Plán kontinuity podnikání

Plánování kontinuity podnikání (BCP) zachycuje, jak bude organizace udržovat nebo rychle obnovovat kritické operace během narušení a po něm. Důkazy BCP zahrnují plány kontinuity podnikání (zaznamenané postupy pro údržbu operací, komunikační plány, požadavky na zdroje a priority obnovy), plány obnovy po havárii (postupy obnovy zaměřené na IT zahrnující obnovu systému, obnovu dat, operace na alternativním místě a převzetí služeb při selhání), analýzy dopadu podnikání (systematické hodnocení potenciálních dopadů narušení identifikující cíle doby obnovy a cíle bodů obnovy) a plány cvičení a testů BCP, záznamy o procházkách, cvičení se simulací na stole. BCP je vyžadována DORA, CSRD a sektorovými předpisy pro finanční služby, kritickou infrastrukturu a zdravotní péči.

Regulátoři stále více požadují zaznamenané schopnosti odolnosti, nejen aspirační prohlášení. DORA nařizuje finančním subjektům komplexní řízení ICT rizik včetně kontinuity podnikání. CSRD vyžaduje zveřejnění procesů řízení významných rizik, včetně možností kontinuity provozu. Směrnice EU o odolnosti kritických entit (CER) vyžaduje plánování kontinuity pro základní služby. Pojistné rámce vyžadují důkaz o kontinuitě činnosti jako podmínku krytí. Kromě souladu s předpisy je schopnost obchodní kontinuity stále více hodnocena ze strany podnikových nákupčích a investorů jako měřítko vyspělosti organizace. zaznamenané důkazy o BCP s pravidelnými záznamy o cvičení demonstrují, že odolnost se nejen zaznamenává, ale že se testuje a ověřuje.

Plány kontinuity podnikání (BCP) aktivují kritické funkce, priority obnovy, požadavky na zdroje, komunikační protokoly a eskalační postupy pro udržení provozu během přerušení. Plány obnovy po havárii (DRP) se zaměřují na obnovu IT a technologií – procedury obnovy systému, zálohování a obnova dat, operace na alternativním místě a technologické procesy při selhání. Business Impact Analys (BIA) systematicky vyhodnocují potenciální dopady narušení provozu, výnosů, dodržování předpisů a pověsti – identifikují cíle doby obnovy (RTO), cíle bodů obnovy (RPO) a hodnocení kritičnosti pro každý obchodní proces. Cvičení a testy BCP zaznamenávají stolní cvičení, návody, úplné simulace a plány zlepšení po cvičení – důkaz, že plány kontinuity byly ověřeny a zůstávají účinné.

BCP, DRP, BIA a záznamy cvičení jsou nahrány do Sustalium a propojeny s příslušnými rámci dodržování předpisů. Důkazy odolnosti se připojují k rámcům řízení rizik DORA ICT (požadavky článků 11-13 na řízení rizik ICT, testování a výkaznictví), zveřejňování informací o riziku CSRD (řízení a řízení rizik ESRS G1) a záznamy o souladu s normou ISO 22301 (řízení společenské bezpečnosti a kontinuity podnikání). Sustalium sleduje data kontroly BCP, plány cvičení a položky opatření ke zlepšení ze zpráv po cvičení. Pro organizace spravující kontinuitu napříč více entitami nebo jurisdikcemi poskytuje Sustalium konsolidovaný pohled na schopnost odolnosti v celé organizaci.

DORA (Digital Operational Resilience Act) vyžaduje, aby finanční subjekty dodržovaly zásady kontinuity podnikání, plány reakce a obnovy ICT a zaznamenané testovací programy. Směrnice EU o odolnosti kritických entit (CER) vyžaduje schopnost kontinuity provozu pro základní služby včetně energetiky, dopravy, bankovnictví, zdravotnictví a digitální infrastruktury. Standardy podávání zpráv o udržitelnosti CSRD (ESRS G1) vyžadují zveřejnění procesů řízení významných rizik včetně kontinuity podnikání. ISO 22301 (společenská bezpečnost a řízení kontinuity podnikání) vyžaduje zaznamenané programy BCP, BIA a cvičení. Principy provozní odolnosti Basilejského výboru vyžadují, aby finanční instituce udržovaly schopnost kontinuity provozu. Zákon EU o umělé inteligenci vyžaduje řízení rizik a nouzové plánování pro vysoce rizikové poskytovatele systémů umělé inteligence. Odvětvové předpisy pro zdravotní péči, finanční služby a kritickou národní infrastrukturu ukládají další požadavky na kontinuitu podnikání.