Plan kontinuiteta poslovanja

Planiranje kontinuiteta poslovanja (BCP) pokazuje kako će organizacija održavati ili brzo nastaviti kritične operacije tijekom i nakon prekida. Dokazi o BCP-u uključuju planove kontinuiteta poslovanja (zabilježene procedure za održavanje operacija, komunikacijske planove, zahtjeve za resursima i prioritete oporavka), planove oporavka od katastrofe (postupke oporavka usmjerene na IT koji pokrivaju obnavljanje sustava, oporavak podataka, operacije alternativne lokacije i prebacivanje u slučaju greške), analize utjecaja na poslovanje (sustavne procjene utjecaja potencijalnih poremećaja utvrđivanjem ciljeva vremena oporavka i ciljeva točke oporavka) i BCP vježbe i zapise o ispitivanju (vježbe na stolu, probni testovi, potpune simulacije i planovi poboljšanja). BCP zahtijevaju DORA, CSRD i sektorski propisi za financijske usluge, kritičnu infrastrukturu i zdravstvenu skrb.

Regulatori sve više zahtijevaju zabilježene sposobnosti otpornosti, a ne samo aspiracijske izjave. DORA nalaže sveobuhvatno upravljanje ICT rizikom uključujući kontinuitet poslovanja za financijske subjekte. CSRD zahtijeva objavljivanje značajnih procesa upravljanja rizikom, uključujući mogućnosti kontinuiteta poslovanja. Direktiva EU-a o otpornosti kritičnih entiteta (CER) zahtijeva planiranje kontinuiteta za ključne usluge. Okviri osiguranja zahtijevaju dokaz o kontinuitetu poslovanja kao uvjet pokrića. Osim usklađenosti s regulativom, kupci i investitori sve više ocjenjuju mogućnost kontinuiteta poslovanja kao mjeru organizacijske zrelosti. zabilježeni GCP dokazi s redovitim zapisima o vježbanju pokazuju da se otpornost ne samo bilježi već testira i potvrđuje.

Planovi kontinuiteta poslovanja (BCP) određuju kritične funkcije imovine, prioritete oporavka, zahtjeve za resursima, komunikacijske protokole i postupke eskalacije za održavanje operacija tijekom prekida. Planovi oporavka od katastrofe (DRP) usredotočeni su na IT i tehnološki oporavak — procedure vraćanja sustava, sigurnosno kopiranje i oporavak podataka, operacije na alternativnim lokacijama i procesi prelaska u grešku tehnologije. Analize utjecaja na poslovanje (BIA) sustavno procjenjuju moguće utjecaje poremećaja na operacije, prihode, usklađenost i reputaciju — identificirajući ciljeve vremena oporavka (RTO), ciljeve točaka oporavka (RPO) i rangiranje kritičnosti za svaki poslovni proces. BCP vježbe i testovi bilježe stolne vježbe sredstava, upute, potpune simulacije i planove poboljšanja nakon vježbi — dokaz da su planovi kontinuiteta potvrđeni i da ostaju učinkoviti.

BCP-ovi, DRP-ovi, BIA-i i zapisi o vježbama učitavaju se u Sustalium i povezuju s relevantnim okvirima usklađenosti. Dokazi o otpornosti povezani su s DORA ICT okvirima za upravljanje rizikom (zahtjevi iz članaka 11-13 za upravljanje ICT rizikom, testiranjem i izvješćivanjem), CSRD otkrivanjem rizika (ESRS G1 upravljanje i upravljanje rizikom) i zapisima o usklađenosti sa standardom ISO 22301 (društvena sigurnost i upravljanje kontinuitetom poslovanja). Sustalium prati datume pregleda BCP-a, rasporede vježbanja i radnje poboljšanja iz izvješća nakon vježbanja. Za organizacije koje upravljaju kontinuitetom u više entiteta ili jurisdikcija, Sustalium pruža konsolidirani prikaz sposobnosti otpornosti u cijeloj organizaciji.

DORA (Digital Operational Resilience Act) zahtijeva od financijskih subjekata da održavaju politike kontinuiteta poslovanja, ICT reakcije i planove oporavka te snimljene programe testiranja. EU Direktiva o otpornosti kritičnih subjekata (CER) zahtijeva sposobnost kontinuiteta poslovanja za ključne usluge uključujući energiju, transport, bankarstvo, zdravstvo i digitalnu infrastrukturu. CSRD standardi izvješćivanja o održivosti (ESRS G1) zahtijevaju objavljivanje procesa upravljanja materijalnim rizikom uključujući kontinuitet poslovanja. ISO 22301 (društvena sigurnost i upravljanje kontinuitetom poslovanja) zahtijeva snimljene BCP, BIA i programe vježbi. Načela operativne otpornosti Baselskog odbora zahtijevaju od financijskih institucija da održavaju sposobnost kontinuiteta poslovanja. Zakon EU-a o umjetnoj inteligenciji zahtijeva upravljanje rizikom i planiranje za nepredviđene situacije za visokorizične pružatelje sustava umjetne inteligencije. Sektorski propisi za zdravstvo, financijske usluge i kritičnu nacionalnu infrastrukturu nameću dodatne zahtjeve za kontinuitet poslovanja.