Обеспечение непрерывности деятельности организации

Агеенко А.А.

Выпускник группы MBA CIO-60B

Школа IT-менеджмента

РАНХиГС при Президенте РФ

Цифровая трансформация – современный тренд развития бизнеса, и это не только внедрение передовых ИТ-технологий, но и изменение бизнес-структуры, стратегии развития бизнеса, корпоративной культуры.

Данное исследование проводилось для организаций Евразийского континента, оказывающих юридические услуги в сфере интеллектуальной собственности (далее – Организация).

Существуют разные направления цифровой трансформации. Для организации, предоставляющей услуги бизнес-сообществу путем закрепления прав на результаты интеллектуальной деятельности, стратегия развития базируется на максимальном приближении к заявителю в реализации его потребностей. Организация осуществляет юридически значимые для заявителя действия, результат которых оказывает существенное влияние на его бизнес, в том числе при вовлечении в хозяйственный оборот результатов интеллектуальной деятельности – изобретений.

Международные договоры и национальные законодательства государств закрепляют требования к Организации в части оказания услуг по предоставлению правовой охраны результатам интеллектуальной деятельности, в том числе к срокам и качеству предоставления услуг.

Современная Организация стремится обеспечить круглосуточную доступность патентной информации, простоту и легкость в ее использовании, получение качественных результатов экспертизы и поддержание патентов в силе.

В условиях современного роста количества услуг, предоставляемых Организацией в электронном виде, основной процесс становится зависимым от инфраструктуры и многократно увеличиваются риски потери информации, реализация которых может привести к остановке ее основной деятельности.

В связи с активным переходом на круглосуточное электронное делопроизводство по заявкам и патентам, автоматизацию юридически значимых действий, имеющих серьезные финансовые, экономические и юридические последствия для бизнеса, остро встает вопрос об обеспечении непрерывности деятельности Организации.

В России услуги по подаче заявок уже включены в перечень государственных электронных услуг. Заявители отмечают комфорт и удобство. А что стоит за этой услугой с точки зрения работоспособности всего основного процесса организации, отказоустойчивости ее инфраструктуры и остальных ресурсов?

Может ли Организация нарушить установленные требования в силу объективных причин? Какие последствия в этом случае возникнут для всех заинтересованных сторон?

Цифровизация это не только новые современные сервисы, но и новые современные угрозы безопасности и непрерывности организации. Эксперты всерьез рассматривают возможность мирового экономического кризиса по результатам цифрового прерывания – вот к чему надо начинать готовиться! В последние годы зафиксирован рост атак на системы, которые управляют электроэнергией, инфраструктурой, вентиляцией, лифтами, системами пожарной безопасности и т.п. Усугубляет ситуацию то, что все эти системы еще и соединены с Интернетом. Таким образом, возрастает опасность взаимосвязанной цепной реакции отказа всех систем как жизнеобеспечения, так и обеспечивающих основные процессы деятельности любой современной организации. Чем выше уровень цифровизации, тем больше возникает угроз стратегическим планам бизнеса. Современной целью атаки все чаще является саботаж деятельности организаций, а не шпионаж, как было раньше.

Чрезвычайная ситуация мирового масштаба, связанная с пандемией коронавируса, заставляет нас задуматься о готовности организаций к событиям, относящимся к обстоятельствам непредвиденной силы. Необходимо отметить, что угроза пандемии занимала первые позиции в перечне актуальных угроз прерываний на 2000-2010 гг., разрабатываемом ведущими мировыми экспертами по непрерывности в связи с распространением заболеваний SARS и MERS. Однако, поскольку угроза мировой пандемии в то время не реализовалась, серьезная опасность эпидемии в 2020 году уже не рассматривалась. В итоге, в ожидании реализации угроз, связанных с отказом ИТ-систем в результате действий злонамеренного характера и климатических катаклизмов, которые занимали первые строчки рейтинга угроз прерывания на 2020 год, мировой бизнес оказался не совсем готов к текущему развитию пандемии.

Анализ влияния текущей эпидемии на бизнес ставит дополнительные вопросы. С чем все же в конечном итоге была связана дестабилизация экономик и серьезное воздействие на организации – с массовым заболеванием персонала коронавирусом или с действиями регулирующих и законодательных органов государств? Где проходит та грань защиты общества, после которой риск здоровья людей превышается риском отложенной потери того же здоровья по причинам безработицы, финансовой нестабильности экономики, отказа в логистике общего мирового рынка?

Насколько опыт, полученный по конкретным результатам инцидента прерывания в результате текущей эпидемии, готовит нас к следующей реализации обстоятельств непредвиденной силы? Да, сейчас мы активно учимся, приспосабливаемся и устраняем проблемы, связанные с коронавирусом. Экономика перестраивается, найденные во время пандемии удачные временные решения трансформируются в постоянные. Но при этом мы должны отчетливо понимать, что в целом по результатам данного реального инцидента мы теперь готовы всего лишь к точно такой же конкретной эпидемии конкретного штамма вируса, которая развивается точно по таким же закономерностям, например, временным характеристикам, которые в данной ситуации обеспечили нам небольшой отложенный эффект и предоставили время на подготовку и реализацию защитных мер. Насколько мы стали более готовыми к действиям по быстрому снижению влияния будущих проблем прерывания? К сожалению, если бы текущая пандемия сочеталась с серьёзными перебоями в поставке электроэнергии или отсутствием Интернета, то применяемые решения уже не дали бы того эффективного результата. А «панацея» в виде удаленного доступа, решив конкретную проблему коронавируса, еще больше увеличила нашу зависимость от внешних ресурсов и создала новые угрозы прерывания.

Правильный вывод по результатам этой ситуации — готовиться к непредвиденным угрозам, в том числе и к тем, о которых мы можем даже и не догадываться. Стратегической целью современных Организаций становится повышение защищенности ее ключевых процессов и активов в условиях неопределенности, повышение управляемости и надежности процесса обработки заявок на изобретения; демонстрация заявителям высокого уровня своей надежности за счет выполнения требований заинтересованных сторон в случае наступления чрезвычайных ситуаций; снижение затрат на организацию управления и расходов на восстановление работоспособности Организации после сбоя; объективное обоснование затрат на непрерывность; своевременное выявление угроз и управление рисками непрерывности; обеспечение личной защищенности заинтересованных сторон в ситуациях форс-мажора.

В настоящее время бизнес все чаще осознает необходимость внедрения превентивных мер по обеспечению непрерывности, однако при их реализации возникает новая проблема, связанная с необходимостью выделения ресурсов для готовности к гипотетическим угрозам, которые, вдобавок ко всему, могут никогда не реализоваться. При этом бизнес традиционно не боится риска и тяготеет к рисковым решениям, имеющим возможность получения прибыли.

Нередка ситуация, когда тактика неприемлемости затрат на снижение угроз прерывания в случае их реализации сменяется на тактику вложения огромных, зачастую уже ничем не обоснованных средств в защиту от угроз прерывания, а фактически в обеспечение защищенности конкретных людей, их благосостояния и нервной системы. Получается обратный эффект — перекос в бюрократизацию всех процессов в ущерб принятию бизнес-рисков и получению прибыли.

Необходимо решить - на что расходовать ресурсы для организации непрерывности? Что важно, а что нет? Как могут меняться приоритеты в зависимости от ситуации, непрерывность каких процессов в штатном режиме работы важна, а во время серьезной остановки деятельности – некритична? Как высшему руководству принять то верное стратегическое решение, которое позволит быстро преодолеть кризисную ситуацию и получить преимущество над конкурентами? Какие внедрить решения по непрерывности, позволяющие получить максимальную пользу с минимальными затратами? Как верно оценить ситуацию, ведь опора стратегического руководства – специалисты тактического уровня среднего звена управления – склонна завышать риски и приоритетность своих процессов! Как получить конкретный перечень мероприятий, необходимых к выполнению в целях обеспечения необходимого уровня непрерывности для конкретной организации, производства ее конкретных продуктов и в конкретных ситуациях прерывания, которые мы можем даже не предвидеть? Как обеспечить паритет между ценой и производительностью, как учесть все взаимосвязи и избежать переинвестирования?

Где та грань между красивым, сложным, юридически грамотным планом действий и реальной ситуацией, в которой надо действовать стремительно и не раздумывая? Насколько будут верны управленческие решения во время непредвиденного кризиса? Сколько по времени может действовать специалист в стрессовой ситуации, ведь сотрудники являются обычными людьми, как предугадать, какие поведенческие паттерны будут ими управлять во время серьезного инцидента, особенно, если он угрожает их здоровью и благополучию?

Система обеспечения непрерывности — это то, что мы можем противопоставить новым современным угрозам бизнеса. Современный мировой тренд – внедрение в управление организацией процесса обеспечения непрерывности. «Непрерывность бизнеса» как прикладная дисциплина позволяет дать инструмент анализа и выявления наиболее оптимальных и эффективных решений как для конкретных угроз, так и для абсолютно непредвиденных обстоятельств.

Наша страна имеет уникальное географическое положение, находясь на культурной границе европейского и азиатского подходов к бизнесу. Непрерывность — это очень современная тенденция в европейской экономике, достаточно упомянуть о практически 70% готовности передового европейского бизнеса на переход на удаленную работу во время текущего инцидента и достаточно быстрой адаптации в производстве продуктов и услуг, направленных на удовлетворение новых измененных потребностей общества. По результатам текущих исследований практически 90% ведущих европейских организаций всерьез задумались о внедрении систем непрерывности. В том числе рассматривается вопрос прохождения сертификации как подтверждения использования лучших современных решений на базе процессного подхода.

Эксперты пророчат взрыв российской экономики в ближайшие годы, что неминуемо повлечет теснейшую интеграцию российского рынка с передовыми мировыми научными, социальными и бизнес-разработками и технологиями. Можно с уверенностью предположить, что непрерывность организации станет той визитной карточкой, которая идентифицирует надежного коллегу по бизнесу и поставщика продуктов и услуг. Наличие системы непрерывности в организации будет свидетельствовать партнеру об устойчивости организации к выполнению своих стратегических целей, защите репутации и обеспечению финансовой стабильности в сложных непредвиденных условиях, а то, как мы защищаем свой персонал и свою собственность, проецируется на ожидания заинтересованных сторон.

В конечном итоге мы не должны бояться инцидентов прерывания, мы должны четко понимать, что избежать их невозможно. Но можно быть заранее готовыми к их реализации и решать проблемы в штатном режиме, минимизируя последствия и время остановки основной деятельности - это то, что доступно организации, это то, к чему бизнес может быть готов.

Какой можно применить современный подход, базирующийся на современных мировых исследованиях, к обеспечению непрерывности Организации, как создать эффективную систему непрерывности Организации, как приоритезировать основные продукты, процессы активности и ресурсы, какие риски закрывать, какие использовать решения – ответы на эти вопросы дает данное исследование.

Исследование базируется на положениях международного стандарта ISO 22301 версии 2019 года, лучших практик его внедрения, а также на передовом опыте международных сообществ специалистов по непрерывности, материалах тематических конференций, статей и современных исследований. Автором работы были проведены мероприятия, направленные на получение конкретных решений по обеспечению непрерывности Организации с учетом экономической целесообразности в условиях неопределенности прерывания ее деятельности при реализации обстоятельств непредвиденной силы.

Во время исследования проведены следующие работы и получены следующие
результаты.

1. Выявлены стратегические цели Организации и определены соответствующие им стратегические цели Системы обеспечения непрерывности основной деятельности (далее – СНДО). Разработан шаблон Политики непрерывности Организации.
2. Исследована область применения СНДО для Организации:
   • изучены и описаны основные и вспомогательные процессы Организации (декомпозированные до уровня подпроцессов), определены границы действия СНДО;
   • выявлен и описан перечень заинтересованных сторон основного процесса, выявлены и приоритезированы их заинтересованность и влияние на непрерывность процессов;
   • разработана схема ролевой модели управления СНДО Организации, определены обязанности и необходимые компетенции ролей и должностей структуры управления СНДО, описаны особенности роли высшего руководства;
   • описаны основные регуляторные требования к Организации;
   • построена модель организационной структуры и выявлены ее особенности, оказывающие влияние на обеспечение непрерывности, свойственные любой Организации.
3. Проведен анализ воздействия на бизнес и анализ рисков нештатного прерывания основной деятельности Организации на стратегическом, тактическом и прикладном уровнях:
   • подготовлена модель рабочей группы для проведения анализа;
   • разработана шкала определения уровня негативных последствий для Организации;
   • выявлены и описаны ключевые продукты и услуги Организации, определена степень их воздействия на заинтересованные стороны, определены критические времена, порядок и веса восстановления продуктов и услуг;
   • выявлены и описаны критические процессы для ключевых продуктов, определены воздействие прерываний на процессы и времена их восстановления;
   • выявлены и описаны особенности инфраструктуры, имеющие отношение к непрерывности Организации, в том числе с учетом использования аутсорсинга, описаны ключевые активности и ресурсы, необходимые для поддержания непрерывности ключевых процессов производства ключевых продуктов;
   • определены целевые точки и времена восстановления для ресурсов, обеспечивающих выполнение ключевых активностей Организации;
   • выявлен перечень угроз прерывания основной деятельности Организации;

   определен перечень ключевых рисков и угроз, требующих неотлагательного решения на первом цикле внедрения СНДО в Организации.

4. Осуществлено проектирование СНДО Организации:
   • подготовлен перечень решений для обеспечения непрерывности ключевых активностей в ключевых процессах по производству ключевых продуктов, закрывающих критические сценарии прерывания деятельности;
   • определена и утверждена стратегическая оценка стоимости и сроков внедрения решений;
   • подготовлено описание конкретных проектов для реализации решений с описанием основных требований к проектам, достаточных для их реализации специалистами среднего уровня.
5. Подготовлен шаблон запроса на проект внедрения СНДО в Организации с описанием конкретных мероприятий и контрольных точек.

По результатам проведенных работ выявлены следующие критические особенности, свойственные Организации, имеющие максимальное влияние на функционирование СНДО.

1. Для Организации целесообразно построение СНДО на базе международного стандарта ISO23301:2019 и прохождение официальной сертификации на соответствие стандарту, что является гарантией оптимального применения лучших практик в области непрерывности в целях обеспечения максимальной охраны интересов внешних сторон по получению качественного сервиса и защиты интересов внутренних сторон по сохранению репутации Организации.
2. На первом и втором циклах функционирования СНДО необходимо и достаточно обеспечить непрерывность производства одного из семи ключевых продуктов Организации, а именно патента на изобретение.
3. В целях обеспечения выполнения основных критических потребностей заинтересованных сторон (заявителей и их представителей) достаточно обеспечить выполнение непрерывности трех подпроцессов (из семи) процесса выдачи патента на изобретение (расположены по приоритетности):
   • обработка входящей информации по заявкам и патентам;
   • проведение формальной экспертизы;
   • обеспечение публикаций.

   При быстром восстановлении функционирования вышеуказанных подпроцессов в
   совокупности с превентивными мерами социального взаимодействия с внешними
   потребителями услуг (успокаивающего характера) обеспечивается выполнение основных
   требований внешних сторон и создается возможность восстановления остальных процессов
   Организации в рабочем порядке.

4. Целесообразно разделить внедрение решений по непрерывности на 2 цикла функционирования системы:
   • на первом цикле внедрения СНДО для получения быстрых понятных и реальных результатов необходимо обеспечить закрепление за заявителями даты приоритета по их изобретениям, что возможно при достаточно быстром восстановлении подпроцесса обработки входящей информации по заявкам и патентам (в объемах и характеристиках RTO и RPO, определенных в работе). Это обеспечит основную защиту от разрушительных последствий инцидентов прерывания;
   • на втором цикле внедрения СНДО необходимо провести мероприятия по снижению ключевых рисков для подпроцессов проведения формальной экспертизы и обеспечения публикаций, а именно для входящих в них ключевых активностей: приема дополнительных документов и внесения изменений в заявку Заявителем; вынесения формального решения по заявке; публикации заявки в установленные сроки. Завершение работ по второму циклу внедрения СНДО снизит последствия от реализации рисков прерывания до приемлемого уровня, после которого внедрение дополнительных мер потребует от Организации необоснованных затрат.

   Непрерывность процесса обработки входящей информации по заявкам и патентам
   (результат первого цикла) успокоит заинтересованные лица и даст время на восстановление
   остальных процессов, а непрерывность процессов проведения формальной экспертизы и
   обеспечение публикаций (результат второго цикла) предоставит необходимое время для
   приемлемого восстановления основного процесса в полном объеме.

5. Непрерывность любой Организации (закрытие рисков реализации всех ее ключевых угроз прерывания) обеспечивается конкретными решениями, описанными в данной работе, которые в целях тактического управления их внедрением целесообразно объединить в 13 решений. Решения в совокупности составляют единый сбалансированный продукт, обеспечивающий обоснованный паритет между расходами и выгодой – минимально необходимые затраты на обеспечения необходимых требований по непрерывности. В дальнейшем в рамках внедренных на первом цикле технологий решения могут быть практически без изменений использованы для обеспечения непрерывности менее критических продуктов и услуг Организации. Это обеспечит эффективное и экономное расходование средств организации на реализацию стратегических целей.
6. В дополнение необходимо обозначить следующие особенности, выявленные в результате работы, на которые следует обращать внимание при внедрении СНДО в Организациях:
   • наиболее точный результат, влияющий на эффективность выделения ресурсов на непрерывность, достигается при проведении и согласовании результатов трех видов анализа воздействия на бизнес: стратегического уровня, направленный на выявление основных продуктов и услуг организации; тактического уровня, направленный на выявление критических процессов, от которых зависит производство продуктов и услуг; прикладного уровня, направленный на выявление критических активностей, составляющих критические процессы. Рекомендуется использовать модель рабочей группы по проведению анализов воздействия на бизнес и рисков, предложенную в данной работе и базирующуюся на равенстве оценок ответственных за продукты и услуги, процессы и активности;
   • необходимо учитывать особенность разной оценки влияния прерывания на ущерб репутации Организации, свойственные разным уровням ее управления. Высшее руководство склонно к принятию меньших рисков потери репутации, тогда как тактическое ядро имеет тенденцию к занижению степени репутационных рисков, приоритезируя производственные риски. Необходимо принимать оценку тактического ядра для ситуации полного прерывания всей деятельности, а оценку стратегического ядра для случая прерывания только данных услуг по отдельности;
   • особое внимание в дальнейшем необходимо обратить на процесс обеспечения публикаций. Современный международный тренд – переход к ежедневной публикации, что существенно изменит приоритеты СНДО для данного процесса, переведя его в разряд критических.
7. Для специалистов-консультантов в области непрерывности может представлять интерес особенность Организации, заключающаяся в отсутствие значимости критериев необходимых минимально достаточных количества и качества основного продукта. В деятельности Организации отсутствуют приоритеты по заинтересованным сторонам - выделяемые ресурсы прямо пропорциональны количеству заявок, а качество услуг – это постоянный критерий, стремящийся к бесконечному улучшению. Также необходимо учитывать особенность бэклога ключевого продукта – нормативные процедурные сроки измеряются неделями и месяцами, но превышение сроков категорически не допускается.

Основной результат работы

Общим результатом работы является перечень конкретных детализированных проектов по обеспечению непрерывности Организации, соответствующий ее стратегическим целям, утвержденный и внедряемый высшим руководством Организации. Выбор конкретных решений основан на согласованных на всех уровнях управления требованиях к непрерывности и защите приоритетных активностей Организации, а также их способностях к приемлемому снижению уровня рисков прерывания с учетом экономного выделения минимально необходимых ресурсов. На выходе данной работы получен план дальнейших работ по внедрению СНДО и перечень решений (проектов) с определенными ограничениями, требованиями и ресурсами для передачи их в проектный офис на дальнейшую техническую реализацию узкими профильными специалистами, не имеющими глубоких познаний в патентной области, что позволит получить конкурентоспособные предложения по реализации проектов.