Zarządzanie Ryzykiem i Ciągłością Działania
Jednym z kluczowych priorytetów Zarządu jest budowanie odporności organizacji na nieprzewidziane zdarzenia, które mogą zakłócić stabilność i ciągłość działania firmy.
Rola Zarządu w realizacji celu
- aktywne identyfikowanie i ograniczanie ryzyk, zanim przekształcą się w realne straty dla firmy,
- budowanie organizacji gotowej do skutecznego działania nawet w obliczu zakłóceń, kryzysów i nieprzewidzianych wyzwań,
- zapewnienie stabilności finansowej przedsiębiorstwa oraz sprawnego powrotu do normalnego funkcjonowania po wystąpieniu zdarzeń kryzysowych.
Narzędziem do realizacji celu zapewnienia odporności firmy na wystąpienie różnych nieoczekiwanych zdarzeń jest SYSTEM ZARZĄDZANIA RYZYKIEM I CIĄGŁOŚCIĄ DZIAŁANIA.
NIEPRAWDOPODOBNE STAJE SIĘ MOŻLIWE – “Czarne łabędzie”
11 września 2001 r. – oprócz ofiar w ludziach w ciągu kilku godzin ponad 100 firm działających w WTC utraciło możliwość dalszego funkcjonowania.
Wiele z nich nie zdołało już nigdy wrócić do normalnej działalności.
Początek 2020 r. – pandemia pokazała,
że zagrożenie globalne może sparaliżować biznes.
W ciągu kilku tygodni firmy na całym świecie stanęły przed wyzwaniem utrzymania działalności mimo zerwanych łańcuchów dostaw, ograniczeń administracyjnych
i rosnącej niepewności.
17 maja 2021 r. – awaria stacji PSE: wyłączenie 10 z 11 bloków Elektrowni Bełchatów, odpowiedzialnej za 17% mocy w Polsce.
22 maja 2021 r. – 5 dni później wybuchł pożar na taśmociągu węglowym najnowszego bloku, zapewniającego 25% mocy zakładu.
Kryzysy wybierają własny moment. Mogą przyjść z zewnątrz – w postaci pandemii, konfliktów geopolitycznych, cyberataku
czy ekstremalnych zjawisk pogodowych – lub pojawić się wewnątrz organizacji jako awaria, sabotaż czy pożar.
Opracowane scenariusze działania przed wystąpieniem zagrożenia zapewniają w kryzysie stabilność i przewagę konkurencyjną.
Skuteczne zarządzanie kryzysowe i plany awaryjne decydują o zdolności do ochrony zasobów oraz utrzymania ciągłości działania.
Co stanie się z działalnością firmy, gdy ryzyko stanie się rzeczywistością?
Czy firma utrzyma ciągłość działania?
TAK, bo ufamy, że:
- nasi pracownicy to eksperci z wieloletnim doświadczeniem,
- poradzą sobie w każdej, nawet najtrudniejszej sytuacji,
- możemy na nich polegać,
- dadzą sobie radę,
- jesteśmy ubezpieczeni.
TAK, bo mamy:
- analizę BIA – identyfikację procesów krytycznych,
- Plany Ciągłości Działania,
- instrukcje awaryjne,
- zasady zarządzania kryzysowego,
- testy wszystkich elementów,
- optymalną stawkę i kwotę ubezpieczeniową.
Jak dziś odpowiesz na to pytanie – “A” czy “B”?
Wymagania i rekomendacje ubezpieczycieli dotyczące majątku firmy – przykład
Zalecany przez Ubezpieczycieli System Zarządzania Ryzykiem
i Ciągłością Działania,
oparty (optymalnie zgodny) na normie ISO 22301, obejmuje:
- ciągłą identyfikację i ocenę ryzyk mogących zagrozić działalności firmy,
- gotowe scenariusze reakcji na incydenty i sytuacje kryzysowe,
- plany zapewniające utrzymanie kluczowych procesów nawet
w warunkach zakłóceń, - procedury szybkiego odtworzenia działalności po awarii lub kryzysie,
- zarządzanie oparte na danych
i wynikach analiz.
| Rodzaj zalecenia | PREWENCYJNE / WARUNKOWE |
| Treść zalecenia | PLANY CIĄGŁOŚCI DZIAŁANIA |
| Obserwacje | Firma posiada kilka niezależnych zakładów o podobnej (lub identycznej) specyfice działania. Jednocześnie zakłady te funkcjonują całkowicie niezależnie, również pod względem możliwości wzajemnego wsparcia zasobami ludzkimi, technologicznymi, produkcyjnymi oraz magazynowymi (co potencjalnie jest możliwe). Brak jest sformalizowanych i wdrożonych Planów Ciągłości Działania (PCD/BCP) oraz systemu zarządzania ciągłością działania (SZCD/BCMS). |
| Komentarz | Ze względu na specyfikę działania i strukturę lokalizacyjną odpowiednio przygotowane plany działania pozwolą na realizację wzajemnego wsparcia poszczególnych zakładów, w tym czasowej relokacji produkcji pomiędzy zakładami, a co za tym idzie znaczące ograniczenie potencjalnych strat materialnych oraz minimalizację strat biznesowych spowodowanych zaburzeniami dostarczania produktów firmy. |
| Zalecenie |
Wskazujemy na wysoki potencjał odbudowy biznesu w zakładzie klienta dotkniętym potencjalnym scenariuszem katastroficznym (szkodowym), skutkującym częściową lub całkowitą przerwą w jego działaniu. Zalecamy opracowanie i wdrożenie systemu zarządzania ciągłością działania zgodnego z wymaganiami normy ISO 22301, obejmującego ustrukturyzowane zarządzanie ryzykiem i plany ciągłości działania. W szczególności system ten powinien uwzględniać: – Proces zarządzania ryzykiem ukierunkowany na poprawę odporności firmy na zakłócenia. – Zasady reakcji na zdarzenia niepożądane, w celu ograniczenia ich skutków. – Plany ciągłości działania określające sekwencję działań dla wznowienia przerwanych procesów i ich przywrócenia na minimalnym, akceptowalnym poziomie. – Plany działań dla normalizacji sytuacji i przywrócenia działania na normalnym poziomie. Certyfikacja systemu na zgodność z ISO 22301 nie jest wymagana, sugerujemy ją do rozważenia. |
| Termin realizacji | 12 miesięcy |
ZR i CD = odpowiedź na wyzwania
ZAGROŻENIE
⟶
Świadome zapobieganie zakłóceniom i przerwaniem działania poprzez ANALIZĘ I ZARZĄDZANIE RYZYKIEM
INCYDENT
⟶
Przygotowanie na działania w sytuacji wystąpienia zakłócenia lub awarii poprzez PLANY AWARYJNE
KATASTROFA
⟶
Gotowość zapobiegania eskalacji sytuacji i przywrócenia normalności poprzez ZARZĄDZANIE KRYZYSOWE
PLAN DZIAŁANIA – ETAPY
1. Określenie potrzeb i zakresu
⟶
Wizja lokalna, wywiady, analiza dokumentów, warsztat kick-off (potwierdzenie zakresu i organizacji projektu)
2. Analiza ryzyka i BIA
⟶
Identyfikacja i ocena ryzyk, tolerancja
i kontrola ryzyka, BIA (Business Impact Analysis), procesy priorytetowe, wymogi ciągłości, akceptacja wyników analizy
3. Plany Ciągłości Działania
⟶
Zasoby minimalne, obsada awaryjna, instrukcje awaryjne (listy kontrolne), zasady i scenariusze kryzysowe
4. Wdrożenie
⟶
Dokumentacja, szkolenia, materiały, mitygacja ryzyk, plany testów, procedury zarządzania, pierwszy przegląd zarządzania, testy pilotażowe
zgodny z potrzebami BIZNESU, wymaganiami ISO 22301 oraz z zaleceniami ubezpieczyciela.
POZIOM RYZYKA A ROZWÓJ BIZNESU
DOJRZAŁOŚĆ ZARZĄDZANIA RYZYKIEM
pełna ekspozycja na ryzyko
kontroli ryzyka
INHERENTNE
stabilne funkcjonowanie
kontrola ryzyka
REZYDUALNE
zwiększona odporność
kontroli ryzyka
REZYDUALNE