7 lat temu na konferencji Business Continuity & Resilience w Londynie sporo mówiliśmy o tym, żeby nie mylić odporności organizacyjnej z ciągłością działania i zarządzaniem kryzysowym.
A co znajdujemy w ogłoszeniach?
Człowieka orkiestrę, który ma się zajmować ciągłością działania, kryzysami i postępowaniem awaryjnym (contingency) i … wieloma innymi sprawami
Pokrótce kilka zdań wprowadzenia:
- Ciągłość działania (BCM – business continuity management) – system oparty jest o analizę wpływu na biznes (BIA – business impact analysis). Jej celem jest wyznaczenie produktów i usług kluczowych oraz realizujących je procesów i aktywności. Wyznaczane są procesy krytyczne i aktywności krytyczne, których brak bądź zakłócenie spowoduje niedostarczenie usług lub produktów. W nowszych koncepcjach BCM pojawia się minimalny poziom świadczonej usługi lub produkcji (innym razem na ten temat, ale jest to również istotny element). Cechy charakterystyczne BCM to określony maksymalny, dopuszczalny czas przestoju czy zakłócenia. Po jego przekroczeniu dojdzie do nieodwracalnych skutków. Na podstawie tego maksymalnego czasu wyznaczane są pozostałe – czas wznowienia działania (przywrócenia poziomu minimalnego), ostateczny czas przywrócenia realizowanych działań. Jak widać czas ma tutaj kluczowe znaczenie, w analizie BIA występuje dodatkowo jako wskazanie nakładania się skutków i wystąpienie tzw. skumulowanego wpływu po pewnym okresie od wystąpieniu incydentu.
- Postępowanie awaryjne (contingency plan) – bywa częścią BCM, może być również samodzielnym bytem. Na podstawie analiz wskazywane są konkretne zdarzenia (utrata zasilania, awaria maszyny) i do nich przygotowywane są szczegółowe plany postępowania. Takie prawie zarządzanie incydentami, gdzie mamy wskazane aktywatory planu (coś, co się stało), zbudowane plany odtwarzania czy przywracania (DRP – disaster recovery plan, czy IRP – incydent response plan). Ważne, najczęściej są scenariuszowe np. utrata medium, personelu, usługi IT, lokalizacji.
- Zarządzanie kryzysowe – występuje w dwóch odmianach. Pierwsze to składowa BCM lub planu awaryjnego. Drugie – to kryzys jako decyzja (to podejście mi bliższe). Coś musimy poświęcić, aby utrzymać coś innego, dla nas bardziej cennego. W zarządzaniu kryzysowym kluczową funkcję spełnia świadomość sytuacyjna, która jest podstawą do podejmowania decyzji. W tym drugim znaczeniu zarządzanie kryzysowe ma najbliżej do odporności organizacyjnej.
Przykład
Pożar hali produkcyjnej. Włączamy postępowanie awaryjne. Gdy pożar i jego skutki mogą zaważyć na naszym produkcie lub usłudze kluczowej, naruszając maksymalne czasy przestoju uruchamiamy plany ciągłości działania (BCP). Zmieniamy zakład jak możemy. Uruchomić plany odbudowy, albo zadecydować że nasz produkt kluczowy jest tak kluczowy, że inny kończymy lub przerywamy, a na „odzyskanych zasobach” tworzymy środowisko świadczenia usługi bądź produkcji.
Przykłady inne:
- Ogólnoświatowa epidemia (pandemia)
- Zablokowanie kanału Sueskiego
- Wojna na Ukrainie
Jak już napisałem wcześniej, najbliżej odporności do zarządzania kryzysowego (co do elementów składowych). Tylko jest małe „ale”. Jeśli zaczniemy budować naszą odporność organizacyjną od kryzysu, to możemy nie zdążyć. Ani zadecydować co poświęcić (kryzys), ani wykorzystać kompetencji ukrytych (wiedza ukryta), różnorodności, wiedzy i współpracy i pozostałych składowych odporności organizacyjnej.