Veiklos tęstinumo planas

Veiklos tęstinumo planavimas (BCP) fiksuoja, kaip organizacija palaikys arba greitai atnaujins svarbias operacijas sutrikimo metu ir po jo. BCP įrodymai apima veiklos tęstinumo planus (įrašytos operacijų priežiūros procedūros, ryšių planai, išteklių poreikiai ir atkūrimo prioritetai), atkūrimo po nelaimių planai (į IT orientuotos atkūrimo procedūros, apimančios sistemos atkūrimą, duomenų atkūrimą, alternatyvios vietos operacijas ir nesėkmės perkėlimą), poveikio verslui analizę (sistemingas galimų trikdžių poveikio vertinimas ir B atkūrimo taškų pratybų pratybos, atkūrimo taško bandymo pratybos ir atkūrimo laiko tikslus, įrašai B) testus, išsamius modeliavimus ir tobulinimo planus). BCP reikalaujama pagal DORA, CSRD ir konkretiems sektoriams taikomus finansinių paslaugų, ypatingos svarbos infrastruktūros ir sveikatos priežiūros reglamentus.

Reguliavimo institucijos vis dažniau reikalauja įrašytų atsparumo galimybių, o ne tik siekių pareiškimų. DORA įpareigoja finansinių subjektų visapusišką IRT rizikos valdymą, įskaitant veiklos tęstinumą. CSRD reikalauja atskleisti esminius rizikos valdymo procesus, įskaitant veiklos tęstinumo galimybes. ES ypatingos svarbos objektų atsparumo (CER) direktyva reikalauja pagrindinių paslaugų tęstinumo planavimo. Draudimo sistemos reikalauja verslo tęstinumo įrodymų, kaip draudimo sąlygų. Verslo tęstinumą įmonės pirkėjai ir investuotojai vis dažniau vertina ne tik, kad laikomasi teisės aktų, bet ir kaip organizacijos brandos matas. įrašyti BCP įrodymai su reguliariais pratybų įrašais rodo, kad atsparumas ne tik registruojamas, bet ir išbandomas bei patvirtinamas.

Verslo tęstinumo planai (BCP) apima svarbias funkcijas, atkūrimo prioritetus, išteklių reikalavimus, ryšio protokolus ir eskalavimo procedūras, skirtas operacijoms palaikyti sutrikus. Nelaimių atkūrimo planuose (DRP) pagrindinis dėmesys skiriamas IT ir technologijų atkūrimui – sistemos atkūrimo procedūroms, duomenų atsarginėms kopijoms ir atkūrimui, alternatyvioms svetainės operacijoms ir technologijų perkėlimo procesams. Verslo poveikio analizės (BIA) sistemingai įvertina galimą trikdžių poveikį veiklai, pajamoms, atitikčiai ir reputacijai – nustato kiekvieno verslo proceso atkūrimo laiko tikslus (RTO), atkūrimo taškų tikslus (RPO) ir kritiškumo reitingus. BCP pratimai ir testai registruoja pratimus ant stalo, pratimus, pilnus modeliavimus ir tobulinimo planus po pratimų – tai įrodymas, kad tęstinumo planai buvo patvirtinti ir išlieka veiksmingi.

BCP, DRP, BIA ir pratybų įrašai įkeliami į Sustalium ir susiejami su atitinkamomis atitikties sistemomis. Atsparumo įrodymai jungiasi su DORA IRT rizikos valdymo sistemomis (11–13 straipsniai IRT rizikos valdymo, testavimo ir ataskaitų teikimo reikalavimai), CSRD rizikos atskleidimu (ESRS G1 valdymas ir rizikos valdymas) ir ISO 22301 atitikties įrašais (visuomenės saugumo ir veiklos tęstinumo valdymas). Sustalium seka BCP peržiūros datas, pratimų tvarkaraščius ir tobulinimo veiksmus iš ataskaitos po pratybų. Organizacijoms, valdančioms tęstinumą keliuose subjektuose ar jurisdikcijose, „Sustalium“ pateikia konsoliduotą visos organizacijos atsparumo gebėjimų vaizdą.

DORA (Digital Operational Resilience Act) reikalauja, kad finansiniai subjektai laikytųsi veiklos tęstinumo politikos, IRT reagavimo ir atkūrimo planų bei įrašytų testavimo programų. ES ypatingos svarbos subjektų atsparumo (CER) direktyva reikalauja, kad pagrindinėms paslaugoms, įskaitant energetiką, transportą, bankininkystę, sveikatą ir skaitmeninę infrastruktūrą, būtų užtikrintas veiklos tęstinumas. CSRD tvarumo ataskaitų teikimo standartai (ESRS G1) reikalauja atskleisti esminius rizikos valdymo procesus, įskaitant veiklos tęstinumą. ISO 22301 (visuomenės saugumo ir veiklos tęstinumo valdymas) reikalauja įrašytų BCP, BIA ir pratybų programų. Bazelio komiteto veiklos atsparumo principai reikalauja, kad finansų institucijos išlaikytų veiklos tęstinumą. ES AI įstatymas reikalauja rizikos valdymo ir nenumatytų atvejų planavimo didelės rizikos AI sistemų teikėjams. Konkrečiam sektoriui taikomi sveikatos priežiūros, finansinių paslaugų ir ypatingos svarbos nacionalinės infrastruktūros reglamentai nustato papildomus veiklos tęstinumo reikalavimus.