר להציג להנהלה ולבעלי התפקידים תרחיש מדורג ולבחון כיצד הם אוספים מידע, מקבלים החלטות, מפעילים חלופות ומתקשרים עם העובדים ועם גורמים חיצוניים.
התרגול עשוי לחשוף עמימות בסמכויות, חוסר במידע, תלות באדם יחיד או פער בין זמני ההתאוששות המתוכננים לבין היכולת בפועל. הוא גם מאפשר לבחון כיצד פועלים יחד צוותי ההנהלה, התפעול, מערכות המידע, משאבי האנוש והתקשורת.
אין צורך להמתין לאירוע אמת כדי לגלות שהתוכנית אינה ניתנת להפעלה. שילוב של בדיקת מסמכים, ראיונות ותרגול מספק תמונה רחבה יותר ומאפשר לתקן את הפערים בתנאים מבוקרים.
אילו שאלות כדאי לשאול לפני תחילת העבודה?
לפני ההתקשרות חשוב להבין מה בדיוק נכלל בבדיקה. כדאי לברר אילו מסמכים ייבחנו, עם מי יתקיימו ראיונות ואילו יחידות ארגוניות ייכללו בתהליך.
מומלץ לשאול גם:
- האם הבדיקה כוללת את ניתוח ההשפעה העסקית?
- האם ייבדקו ספקים וגורמי צד שלישי?
- כיצד תיבחן ההתאמה בין BCP, DRP ותגובה לאירועי סייבר?
- האם יבוצע תרגיל כחלק מהעבודה?
- כיצד ידורגו הפערים?
- האם יינתן ליווי ביישום ההמלצות?
- האם תתקיים בדיקה חוזרת לאחר השלמת השינויים?
תשובות מפורטות יעזרו להבין האם מדובר בסקירה כללית של המסמך או בתהליך שמטרתו לשפר בפועל את יכולת הארגון להתמודד עם אירוע.
תוכנית טובה נבחנת ביכולת להפעיל אותה
המבחן האמיתי של תוכנית המשכיות עסקית אינו מספר העמודים שבה, אלא היכולת להשתמש בה כאשר הפעילות נפגעת. תוכנית עדכנית צריכה להגדיר מה חייב להמשיך לפעול, מי מקבל החלטות, אילו חלופות עומדות לרשות הארגון וכיצד מתאמים בין כל הגורמים המעורבים.
בחירת גורם מקצועי לבדיקת הפערים צריכה להתבסס על עומק המתודולוגיה, הבנת הפעילות הארגונית והיכולת להפוך את הממצאים לתוכנית עבודה מעשית. בדיקה שמשלבת אנשים, תהליכים, טכנולוגיה ותרגול יכולה לסייע לארגון להבין לא רק מה כתוב בתוכנית, אלא האם הוא באמת ערוך להפעיל אותה.
