Zrelost načrta neprekinjenega poslovanja · Direktiva BCEAO PCA
Vaš sistem neprekinjenega poslovanja, izmerjen po direktivi BCEAO in preveden v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost načrta neprekinjenega poslovanja · Direktiva BCEAO PCA
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Directive de la BCEAO relative au plan de continuité d’activité des établissements de crédit de l’UMOA je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (ena raven, višja raven in ukrep, ki ju povezuje) spremeni ugotovitev v pot naprej.
Ali se načrt neprekinjenega poslovanja testira in ali se rezultati testov uporabljajo?
- N1
Noben test ni bil izveden. Načrt obstaja v obliki dokumenta in še nikoli ni bil preizkušen.
- N2
Izvedeni so bili posamični testi, omejeni na simulacijo za mizo ali na posamezno tehnično komponento. Ugotovitve niso formalizirane.
- N3
Opredeljen in izveden je letni program testiranj za kritične dejavnosti. Vsaka vaja se zaključi s poročilom in opredeljenimi korektivnimi ukrepi.
- N4
Testi vključujejo dejanski preklop na nadomestno lokacijo s sodelujočimi uporabniki in vključujejo ključne zunanje izvajalce. Korektivni ukrepi se spremljajo do zaključka in predstavijo upravljalnemu organu.
- N5
Testni scenariji se prilagajajo glede na pretekle incidente in spremembe informacijskega sistema. Rezultati napajajo analizo vpliva in revizijo ciljev okrevanja, z dokumentirano zgodovino med posameznimi vajami.
Ukrep za prehod z ravni 2 na raven 3
V letni kontrolni načrt vključiti program testiranj, ki zajema dejavnosti, ocenjene kot kritične z analizo vpliva, za vsako vajo določiti odgovorno osebo in datum, ter formalizirati standardno poročilo, katerega korektivni ukrepi se preverijo na naslednjem odboru za tveganja.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna PCA.
O čem govori ta referenčni okvir
Direktiva BCEAO o načrtu neprekinjenega poslovanja zahteva od kreditnih institucij in bančnofinančnih družb v UEMOA, da vzpostavijo pisni sistem, ki ga potrdi upravljalni organ in ki zagotavlja nadaljevanje bistvenih dejavnosti ob večji motnji. Vzpostavlja štiri obveznosti: opredeliti kritične dejavnosti z analizo vpliva na poslovanje, določiti cilje okrevanja, formalizirati postopke nadomestnega delovanja in premestitve, nato pa sistem testirati in poročati o rezultatih. Notranja kontrola in notranja presoja imata tu izrecno vlogo.
V praksi je PCA eden najbolj deklarativnih sistemov znotraj bonitetnega okvira. Dokument obstaja skoraj povsod, njegova dejanska živost pa je precej neenakomerna. Ali cilji okrevanja, RTO in RPO, izhajajo iz analize vpliva, ki so jo potrdile poslovne enote, ali so zgolj prepisani iz predloge? Je nadomestna lokacija že sprejela ekipo v dejanskih razmerah, z dostopom do produkcijskih aplikacij? Ali so ključni zunanji izvajalci, ponudnik gostovanja, telekomunikacijski operater, dobavitelj preklopnega sistema za plačilne kartice, pogodbeno zavezani k preverljivim zavezam glede neprekinjenega poslovanja? Mnoge institucije vrzel odkrijejo šele pri prvem resničnem testu.
Dva razvoja temo zaostrujeta. Rast plačilnih storitev, elektronskega denarja in regionalne interoperabilnosti je kritičnost premaknila na tehnične verige, ki so v veliki meri zunanje izvedene: nedostopnost zunanjega izvajalca postane nedostopnost institucije same. Poleg tega se besedila BCEAO o varnosti informacijskih sistemov in o zunanjem izvajanju prekrivajo s PCA. Pogosta zmota je, da se neprekinjeno poslovanje skrči na načrt okrevanja informacijske tehnologije, čeprav direktiva meri na neprekinjenost bančnih dejavnosti: blagajne, plačilna sredstva, kredite, regulatorno računovodstvo, odnos s strankami.
Presoja skladnosti se zaključi z binarnim odgovorom: načrt obstaja, je potrjen, je testiran. Diagnostika zrelosti zastavi drugačno vprašanje. Na kateri ravni obvladovanja je posamezna sestavina in katero konkretno dejanje omogoči prehod na naslednjo raven. Institucija, katere PCA se testira enkrat letno po teoretičnem scenariju, in institucija, ki dejansko preklopi na svojo nadomestno lokacijo, sta obe »skladni« . Vendar nista na isti ravni zrelosti in se ob dejanski motnji ne bosta odzvali enako.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo in se prilagodi vaši organizaciji. UI prilagodi tematska področja, vprašanja in formulacijo ravni glede na vašo velikost, poslovni model in dejavnosti, ali pa iz vaših lastnih dokumentov, politike neprekinjenega poslovanja, analize vpliva, poročil o testih, zgradi prilagojeno različico. Bančna skupina, prisotna v več državah unije, lahko isti referenčni okvir uporabi v vsaki hčerinski družbi in primerja rezultate.
Referenčni standard: Directive de la BCEAO relative au plan de continuité d’activité des établissements de crédit de l’UMOA
Ocenjevana tematska področja
Upravljanje in politika neprekinjenega poslovanja
Formalizirana politika, ki jo potrdi upravljalni organ, vloge odgovornega za PCA in kontaktnih oseb po poslovnih enotah, krmilni odbor, povezava s sistemom notranje kontrole, namenski proračun.
Analiza vpliva na poslovanje
Popis dejavnosti in procesov, merila kritičnosti, določitev najdaljšega dopustnega časa prekinitve, cilji okrevanja RTO in RPO, potrditev s strani poslovnih enot, pogostost posodabljanja.
Scenariji izrednih dogodkov in ocena tveganj
Upoštevani scenariji (nedostopnost prostorov, informacijskega sistema, osebja, zunanjega izvajalca, prekinitev oskrbe z energijo ali telekomunikacijami), skladnost z zemljevidom operativnih tveganj, občasni pregled.
Strategije in rešitve za premestitev
Nadomestna lokacija za uporabnike, nadomestna informacijska in podatkovna infrastruktura, dimenzioniranje virov, dokumentirani zasilni načini delovanja za blagajne, plačilna sredstva in računovodstvo, ročni nadomestni postopki.
Sistem obvladovanja kriz
Krizni štab in namestniki, merila in pristojnost za sprožitev, dnevnik dogodkov, nadomestna sredstva komunikacije, postopki vrnitve v običajno stanje.
Ključni zunanji izvajalci in zunanje izvajanje
Opredelitev kritičnih zunanjih izvajalcev, pogodbene klavzule o neprekinjenosti in dogovorjene ravni storitev, načrti neprekinjenega poslovanja zunanjih izvajalcev, skupni testi, strategije reverzibilnosti in nadomestitve.
Testiranja in vaje
Letni program testiranj, vrste vaj (simulacija za mizo, tehnični preklop, vaja z uporabniki), zajeto področje, merila uspešnosti, poročilo, spremljanje korektivnih ukrepov do zaključka.
Usposabljanje, ozaveščanje in dokumentacija
Usposabljanje kriznega štaba in ekip za premestitev, ozaveščanje zaposlenih, dostopnost in verzioniranje postopkov zunaj glavnega informacijskega sistema, posodobljeni krizni imeniki.
Neprekinjenost odnosa s strankami in plačil
Ohranjanje storitev za stranke v zasilnem načinu, razpoložljivost bankomatov in plačilnih kartic, obveščanje strank, neprekinjenost medbančnih izmenjav in regionalnih sistemov.
Kontrola, poročanje in nenehno izboljševanje
Stalne in občasne kontrole sistema, spremljani kazalniki, poročanje upravljalnemu organu in nadzornemu organu, pridobljene izkušnje po incidentu, posodabljanje načrta.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali ta diagnostika pomeni potrdilo o skladnosti z direktivo BCEAO?
Ne. Datamensio meri zrelost vašega sistema in pripravlja na presojo, ne izdaja pa nobenega potrdila. Skladnost je v pristojnosti bančne komisije UEMOA in vaših lastnih kontrolnih del. Diagnostika vam pove, kje ste in kaj je še treba storiti.
Kakšna je razlika v primerjavi s presojo skladnosti PCA?
Presoja preveri obstoj zahtevanih elementov in se zaključi z ugotovitvijo vrzeli ali skladnosti. Diagnostika umesti vsako sestavino na postopno lestvico in pokaže ukrep, ki omogoči prehod na naslednjo raven. Oboje se dopolnjuje: diagnostika pripravi na presojo, presoja potrdi.
Koliko časa traja ocenjevanje?
Kratko različico izpolni odgovorni za PCA v enem samem srečanju. Celovita različica, v sodelovalnem načinu z notranjo kontrolo, IT oddelkom in poslovnimi enotami, običajno traja od enega do dveh tednov, pri čemer večino časa vzame zbiranje dokazov pri ekipah.
Ali je referenčni okvir prilagodljiv naši instituciji?
Da. Vprašanja, ravni in tematska področja lahko spremenite, lahko pa izhajate tudi iz lastnih dokumentov: UI nato zgradi prilagojeno različico glede na vaš poslovni model, univerzalno banko, plačilno institucijo ali decentralizirani finančni sistem. Obvladovanje referenčnega okvira ostane v vaših rokah.
Ali je mogoče primerjati več hčerinskih družb skupine?
Da. Isti referenčni okvir se uvede v vsaki poslovni enoti, z oceno po tematskem področju in primerjavo med enotami ter s prejšnjimi kampanjami. Presečni načrt poti združi akcijske načrte posameznih hčerinskih družb in prepreči podvajanje istih nalog.
Kako se PCA povezuje z varnostjo informacijskih sistemov in zunanjim izvajanjem?
Vsa tri besedila BCEAO se prekrivajo pri kritičnih zunanjih izvajalcih, razpoložljivosti in obvladovanju incidentov. Trdna diagnostika PCA predstavlja ponovno uporabno osnovo za ta druga dva referenčna okvira, presečni načrt poti pa omogoča njihovo povezovanje brez podvajanja istega ukrepa.
Kaj diagnostika konkretno pripravi?
Oceno po tematskem področju, ciljno vrednost in vrzel med njima, iz katere izhaja akcijski načrt. UI ukrepe združi v prednostno razvrščen načrt poti, katalog storitev pa vsakemu elementu pripiše rešitev z njenim stroškom, rokom in vplivom na oceno. Poročilo se deli z vodstvom v prostoru z vašo vizualno podobo.
Kje so podatki gostovani?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri Scalewayu. Brez prenosa podatkov zunaj Evropske unije. Uporabljeni modeli UI so lahko izbrani tudi med evropskimi rešitvami.