Maturitate ISO 22301 · Continuitatea activităților și gestionarea crizelor financiare
Dispozitivul dumneavoastră de continuitate, măsurat pe ISO 22301 și tradus într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate ISO 22301 · Continuitatea activităților și gestionarea crizelor financiare
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic ISO 22301:2019 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior și acțiunea care le leagă) transformă o constatare într-o traiectorie.
Termenele maxime admisibile de întrerupere ale activităților prioritare sunt definite, validate de unitățile de afaceri și coerente cu soluțiile de continuitate existente?
- N1
Niciun termen de întrerupere admisibil nu este definit. Activitățile prioritare nu sunt identificate în mod explicit.
- N2
Termenele figurează într-o analiză de impact, întocmită de echipa de risc și nevalidată de responsabilii unităților de afaceri. Coerența lor cu mijloacele de recuperare nu este verificată.
- N3
Termenele sunt validate de unitățile de afaceri, documentate activitate cu activitate și confruntate cu capacitățile reale de recuperare. Decalajele identificate sunt trasate.
- N4
Termenele sunt testate în timpul exercițiilor, decalajele față de capacitățile de recuperare fac obiectul unor planuri de acțiune monitorizate, iar dependențele față de furnizorii critici sunt integrate.
- N5
Termenele sunt reexaminate la fiecare evoluție a activității, a sistemului informatic sau a portofoliului de furnizori, cu un istoric documentat al revizuirilor și al efectelor lor asupra soluțiilor reținute.
Acțiune pentru trecerea de la N2 la N3
Organizați un atelier de validare pe domeniu de afaceri privind analiza de impact, obțineți semnătura fiecărui responsabil de activitate prioritară pentru termenele de întrerupere admisibile, apoi confruntați fiecare termen cu capacitățile de recuperare existente și consemnați decalajele în planul de acțiune prezentat la analiza de management.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ISO 22301.
Despre ce vorbește acest cadru de referință
ISO 22301 este standardul internațional al managementului continuității activității. Publicat în versiunea sa actuală în 2019, este certificabil de către un organism acreditat. Acesta impune un domeniu de aplicare definit, o analiză a impactului asupra activității care identifică activitățile prioritare și termenele maxime admisibile de întrerupere, strategii și soluții de continuitate proporționale, proceduri de răspuns și gestionare a crizelor, un program de exerciții și teste, apoi o analiză de management. În sectorul financiar, aceste cerințe se intersectează cu cele ale DORA, Basel III și așteptările autorităților de supraveghere privind reziliența operațională.
În practică, dispozitivul este dificil de pilotat. Documentația există aproape întotdeauna, fidelitatea sa față de funcționarea reală mult mai puțin. Termenele de întrerupere admisibile au fost validate de unitățile de afaceri sau stabilite de echipa de risc? Dependențele față de furnizorii critici, infrastructurile de piață și furnizorii de date sunt cartografiate până la capătul lanțului? Ultimul exercițiu a produs constatări corectate sau un raport clasat? Aceste întrebări se pun entitate cu entitate, iar răspunsurile diferă în cadrul aceluiași grup.
O confuzie frecventă merită clarificată: ISO 22301 nu este planul de recuperare informatică. Recuperarea tehnică, acoperită în special de ISO 27031, este doar o componentă a soluțiilor de continuitate. Standardul vizează activitățile de afaceri, prioritizarea lor, modurile de funcționare degradată și gestionarea crizelor. În sectorul bancar și de asigurări, intrarea în vigoare a DORA a deplasat cursorul: testele de reziliență, supravegherea furnizorilor de servicii digitale critice și raportarea incidentelor devin opozabile, iar un sistem ISO 22301 matur constituie fundamentul reutilizabil.
Diagnosticul de maturitate răspunde la o altă întrebare decât auditul de certificare. Auditul verifică prezența cerințelor și se încheie cu o conformitate sau un decalaj. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea care permite trecerea la nivelul următor. Datamensio măsoară maturitatea și pregătește auditul, nu eliberează niciun certificat. Scorul pe domeniu tematic se compară între unitățile de afaceri și în timp, iar decalajul față de țintă generează planul de acțiune.
Cadrul de referință este gata de utilizare și se adaptează organizației dumneavoastră. Inteligența artificială ajustează domeniile tematice, întrebările și nivelurile la sectorul și domeniul dumneavoastră de aplicare, sau construiește o adaptare pornind de la propriile documente: politica de continuitate, analize de impact, rapoarte de exerciții. Modelele utilizate pot fi selectate, inclusiv dintre soluțiile europene.
Standard de referință: ISO 22301:2019
Domeniile tematice evaluate
Guvernanță și politică de continuitate
Politică formalizată și validată, domeniul de aplicare al sistemului de management, roluri și responsabilități, implicarea conducerii, resurse alocate.
Analiza impactului asupra activității
Identificarea activităților prioritare, termene maxime admisibile de întrerupere, obiective de recuperare, validare de către unitățile de afaceri, frecvența actualizării.
Evaluarea riscurilor de întrerupere
Scenarii reținute, evaluarea probabilităților și impacturilor, articularea cu dispozitivul de risc operațional, luarea în considerare a incidentelor survenite.
Dependențe și furnizori critici
Cartografierea dependențelor interne și externe, infrastructuri de piață, furnizori de date, clauze contractuale de continuitate, planuri de ieșire.
Strategii și soluții de continuitate
Opțiuni reținute pe activitate prioritară, moduri de funcționare degradată, situri și resurse de rezervă, redundanța sistemelor, adecvarea la obiectivele de recuperare.
Proceduri de răspuns și gestionare a crizelor
Dispozitiv de alertă și escaladare, celulă de criză și mandate de decizie, proceduri documentate, continuitatea conducerii, comunicare internă și externă.
Comunicare cu părțile interesate
Informarea clienților, autorităților de reglementare și contrapărților, notificarea incidentelor în termenele reglementare, coordonare cu furnizorii.
Program de exerciții și teste
Tipologia și realismul exercițiilor, acoperirea activităților prioritare și a furnizorilor, participarea conducerii, tratarea constatărilor.
Performanță și monitorizare
Indicatori de continuitate, controale permanente, audituri interne, analiza de management, monitorizarea decalajelor până la închidere.
Îmbunătățire continuă și lecții învățate
Analiza întreruperilor reale, actualizarea analizelor de impact și procedurilor, compararea rezultatelor în timp, maturitatea dispozitivului însuși.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
ISO 22301 este certificabilă, iar Datamensio eliberează certificarea?
Standardul este certificabil de către un organism acreditat. Datamensio nu certifică: măsoară maturitatea dispozitivului, documentează decalajele și produce planul de acțiune care pregătește auditul de certificare.
Ce diferență există între acest diagnostic și un audit de conformitate?
Auditul verifică prezența cerințelor și se încheie cu o conformitate sau un decalaj. Diagnosticul situează fiecare practică pe o scală de maturitate și indică acțiunea care permite trecerea la nivelul următor. Cele două se completează: diagnosticul pregătește, auditul validează.
Cât timp durează evaluarea?
O autoevaluare realizată de responsabilul continuității se desfășoară într-o sesiune de lucru. În modul colaborativ, cu unitățile de afaceri, departamentul informatic și achizițiile, colectarea se întinde pe una până la două săptămâni, cea mai mare parte a timpului fiind dedicată schimburilor cu contributorii.
Se poate adapta cadrul de referință organizației noastre?
Da. Domeniile tematice, întrebările și nivelurile pot fi modificate, iar dumneavoastră puteți adăuga propriile cerințe interne. Inteligența artificială ajustează cadrul de referință la sectorul dumneavoastră sau construiește o adaptare pornind de la documentele dumneavoastră de continuitate.
Cum se articulează acest diagnostic cu DORA și așteptările autorității de supraveghere?
DORA preia principii convergente: activități critice, teste de reziliență, supravegherea furnizorilor, notificarea incidentelor. Un diagnostic ISO 22301 constituie un fundament reutilizabil. O foaie de parcurs transversală permite consolidarea mai multor audituri fără a duplica acțiunile.
Sunt necesare competențe tehnice pentru a răspunde?
Întrebările vizează practicile de management al continuității, nu configurațiile tehnice. Unele puncte țin de recuperarea informatică sau de contractele cu furnizorii: modul colaborativ permite alocarea acestor întrebări interlocutorului potrivit.
Se pot compara rezultatele între entități?
Da. Auditurile realizate pe același cadru de referință se compară între unitățile de afaceri, între țări și cu propriile dumneavoastră evaluări anterioare. Inteligența artificială grupează decalajele într-o foaie de parcurs prioritizată, cu cost, termen și impact așteptat asupra scorului.
Unde sunt găzduite datele?
În Franța, la OVH, cu backup la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de inteligență artificială utilizate pot fi selectate, inclusiv dintre soluțiile europene.