Dojrzałość ISO 22316 · Zarządzanie odpornością organizacyjną

ISO 22316 dotyczy bezpieczeństwa i odporności, a dokładniej zdolności organizacji do wchłaniania zakłóceń, dostosowywania się do nich i kontynuowania działalności. Opublikowana w 2017 roku, nie formułuje wymagań, lecz opisuje zasady oraz szereg atrybutów: wspólną wizję i cel istnienia, zrozumienie kontekstu wewnętrznego i zewnętrznego, przywództwo zdolne do podejmowania decyzji w warunkach niepewności, kulturę wspierającą odporność, dzieloną informację, dostępne zasoby, koordynację między dyscyplinami zarządzania oraz ciągłe doskonalenie czerpane z doświadczenia. To rama do sterowania, a nie lista kontrolna.

Ten charakter sprawia, że temat jest trudny do utrzymania. Odporności nie da się odczytać z żadnego istniejącego pulpitu wskaźników: rozkłada się ona między ciągłość działania, zarządzanie ryzykiem, bezpieczeństwo, zasoby ludzkie, łańcuch dostaw i komunikację, każdy obszar z własnymi gremiami decyzyjnymi. Pytania, które się powtarzają, są konkretne. Kto rozstrzyga, gdy dwie dyscypliny proponują sprzeczne rozwiązania? Czy decyzje podjęte podczas ostatniego zakłócenia zmieniły coś w organizacji, czy pozostały jedynie w protokole? Czy krytyczne zależności, dostawcy, systemy, rzadkie kompetencje, są znane poza zespołami, które nimi zarządzają?

Często pojawia się nieporozumienie: ISO 22316 i ISO 22301 nie dotyczą tego samego przedmiotu. ISO 22301 ustanawia wymagania dla systemu zarządzania ciągłością działania i podlega certyfikacji. ISO 22316 poszerza ramę o ogólną zdolność organizacji, wykraczającą poza zidentyfikowane scenariusze przerwania, i nie podlega certyfikacji. Organizacja może dysponować sprawdzonym planem ciągłości działania i pozostawać krucha w zakresie koordynacji, kultury czy adaptacji. Odwrotna sytuacja zdarza się rzadziej, ale również występuje.

Diagnoza dojrzałości odpowiada na inne pytanie niż audyt. Audyt kończy się stwierdzeniem zgodności lub luki. Diagnoza umiejscawia każdy atrybut na skali progresywnej, w pięciu poziomach zbudowanych według metody CMMI, i wskazuje działanie prowadzące do kolejnego poziomu. Luka między uzyskanym wynikiem a celem bezpośrednio generuje plan działania, który sztuczna inteligencja grupuje w priorytetową mapę drogową. Jednostki biznesowe porównują się między sobą oraz z własną poprzednią oceną.

W Datamensio model referencyjny jest gotowy do użycia i pozostaje Państwa własnością. Mogą Państwo dostosować obszary tematyczne, pytania i sformułowania poziomów. Sztuczna inteligencja doprecyzowuje te poziomy, dostosowuje słownictwo do Państwa sektora lub buduje wariant na podstawie Państwa własnych dokumentów: polityki ciągłości działania, wniosków z kryzysów, mapy zależności.