Dojrzałość ISO 22301 · Ciągłość działania i zarządzanie kryzysami finansowymi

ISO 22301 to międzynarodowa norma zarządzania ciągłością działania. Opublikowana w obecnej wersji w 2019 roku, podlega certyfikacji przez akredytowaną jednostkę. Wymaga określonego zakresu, analizy wpływu na działalność identyfikującej priorytetowe procesy oraz ich maksymalne dopuszczalne okresy przerwy, proporcjonalnych strategii i rozwiązań zapewniających ciągłość, procedur reagowania i zarządzania kryzysowego, programu ćwiczeń i testów, a także przeglądu zarządzania. W sektorze finansowym wymagania te krzyżują się z DORA, Bazyleą III oraz oczekiwaniami nadzorców dotyczącymi odporności operacyjnej.

W praktyce systemem trudno zarządzać. Dokumentacja niemal zawsze istnieje, jej wierność rzeczywistemu funkcjonowaniu znacznie rzadziej. Czy maksymalne dopuszczalne okresy przerwy zostały zatwierdzone przez jednostki biznesowe, czy ustalone przez zespół ryzyka? Czy zależności wobec kluczowych dostawców, infrastruktur rynkowych i dostawców danych są odwzorowane do końca łańcucha? Czy ostatnie ćwiczenie zaowocowało skorygowanymi ustaleniami, czy jedynie zarchiwizowanym sprawozdaniem? Te pytania pojawiają się w odniesieniu do każdego podmiotu osobno, a odpowiedzi różnią się nawet w obrębie jednej grupy kapitałowej.

Warto rozwiać częste nieporozumienie: ISO 22301 nie jest planem odtwarzania informatycznego. Odtwarzanie techniczne, objęte między innymi normą ISO 27031, stanowi jedynie element rozwiązań ciągłości. Norma dotyczy procesów biznesowych, ich priorytetyzacji, trybów działania w warunkach ograniczonych oraz prowadzenia kryzysu. W bankowości i ubezpieczeniach wejście w życie DORA przesunęło punkt ciężkości: testy odporności, nadzór nad kluczowymi dostawcami usług cyfrowych oraz zgłaszanie incydentów stają się wymogiem egzekwowalnym, a dojrzały system ISO 22301 stanowi ich możliwy do wykorzystania fundament.

Diagnoza dojrzałości odpowiada na inne pytanie niż audyt certyfikujący. Audyt sprawdza obecność wymagań i kończy się stwierdzeniem zgodności albo niezgodności. Diagnoza umieszcza każdą praktykę na skali progresywnej i wskazuje działanie, które pozwala przejść na wyższy poziom. Datamensio mierzy dojrzałość i przygotowuje do audytu, nie wydaje żadnego certyfikatu. Wynik dla każdego obszaru tematycznego można porównywać między jednostkami biznesowymi oraz w czasie, a luka względem celu generuje plan działania.

Model referencyjny jest gotowy do użycia i dostosowuje się do Państwa organizacji. Sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy do Państwa sektora oraz zakresu działalności, albo tworzy wariant na podstawie Państwa własnych dokumentów: polityki ciągłości działania, analiz wpływu, sprawozdań z ćwiczeń. Wykorzystywane modele mogą być wybierane, również spośród rozwiązań europejskich.