امروزه هر سازمانی باید در مقابل اختلالات، حوادث و تهدیدات درونی و بیرونی ایمن باشد. ایزو 22301 به این منظور طراحی شده است که به کسبوکارها برای پیاده‌سازی، حفظ و بهبود سیستم مدیریت تداوم کسب و کار کمک کند. این استاندارد به شما کمک می‌کند تا تهدیدات سازمان خود را درک کرده و اولویت‌بندی کنید. همچنین این ایزو مراحل لازم برای کاهش خطر اختلال، حفاظت از دارایی‌ها در صورت بروز مشکل و توانایی بازیابی سریع بعد از هر حادثه را مشخص می‌کند. این ایزو انواع استاندارد های کنترل کیفیت را در نظر گرفته است و اجرای آن علاوه‌بر بهبود مدیریت ریسک و افزایش شهرت کسبوکارها مزایای مختلفی به‌همراه خواهد داشت.
ایزو 22301 چیست؟
ایزو 22301 استاندارد بین‌المللی شناخته‌شده برای مدیریت تداوم کسب و کار است. استاندارد iso 22301 استانداردی است که تضمین می‌کند اقدامات لازم برای ایجاد، تحقق، تأیید، حفظ برنامه‌ها و به‌حداقل‌رساندن خطرات احتمالی به‌منظور جلوگیری از وقفه در عملیات سازمان‌ها انجام می‌شود. همچنین ازآنجایی‌که بسیاری از کسبوکارها بخشی از زنجیره تأمین جهانی سازمانی هستند، وجود یک سیستم مدیریت تداوم کسب و کار مؤثر حیاتی است.
درواقع ایزو 22301 به شما کمک می‌کند تا ریسک‌های پیرامون کسبوکار خود را شناسایی و راه‌کارهایی را برای به‌حداقل‌رساندن تأثیر آن‌ها، اعمال کنید. با این استانداردْ کسبوکارها می‌توانند در برابر حوادث مخرب احتمالی، رویکردی فعال داشته باشند. همچنین ایزو 22301 به شما کمک می‌کند که کنترل‌هایی را برای اطمینان از اینکه در صورت بروز حوادث، قادر به بهبود سریع شرایط هستید، اجرا کنید.
مزایای ایزو 22301 چیست؟
ایزو 22301 یک چارچوب سیستماتیک برای مدیریت تداوم کسب و کار، ازجمله محافظت از یک سازمان در برابر تعدادی از تهدیدات و اختلالات بالقوه، همچنین توسعه یک سیستم قوی برای کمک به پیشگیری، آماده‌سازی و بازیابی از حوادث غیرمنتظره ارائه می‌دهد. بنابراین مدیریت تداوم کسب و کار یک مسئولیت برنامه‌ریزی ضروری است که امکان افزایش انعطاف‌پذیری و مدیریت ریسک مؤثر را فراهم می‌کند. دستیابی به استاندارد مدیریت تداوم کسب و کار (BCMS) چندین مزیت دارد، ازجمله مهم‌ترین این مزیت‌ها موارد زیر هستند:
از کسبوکار خود محافظت کنید
پیاده‌سازی ایزو 22301 امکان مدیریت تداوم کسب و کار را فراهم می‌کند. این استاندارد تضمین می‌کند که از خدمات مهم و دارایی‌های تجاری شما محافظت می‌شود. درنتیجه وجود آن، نوعی تضمین برای مشتریان و بیمه‌گذاران هم خواهد بود. اجرای استاندارد ایزو 22301 همچنین می‌تواند به کاهش هزینه حق بیمه کمک کند.
استاندارد بین‌المللی شناخته‌شده
با‌توجه به‌اینکه ایزو 22301 یک استاندارد بین‌المللی شناخته‌شده است، به کسبوکار شما اجازه می‌دهد تا به مشتریان، زنجیره تأمین و ذینفعان در سطح جهانی نشان دهد که سیستم مدیریت تداوم کسب و کار شما بر اساس الزامات یک استاندارد بین‌المللی توسعه یافته و ارزیابی شده است.
مزیت رقابتی افزایش می‌یابد
وجود یک سیستم مدیریت تداوم کسب و کار مانند ایزو 22301 در محل، اعتماد و اطمینان مشتری را به سازمان شما بهبود می‌بخشد. اگر شرکت شما دارای گواهینامه ایزو 22301 باشد و رقبای شما آن را نداشته نباشند، مشتریانی که در مورد تداوم عملیات خود و ارائه محصولات و خدمات خود حساس هستند، به شما اعتماد بیشتری خواهند داشت. به‌علاوه، چنین گواهی‌نامه‌ای می‌تواند شهرت شما را افزایش دهد و باعث جذب مشتریان جدید شود. وجود استاندارد iso 22301 نشان‌دهنده این است که شما، در صنعت خود از بهترین‌ها هستید، درنتیجه منجر به افزایش سهم بازار و سود بیشتر می‌شود.
اطمینان از انطباق قانونی
بیشتر کشورها اغلب قوانین و مقرراتی را برای کسبوکارها تعریف می‌کنند تا آن‌ها را ملزم به رعایت تداوم کسب و کار کنند. همچنین، کسب‌و‌کارهای خصوصی (به‌عنوان‌مثال، مؤسسات مالی) هم از تأمین‌کنندگان و شرکای خود می‌خواهند که راه‌حل‌هایی را برای مدیریت تداوم کسب و کار، اجرا کنند. خوشبختانه ایزو 22301یک چارچوب و روش کامل برای حمایت از انطباق با این الزامات، با کاهش مراحل عملیاتی و تعداد جریمه‌هایی که باید پرداخت شود، ارائه می‌کند.
کاهش وابستگی به افراد
بیشتر اوقات، فعالیت‌های حیاتی یک کسبوکار تنها به چند نفر متکی است. به‌همین‌دلیل وقتی‌که این افراد سازمان را ترک می‌کنند، جایگزینی آن‌ها سخت می‌شود و کسبوکار دچار بحران می‌شود. مدیرانی که از این موضوع آگاه هستند می‌توانند از شیوه‌های مدیریت تداوم کسب و کار استفاده کنند تا کمتر به آن افراد وابسته شوند (چه به‌دلیل راه‌حل‌های جایگزین اجراشده یا با مستندسازی وظایف مرتبط). درنتیجه در صورت ازدستدادن نیروهای کلیدی خود، ایزو 22301از ایجاد بسیاری از دردسرهای شما جلوگیری می‌کند.
استاندارد ایزو 22301 برای چه کسب‌وکارهایی مناسب است؟
ایزو 22301 به‌گونه‌ای طراحی‌شده است که برای همه کسب‌وکاری در هراندازه یا نوعی قابل‌اجرا باشد، درنتیجه هر نوع کسب‌وکاری (بزرگ یا کوچک، انتفاعی یا غیرانتفاعی، خصوصی یا عمومی) می‌تواند از این استاندارد بهره ببرد. پیاده‌سازی و اخذ گواهینامه ایزو 22301 را می‌توان برای کسب‌وکارهایی که از نظر قانونی ملزم به مشارکت در برنامه‌ریزی اضطراری هستند، مانند شرکت‌های فعال در حوزه انرژی، حمل‌و‌نقل، بهداشت و خدمات عمومی، ضروری دانست.
ایزو 22301 چگونه کار می‌کند؟
تمرکز ISO 22301 اطمینان از تداوم ارائه محصولات و خدمات تجاری پس از وقوع حوادث مخربی مانند بلایای طبیعی، بلایای انسانی و غیره است. این استاندارد اولویت‌های مدیریت تداوم کسبوکار (از طریق تجزیهوتحلیل تأثیر کسبوکار) را ارزیابی و رویدادهای مخرب بالقوه را شناسایی می‌کند. همچنین اقدامات لازم برای جلوگیری از وقوع چنین رویدادهایی و درنهایت راه‌حل‌هایی برای بازیابی سریع کسبوکار در صورت وقوع حادثه در نظر می‌گیرد.
بنابراین، فلسفه اصلی ایزو 22301مبتنی بر تجزیهوتحلیل اثرات و مدیریت خطرات است. این استاندارد به شما کمک می‌کند تا مهم‌ترین فعالیت‌های کسب‌وکارتان و ریسک‌هایی که آن‌ها را تهدید می‌کند بشناسید و سپس به‌طور سیستماتیک آن ریسک‌ها را برطرف کنید. از مهم‌ترین اصطلاحات استفاده‌شده در استاندارد ایزو 22301 می‌توان به موارد زیر اشاره کرد:
- سیستم مدیریت تداوم کسب و کار (Business Continuity Management System)؛ بخشی از یک سیستم مدیریت کلی که اطمینان حاصل می‌کند تداوم کسبوکار برنامه‌ریزی، اجرا و حفظ می‌شود و به‌طور مداوم بهبود می‌یابد.
- حداکثر قطعی قابل‌قبول (Maximum Acceptable Outage)؛ حداکثر مدت‌زمانی که می‌توان یک فعالیت را بدون ایجاد آسیب غیرقابل‌قبول مختل کرد.
- هدف زمان بازیابی (Recovery Time Objective)؛ زمان از‌پیش‌تعیین‌شده‌ای که در آن یک محصول، خدمات یا فعالیت باید از سر گرفته شود یا منابع باید بازیابی شوند.
- هدف نقطه بازیابی (Recovery Point Objective)؛ حداکثر ازدستدادن داده، به‌عنوان‌مثال، حداقل مقدار داده استفاده‌شده توسط یک فعالیت که نیاز به بازیابی دارد.
- حداقل هدف تداوم کسب و کار (Minimum Business Continuity Objective)؛ حداقل سطح خدمات یا محصولاتی که یک سازمان برای دستیابی به اهداف تعریف‌شده خود پس‌از از‌سرگیری فعالیت‌های تجاری خود، باید تولید کند.
استراتژی‌ها و راه‌حل‌هایی که قرار است اجرا شوند معمولاً به‌صورت خط‌مشی‌ها، رویه‌ها و پیاده‌سازی فنی/فیزیکی (مانند امکانات، نرم‌افزار و تجهیزات) هستند.
محتوای ایزو 22301
ایزو 22301به 11 بخش یا بند تقسیم می‌شود که بندهای 0 تا 3 مقدماتی هستند و اجرای آن‌ها اجباری نیست، اما هفت بند دیگر (از 4 تا 10) بندهای کلیدی و اجباری آن هستند. درنتیجه اگر سازمانی بخواهد با آن مطابقت داشته باشد، باید تمام الزامات آن‌ها در سازمان اجرا شود. الزاماتی که در بندهای 4 تا 10 آورده شده است، عبارت‌اند از:
بند 4 – محیط کسب و کار سازمان: سازمان‌ها باید بدانند کی هستند، چه‌کاری انجام می‌دهند و کدام فرآیندها و خروجی‌ها را باید حفظ کنند. آن‌ها باید طرف‌های ذی‌نفع و انتظارات آن‌ها را تعیین کنند. همچنین الزامات قانونی و مقرراتی باید شناسایی و مستند شوند. با این اطلاعات، سازمان محدوده ایزو 22301 خود را ایجاد و مستند می‌کند. در نظر داشته باشید که در این مرحله باید، مکان‌ها، مأموریت‌ها، اهداف، محصولات و خدمات سازمان در نظر گرفته شود.
بند 5 – رهبری: برای اجرای موفقیت‌آمیز ایزو 22301، سازمان‌ها به حمایت مستمر و رهبری مدیریت ارشد نیاز دارند. برای نشان‌دادن تعهد خود، مدیریت ارشد سازمان باید خط‌مشی سازمان را توسعه دهد و آن‌ها را مستندسازی کند. همچنین او باید با رهبری درست کارکنان خود، به آن‌ها در اجرای اثربخش ایزو 22301کمک کند.
بند 6 – برنامه‌ریزی: برای برنامه‌ریزی مدیریت تداوم کسب و کار، سازمان‌ها باید بفهمند که چه اختلالاتی می‌تواند به‌طور بالقوه رخ دهد و چگونه این حوادث بر تجارت آن‌ها تأثیر می‌گذارد. سازمان‌ها باید پیامدهای ریسک‌ها، تأثیر آن‌ها و مزایای فرصت‌ها را با توجه به زمینه خود در نظر بگیرند و برای مقابله با آن‌ها اقداماتی را برنامه‌ریزی کنند. این استاندارد همچنین سازمان‌ها را موظف می‌کند که اهداف BCMS قابل‌اندازه‌گیری را برای تضمین حداقل محصولات یا خدمات قابل‌دوام و همچنین انطباق با الزامات قانونی یا نظارتی تعیین کنند. این اهداف باید مستند و ابلاغ شوند. برای دستیابی به آن‌ها، سازمان‌ها باید برنامه‌های عملیاتی در یک چارچوب زمانی با مسئولیت‌های تعیین‌شده داشته باشند.
بند ۷ – پشتیبانی: هیچ سازمانی بدون منابع و پشتیبانی نمی‌تواند پیشرفت کند. سازمان‌ها باید نیازهای منابع را در نظر بگیرند و آن‌ها را برای دستیابی به اهداف مدیریت تداوم کسب و کار خود فراهم کنند. این منابع ممکن است شامل زیرساخت، فناوری، ارتباطات، شایستگی، آگاهی و اطلاعات مستند باشد. ایزو 22301به شواهد مستندی از شایستگی، برای نقش‌های تعریف‌شده، مانند سوابق آموزشی، تحصیلات و پیشینه حرفه‌ای نیاز دارد.
بند 8 – عملیات: این بخش از استاندارد iso 22301 فعالیت‌هایی را که باید برای دستیابی به اهداف BCMS و بازگشت به حالت عادی سازمان انجام شود، تشریح می‌کند.
بند 9 – ارزیابی عملکرد: سازمان‌ها باید شاخص‌ها و معیارهای عملکرد را در نظر بگیرند و نتایج آن را مستند کنند. ممیزی داخلی برنامه‌ریزی‌شده باید برای اندازه‌گیری سطح انطباق با استاندارد و الزامات خود سازمان انجام شود. برنامه حسابرسی و نتایج باید مستند باشد. درنهایت، مدیریت ارشد باید اثربخشی مدیریت تداوم کسب و کار (BCMS) را در فواصل زمانی برنامه‌ریزی‌شده بررسی و نتایج این بررسی‌ها را مستند کند.
بند 10 – بهبود: سازمان‌ها باید روشی برای رسیدگی به عدم انطباق‌ها با علل ریشه‌ای و اقدامات اصلاحی و همچنین راهبردهایی برای بهبود به‌صورت مستمر داشته باشند. ایزو 22301اطلاعات مستند را برای ارزیابی اقدامات اصلاحی الزامی می‌کند.
چگونه باید استاندارد ایزو 22301را پیاده‌سازی کنید؟
همان‌طور که می‌دانید ایزو 22301که به تداوم کسب و کار شرکت‌ها کمک می‌کند مانند تمام استانداردهای ایزو، یک اقدام داوطلبانه است و به انتخاب سازمان بستگی دارد. با‌این‌حال، در بسیاری از کشورها، برای برخی از بخش‌های تجاری، مقرراتی برای صدور گواهینامه ایزو 22301وجود دارد. شما برای پیاده‌سازی ایزو 22301در شرکت خود، باید 17 مرحله را دنبال کنید:
- پشتیبانی مدیریت
- شناسایی الزامات
- سیاست و اهداف تداوم کسبوکار
- اسناد پشتیبانی برای سیستم مدیریت
- ارزیابی و بهبود ریسک
- تجزیهوتحلیل تاثیرات تجاری
- استراتژی تداوم کسبوکار
- طرح تداوم کسبوکار
- آموزش و آگاهی
- نگهداری اسناد
- تمرین و آزمایش
- بررسی‌های پس از حادثه
- اشخاص مربوطه
- اندازه‌گیری و ارزیابی
- حسابرسی داخلی
- اقدامات اصلاحی
- بررسی مدیریت
مدت‌زمان اجرای این استاندارد، بسته به مقیاس و پیچیدگی سازمان و کسبوکار، متفاوت است. اما به‌طور‌کلی، برای شرکت‌های کوچک یا متوسط با الزامات انطباق کمتر، ممکن است بین سه تا شش ماه دریافت گواهینامه ایزو 22301 طول بکشد. برای سازمان‌های بزرگ با سایت‌های زیاد، یا شرکت‌هایی که باید قوانین زیادی را رعایت کنند، این مدت می‌تواند یک سال یا حتی بیشتر هم باشد.
