Wdrożenie ISO 22301

Analiza stanu obecnego

Przeprowadzamy ocenę zgodności istniejących zasad, planów i praktyk z wymaganiami ISO 22301.

Analiza obejmuje między innymi:

• kontekst organizacji i potrzeby zainteresowanych stron,
• zakres odpowiedzialności za ciągłość działania,
• istniejące analizy BIA i oceny ryzyka,
• strategie i rozwiązania ciągłości działania,
• plany reagowania, ciągłości i odtworzenia,
• zarządzanie dostawcami i zależnościami zewnętrznymi,
• komunikację podczas zakłócenia,
• program szkoleń i ćwiczeń,
• monitorowanie, audyty i przeglądy zarządzania.

Rezultatem jest raport przedstawiający zidentyfikowane luki, ich znaczenie oraz rekomendowaną kolejność działań.

Określenie zakresu SZCD

Wspieramy organizację w ustaleniu zakresu Systemu Zarządzania Ciągłością Działania.

Zakres obejmuje całą organizację albo wybrane wyroby i usługi, procesy, jednostki organizacyjne lub lokalizacje. Przy jego określaniu uwzględniamy wymagania klientów, zobowiązania umowne, wymagania prawne i regulacyjne, granice odpowiedzialności oraz zależności od dostawców, infrastruktury i usług zewnętrznych.

Analiza wpływu na działalność

Przeprowadzamy lub aktualizujemy analizę wpływu na działalność, zwaną BIA, która określa konsekwencje zakłóceń oraz wymagania dotyczące odtworzenia priorytetowych działań.

Analiza obejmuje:

• identyfikację priorytetowych wyrobów, usług i działań,
• ocenę skutków zakłócenia w czasie,
• określenie akceptowalnych czasów przerwy,
• ustalenie celów i kolejności odtworzenia,
• określenie minimalnych poziomów działania,
• identyfikację zasobów i zależności wymaganych do odtworzenia.

Ocena ryzyka zakłóceń

Opracowujemy lub dostosowujemy sposób identyfikacji i oceny ryzyk, które prowadzą do przerwania działalności albo ograniczenia zdolności organizacji do dostarczania wyrobów i usług.

Ocena obejmuje źródła zakłóceń, istniejące środki ograniczające ryzyko, podatności krytycznych zasobów i zależności oraz działania wymagane do zmniejszenia prawdopodobieństwa lub skutków zakłócenia.

Projekt systemu zarządzania

Na podstawie wyników analizy projektujemy model SZCD dostosowany do struktury, skali i profilu ryzyka organizacji.

Prace obejmują:

• ustanowienie polityki ciągłości działania,
• określenie ról, odpowiedzialności i uprawnień,
• ustalenie celów ciągłości działania i mierników,
• ustanowienie metodyki BIA i oceny ryzyka,
• określenie zasad nadzoru nad dokumentacją,
• zaprojektowanie programu szkoleń i ćwiczeń,
• zaprojektowanie audytów wewnętrznych i przeglądów zarządzania,
• określenie zasad postępowania z niezgodnościami.

Strategie i rozwiązania ciągłości

Wspieramy organizację w wyborze strategii oraz rozwiązań umożliwiających odtworzenie priorytetowych działań zgodnie z wynikami BIA i oceny ryzyka.

Zakres obejmuje rozwiązania dotyczące:

• personelu i kompetencji,
• obiektów i miejsc pracy,
• technologii oraz danych,
• dostawców i łańcucha dostaw,
• transportu, logistyki i infrastruktury,
• komunikacji zewnętrznej i wewnętrznej,
• finansowania działań awaryjnych.

Wybór rozwiązań uwzględnia ich skuteczność, wykonalność, koszty wdrożenia oraz zgodność z wymaganymi czasami odtworzenia.

Opracowanie dokumentacji

Przygotowujemy udokumentowane informacje potrzebne do ustanowienia i funkcjonowania SZCD. W zależności od uzgodnionego zakresu dokumentacja obejmuje:

• zakres i model organizacyjny SZCD,
• politykę oraz cele ciągłości działania,
• metodykę i wyniki BIA,
• metodykę i wyniki oceny ryzyka,
• strategie i rozwiązania ciągłości,
• strukturę reagowania na zakłócenia,
• plany reagowania i ciągłości działania,
• plany odtworzenia procesów i zasobów,
• zasady komunikacji kryzysowej,
• program ćwiczeń, audytów i przeglądów.

Jeżeli organizacja posiada już plany i procedury, poddajemy je przeglądowi, porządkujemy i dostosowujemy zamiast tworzyć równoległą dokumentację.

Wdrożenie rozwiązań i planów

Wspieramy właścicieli procesów w przełożeniu przyjętych strategii na rozwiązania operacyjne oraz gotowe do uruchomienia plany działania.

Wsparcie obejmuje:

• ustanowienie struktury reagowania i zasad eskalacji,
• przypisanie ról oraz zastępstw,
• wdrożenie procedur aktywacji planów,
• przygotowanie list kontaktowych i komunikatów,
• uzgodnienie współpracy z dostawcami zewnętrznymi,
• zapewnienie dostępu do planów podczas zakłócenia,
• określenie sposobu dokumentowania decyzji i działań,
• monitorowanie realizacji planu wdrożenia.

Szkolenia i budowanie świadomości

Przygotowujemy szkolenia dla kadry zarządzającej, osób odpowiedzialnych za SZCD, członków zespołów reagowania oraz pozostałych pracowników objętych systemem.

Szkolenia obejmują role podczas zakłócenia, zasady zgłaszania i eskalacji, aktywację planów, komunikację, dokumentowanie działań oraz obowiązki wynikające z przyjętych procedur.

Program ćwiczeń i testów

Projektujemy i realizujemy ćwiczenia sprawdzające przyjęte strategie, rozwiązania, plany oraz zdolność zespołów do reagowania.

Zakres obejmuje:

• ustalenie celów i scenariusza ćwiczenia,
• określenie uczestników, obserwatorów i kryteriów oceny,
• przeprowadzenie ćwiczenia lub testu,
• zebranie dowodów i informacji zwrotnych,
• ocenę osiągnięcia zakładanych czasów i poziomów odtworzenia,
• przygotowanie raportu i planu doskonalenia.

Ocena gotowości do certyfikacji

Przed rozpoczęciem audytu certyfikacyjnego oceniamy, czy SZCD został prawidłowo zaprojektowany, wdrożony, udokumentowany i sprawdzony w praktyce.

Ocena obejmuje przegląd dokumentacji, rozmowy z właścicielami procesów, weryfikację wyników BIA i oceny ryzyka, przegląd ćwiczeń, sprawdzenie audytu wewnętrznego i przeglądu zarządzania oraz identyfikację potencjalnych niezgodności.

Audyt wewnętrzny

Przeprowadzamy audyt wewnętrzny SZCD albo wspieramy funkcję audytu wewnętrznego działającą w organizacji.

Zakres audytu jest ustalany z zachowaniem wymaganej niezależności i bezstronności. Jeżeli uczestniczyliśmy bezpośrednio we wdrożeniu określonych elementów SZCD, sposób realizacji audytu uzgadniamy tak, aby nie dochodziło do oceny własnej pracy.

Wsparcie podczas audytu certyfikacyjnego

Wspieramy organizację w przygotowaniu dokumentacji i dowodów, przygotowaniu właścicieli procesów do rozmów z audytorami, analizie ustaleń audytowych oraz zaplanowaniu i realizacji działań korygujących.