Business impact analysis. Как подготовить компанию к возможным негативным событиям
Этот метод позволит вам оценить потенциальный ущерб от кибератак и других негативных сценариев, а также эффективно управлять последствиями критических ситуаций для бизнеса
Анализ воздействия на бизнес (business impact analysis, BIA) позволяет компании определить риски, способные нарушить ее деятельность. Так организация сможет просчитать и взять под контроль возможные последствия.
Знание стандартов и лучших практик в сфере управления непрерывностью бизнеса поможет провести BIA эффективно и с максимальной пользой для компании. Мы рекомендуем опираться на стандарт ISO/TS 22317:2021, который по шагам описывает этапы анализа.
По итогам BIA руководство компании может принимать обоснованные решения о превентивных мероприятиях по обеспечению непрерывности и бюджету, который на это требуется.
Что такое business impact analysis и зачем он нужен бизнесу
Каждый день компания сталкивается со множеством рисков: крупных и мелких, критически важных и ничтожных. Одна из задач руководителя — защитить бизнес-процессы от нежелательных ситуаций, и на практике это оказывается непросто. Как определить главные угрозы бизнесу? Какой бюджет потребуется, чтобы их нейтрализовать? Где гарантии, что выбранные меры дадут результат с наименьшими издержками?
Чтобы не потратить ресурсы впустую и действительно обезопасить бизнес, нужно понимать, чем грозят компании различные события и как сократить возможный ущерб. На эти вопросы помогает ответить анализ воздействия на бизнес.
Анализ воздействия на бизнес (business impact analysis, BIA) — структурированное исследование, которое позволяет оценить, насколько критическими для компании будут последствия различных событий. Команда экспертов изучает деятельность и процессы организации, определяет ключевые операции и ресурсы. Компания получает качественно-количественную оценку последствий для бизнеса при реализации опасного сценария.
В 2015 году Международная организация по стандартизации (International Organization for Standardization, ISO) разработала первый мировой стандарт BIA — ISO/TS 22317:2015. Он включил в себя рекомендации по проведению и документированию анализа воздействия на бизнес в соответствии с потребностями организации. ISO/TS 22317:2015 стал частью серии стандартов, посвященных системе управления непрерывностью бизнеса (business continuity management, BCM).
В 2021 году стандарт вышел в новой версии — ISO/TS 22317:2021. Авторы сфокусировались на практике и описали по шагам, как провести анализ, сосредоточившись на непрерывности приоритетных продуктов и сервисов с постепенным расширением области исследования. Именно на эту версию стандарта мы рекомендуем опираться при проведении BIA.
10 причин провести BIA
Получить достоверные данные о последствиях сбоев в инфраструктуре и процессах.
Определить предельные показатели, при которых компания может продолжать работу на фоне негативных событий.
Оценить ресурсы, которые нужны для поддержания минимально допустимой работоспособности.
Выяснить, насколько сильно подразделения компании зависят друг от друга.
Подготовиться к изменениям во внешней среде и возможным рискам, разработать стратегию управления непрерывностью.
Разложить абстрактные угрозы на понятные риски и управлять их последствиями.
Существенно сократить объем оценки рисков — сконцентрироваться на угрозах, которые способны повлечь существенный для бизнеса ущерб, и выявлять только критичные для их реализации уязвимости. Подробнее об этом рассказываем в статье «Управление киберрисками».
Спрогнозировать и сократить последствия негативных событий, разработать план защиты данных и корпоративных активов.
Определить эффективный бюджет на превентивные меры, исходя из реальной оценки потенциального ущерба.
Повысить устойчивость компании и укрепить ее конкурентоспособность.
Анализ воздействия на бизнес
Выявим критические события и разработаем стратегию непрерывности для вашего бизнеса
В зависимости от размеров организации и количества исследуемых направлений, первичный анализ может потребовать от 3 до 12 месяцев. Если начинать BIA в первом квартале, к осени компания получит результаты, чтобы запланировать на следующий год проекты по доработке процессов и рассчитать их бюджет.
Если у компании ограничены ресурсы для анализа, мы рекомендуем при начальном исследовании сосредоточиться на ключевых направлениях и расширять границы на ежегодных пересмотрах BIA. Повторные мероприятия, которые помогают актуализировать данные, проходят гораздо быстрее и занимают не более пары месяцев. Их можно проводить в середине года.
Этапы BIA
Подготовка
Создание команды экспертов и ответственных сотрудников
Сбор первичной информации
Утверждение целей и ожидаемых результатов BIA
Установка границ исследования
Выделение ключевых продуктов и услуг компании
Определение основных и поддерживающих бизнес‑процессов
Планирование сроков и этапов исследования
Выявление владельцев бизнес‑процессов и задействованных подразделений
Проработка шкалы критичности ущерба
Формирование перечня потенциальных последствий от негативных событий
Оценка правовых и контрактных обязательств, включая условия SLA для продуктов и услуг
Составление шкалы критичности последствий
Сбор информации о бизнес‑процессах
Обследование и описание основных и поддерживающих бизнес‑процессов
Изучение технологической части процессов и операций, их зависимости от ресурсов и факторов, существующих мер обеспечения непрерывности
Анализ данных
Анализ последствий сбоев, простоев и иных негативных воздействий на бизнес‑процессы
Ранжирование возможного ущерба по шкале критичности
Расчет пороговых показателей простоя и определение целевых показателей непрерывности
Ранжирование продуктов и услуг по пороговым значениям: максимально допустимый период сбоя, допустимый уровень производительности в чрезвычайных ситуациях
Классификация бизнес‑процессов по уровню критичности
Подведение итогов
Подготовка финального отчета с планом восстановления бизнес‑процессов в случае сбоев
Разработка рекомендаций по дальнейшим мерам управления непрерывностью
Шаг 1. Подготовка
Главная задача — четко определить цели исследования и убедиться, что они совпадают с нужными компании результатами.
Чтобы BIA принес реальную пользу, нужна опытная команда экспертов, которые понимают процессы управления непрерывностью бизнеса и ориентируются в стандартах. Это могут быть собственные сотрудники или приглашенные специалисты.
Прежде чем приступить к анализу, эксперты вместе с высшим руководством компании документируют цели, ожидаемые результаты и предварительные границы BIA. Нужно зафиксировать, как будет собираться и храниться информация, в каком виде и в какие сроки требуется финальный отчет. На этом этапе можно оценить круг участвующих подразделений, проинформировать их о начале исследования. Подключать дополнительные отделы можно по ходу проекта.
План подготовки к исследованию
Предупредите руководство и владельцев процессов о запланированном BIA.
Определите команду экспертов для проведения анализа.
Соберите предварительные данные:
Опишите контекст деятельности организации — существенные для бизнеса внешние и внутренние факторы.
Подготовьте перечни продуктов, услуг, бизнес‑процессов и их владельцев.
Если ранее в компании уже проводился BIA, поднимите его результаты, данные предыдущей оценки рисков, другие исследования непрерывности бизнеса.
Зафиксируйте с экспертами цели, предварительные границы, ожидаемый результат и сроки BIA.
Запланируйте первичные интервью экспертов с руководством и владельцами основных бизнес‑процессов.
Шаг 2. Установка границ исследования
Главная задача — определить объем работ, зафиксировать перечень продуктов, услуг и процессов для исследования.
Команда начинает с предварительных интервью с сотрудниками и сбора данных о компании из открытых источников. Так эксперты определяют продукты и услуги, которые составляют основу бизнеса. При этом не так важно, в каком порядке эксперты получают данные. Нередко сначала появляется информация о бизнес‑процессах, а уже потом определяются продукты и услуги, которые от этих процессов зависят. Главное — в итоге четко определить границы предстоящих работ.
В крупных организациях продукты и услуги можно группировать по требованиям SLA, схожим техпроцессам, общим ресурсам, режимам работы или владельцам подразделений. Кроме того, компания может разбить по группам своих клиентов в зависимости от того, какими услугами они пользуются, какую выручку приносят и так далее. Это позволит сосредоточиться на непрерывности обслуживания самых ценных заказчиков.
Мы советуем проанализировать жизненный цикл каждого продукта или услуги:
Почему важно анализировать весь жизненный цикл продукта
Многие компании прекращают анализ на моменте продажи. В этом случае есть риск упустить важные для бизнеса события — например, если сбои в поддержке приводят к репутационным потерям.
Можно не включать в BIA весь набор продуктов и услуг компании и сосредоточиться на самых значимых по выручке или другим факторам. Но в рамках отдельного продукта или группы продуктов рекомендуем рассматривать все задействованные процессы без исключения.
Шаг 3. Проработка шкалы критичности ущерба
Главная задача — сформировать шкалу критичности с учетом целей и планов компании.
Необходимо собрать по каждой группе продуктов или услуг информацию о возможном ущербе от негативных сценариев. Самый эффективный метод для этой задачи — интервью с топ‑менеджерами и руководителями подразделений. По каждому бизнес‑направлению нужно описать:
контрактные обязательства — ожидания клиентов, условия договоров, штрафные санкции, условия SLA;
круг партнеров и поставщиков — возможность и перспективы сотрудничества;
СМИ и общественное мнение — коммуникацию с ключевыми для компании аудиториями, определение репутационных рисков;
отношения с клиентами — риск потерять текущих и будущих заказчиков;
отношения с акционерами — влияние негативных событий на стоимость компании на рынке;
конкурентные позиции — возможность конкурентов воспользоваться обстоятельствами;
вопросы управления персоналом — удержание ценных кадров;
комплаенс — взаимодействие с уполномоченными органами, штрафы со стороны регуляторов, изменения законодательства.
Результатом становится таблица с описанием критических событий и степенью их воздействия на бизнес. Виды последствий, критерии и пороговые значения определяются и согласуются с руководством. В итоге у компании появляется проработанная шкала критичности ущерба с учетом целей и среднесрочных планов организации.
От правильных метрик анализа зависит практическая польза BIA. Если шкала оценки будет существенно меняться при каждом повторном исследовании, компания может получать противоречивые данные, которые приводят к непоследовательным решениям.
Пример шкалы оценки критичности по видам последствий
Уровни критичности и их значения мы приводим в качестве примера — в реальных условиях эксперты формируют градацию, исходя из особенностей конкретной компании.
Уровень критичности
Последствия для бизнеса
НезначительноУровень критичности: Незначительно
Последствия для бизнеса
Возможны минимальные последствия в пределах операционных потерь
ПриемлемоУровень критичности: Приемлемо
Последствия для бизнеса
Событие приводит к снижению производительности, но без существенного ущерба для бизнеса
СущественноУровень критичности: Существенно
Последствия для бизнеса
Событие влияет на KPI в рамках отдельных операций внутри бизнес‑процессов. Ущерб остается в границах управления операционными рисками
КритичноУровень критичности: Критично
Последствия для бизнеса
Событие серьезно влияет на один или несколько бизнес‑процессов, что приводит к значительному ущербу для компании
НедопустимоУровень критичности: Недопустимо
Последствия для бизнеса
Событие сказывается на ключевых бизнес‑процессах и деятельности компании в целом, что приводит к критическому ущербу и создает угрозу рыночным позициям
Виды воздействия
Уровень критичности воздействия и критерии
Незначительно
Приемлемо
Существенно
Критично
Недопустимо
Финансовый ущерб (упущенная доля плановой прибыли)
<0,5%
0,5–1%
1–5%
5–10%
>10%
Сокращение клиентской базы
—
0,1–1%
1–5%
5–10%
>10%
Репутационный ущерб
Единичные жалобы, не попадающие в публичное поле
Негативные отзывы в корпоративных аккаунтах в социальных сетях, единичные публичные жалобы
Жалобы, претензии клиентов и контрагентов. Возможное снижение выручки, распространение негативных отзывов
Жалобы, претензии клиентов и контрагентов, в том числе письменные жалобы в полномочные органы, урон деловой репутации
Жалобы, претензии клиентов, контрагентов, регуляторов или общества.
Порча деловой репутации, распространение негативной информации в СМИ и интернете.
Сложности в ведении бизнеса
Ответственность по контракту
<50 тыс. ₽
50 тыс. — 500 тыс. ₽
500 тыс. — 1 млн ₽
Коллективные иски
1 млн — 2 млн ₽
Многочисленные коллективные иски
>2 млн ₽
Многочисленные коллективные иски
Вред окружающей среде или здоровью людей
—
—
Незначительный вред
Существенный вред
Риск гибели людей или невосполнимого ущерба окружающей среде
Юридические, нормативные, правовые последствия
—
Предупреждения со стороны регуляторов
Предупреждения, предписания и санкции полномочных органов, в том числе штрафы и судебные разбирательства
Предупреждения, предписания и санкции полномочных органов, в том числе штрафы.
Гражданские иски, судебные разбирательства, следственные действия.
Риски отзыва лицензии
Предупреждения, предписания и санкции полномочных органов, в том числе штрафы.
Гражданские иски, судебные разбирательства.
Отзыв лицензий и разрешительных документов
Отклонение от бизнес-целей
<1%
1–3%
3–10%
10–20%
>20%
Вид воздействия: Финансовый ущерб
Уровень критичности: Незначительно
<5 минут
Уровень критичности: Приемлемо
0,5–1%
Уровень критичности: Существенно
1–5%
Уровень критичности: Критично
5–10%
Уровень критичности: Недопустимо
>10%
Вид воздействия: Сокращение клиентской базы
Уровень критичности: Незначительно
—
Уровень критичности: Приемлемо
0,1–1%
Уровень критичности: Существенно
1–5%
Уровень критичности: Критично
5–10%
Уровень критичности: Недопустимо
>10%
Вид воздействия: Репутационный ущерб
Уровень критичности: Незначительно
Единичные жалобы, не попадающие в публичное поле
Уровень критичности: Приемлемо
Негативные отзывы в корпоративных аккаунтах в социальных сетях, единичные публичные жалобы
Уровень критичности: Существенно
Жалобы, претензии клиентов и контрагентов. Возможное снижение выручки, распространение негативных отзывов
Уровень критичности: Критично
Жалобы, претензии клиентов и контрагентов, в том числе письменные жалобы в полномочные органы, урон деловой репутации
Уровень критичности: Недопустимо
Жалобы, претензии клиентов, контрагентов, регуляторов или общества.
Порча деловой репутации, распространение негативной информации в СМИ и интернете.
Сложности в ведении бизнеса
Вид воздействия: Ответственность по контракту
Уровень критичности: Незначительно
<50 тыс. ₽
Уровень критичности: Приемлемо
50 тыс. —; 500 тыс. ₽
Уровень критичности: Существенно
500 тыс. —; 1 млн ₽
Коллективные иски
Уровень критичности: Критично
1 млн —; 2 млн ₽
Многочисленные коллективные иски
Уровень критичности: Недопустимо
>2 млн ₽
Многочисленные коллективные иски
Вид воздействия: Репутационный ущерб
Уровень критичности: Незначительно
—
Уровень критичности: Приемлемо
—
Уровень критичности: Существенно
Незначительный вред
Уровень критичности: Критично
Предупреждения, предписания и санкции полномочных органов, в том числе штрафы.
Гражданские иски, судебные разбирательства, следственные действия.
Риски отзыва лицензии
Уровень критичности: Недопустимо
Предупреждения, предписания и санкции полномочных органов, в том числе штрафы.
Гражданские иски, судебные разбирательства.
Отзыв лицензий и разрешительных документов
Вид воздействия: Юридические, нормативные, правовые последствия
Уровень критичности: Незначительно
—
Уровень критичности: Приемлемо
Предупреждения со стороны регуляторов
Уровень критичности: Существенно
Предупреждения, предписания и санкции полномочных органов, в том числе штрафы и судебные разбирательства
Уровень критичности: Критично
Существенный вред
Уровень критичности: Недопустимо
Риск гибели людей или невосполнимого ущерба окружающей среде
Вид воздействия: Отклонение от бизнес-целей
Уровень критичности: Незначительно
<1%
Уровень критичности: Приемлемо
1–3%
Уровень критичности: Существенно
3–10%
Уровень критичности: Критично
10–20%
Уровень критичности: Недопустимо
>20%
Шаг 4. Сбор информации о бизнес‑процессах
Главная задача — собрать максимум данных, чтобы адекватно оценить возможные потери от негативных событий и предусмотреть обоснованный бюджет на меры по обеспечению непрерывности процессов.
Эксперты проводят глубинные интервью с теми, кто больше всего знает о процессах, — с их владельцами и ключевыми сотрудниками. Перечень специалистов для интервью намечается на первых этапах.
Какую информацию нужно собрать
Описание бизнес‑процесса. Что он из себя представляет? Из чего состоит? Каким образом сотрудники в него вовлечены? Эта информация позволит проанализировать все этапы процесса, выстроить последовательность рабочих операций и технологические цепочки.
Результаты. Что дает процесс на выходе? Как результаты зависят от тех или иных активов? Как их оценивать: в деньгах, процентах выпущенной продукции, долях, условных показателях? Ответы помогут экспертам сформулировать вопросы о зависимости бизнес‑результатов от отдельных активов.
Используемые ресурсы. Какова полная картина всех ресурсов и систем, которые используются в операциях? Например, для бухгалтерии это продукты «1С», системы документооборота, сервисы электронных подписей, банковские приложения и т. д.
Последствия. Какие последствия в принципе возможны в этом процессе? Как пострадает компания в случае сбоев? Какие будут финансовые потери? Важно тщательно изучить техпроцесс и выявить все сценарии потенциального ущерба. Например, если перестанет работать внешний сервис электронной подписи, компания не успеет подать заявку на тендер и упустит важную сделку.
Взаимосвязи подразделений. От каких поддерживающих и смежных процессов зависят основные операции? Например, на продажи могут влиять IT, маркетинг, юридический отдел, логистика.
Допустимые простои. На какой максимальный период может остановиться работа без существенных потерь для бизнеса? Что произойдет, если простой окажется дольше? Сначала своими представлениями делятся владельцы основных бизнес‑процессов, затем эксперты общаются с представителями поддерживающих процессов. Им нужно создать цельную картину процессов и для каждой нежелательной ситуации определить момент, когда она начинает приносить убытки.
Восстановление. Сколько времени нужно, чтобы отдел или бизнес‑направление продолжили работу? Какие могут быть отказы в поддерживающих процессах и каковы действия при таких сбоях? Эти сведения снова нужно собирать и в основных, и в поддерживающих процессах, чтобы получить реалистичное представление о возможных простоях.
Шаг 5. Анализ данных
Главная задача — получить полное и достоверное представление о последствиях всех негативных сценариев для бизнеса.
Эксперты анализируют информацию на протяжении всего исследования, поэтому сложно определить, когда начинается основной этап анализа. Полноценно к нему переходят, когда все интервью проведены, информация собрана, а картина операционной деятельности организации полностью понятна.
Этот шаг фактически разбивается на две части:
Сперва эксперты анализируют каждый бизнес-процесс в отдельности и утверждают отчеты по ним.
Потом команда формирует общую оценку для компании.
При анализе отдельных бизнес-процессов экспертам важно изучить:
Потенциальные сценарии сбоев, отказов или нарушений процесса — определяются уровни критичности возможных последствий.
Влияние недоступности ресурсов на бизнес‑процессы — рассчитываются показатели
RTO,MTPD для конкретных ресурсов.
Воздействие простоя отдельных бизнес‑операций на процессы — оцениваются RTO, MTPD,
MAC для бизнес‑операций.
Критичность недоступности и потери данных за различные промежутки времени — определяются
RPO и
MTDL для используемых ресурсов.
Риски операционных задержек и воздействия на взаимосвязанные процессы.
Результаты анализа, как правило, оформляются в виде таблицы последствий при недоступности каждого отдельного ресурса. Она наглядно показывает, от каких ресурсов и как сильно зависит бизнес‑процесс, как с течением времени могут нарастать негативные последствия от нехватки ресурсов. Таким образом, компания может принимать мотивированные решения о приоритетности, с которой нужно реализовать требования по управлению производственными ресурсами (capacity management) и обеспечению непрерывности.
Итоговый документ по каждому бизнес-процессу включает в себя:
Описание процесса с используемыми ресурсами и ожидаемыми результатами.
Данные о взаимосвязях между бизнес‑процессами.
Функции задействованных поддерживающих процессов, в том числе для ликвидации сбоев и обеспечения непрерывности.
Анализ возможных последствий в случае сбоев и нарушений бизнес‑процесса.
Прежде чем формировать агрегированный результат по компании, экспертам вместе с владельцами процессов необходимо зафиксировать степени воздействия при недоступности ресурсов и сбоях отдельных операций. Для каждого случая команда утверждает с заказчиком рассчитанные ранее показатели: RTO, RPO, MTPD, MTDL, MAC и прочие требования к непрерывности.
Часто компании забывают проанализировать сценарии и события на стыке нескольких систем. Поэтому экспертам важно убедиться, что они проанализировали все последствия нарушений как самого бизнес‑процесса, так и его связей со смежными участками.
Как это работает на примере интернет‑провайдера
Клиентам такой компании важно, чтобы подключение было стабильным и скоростным. Недоступность сети может крайне негативно отразиться на бизнесе, при этом ущерб динамично растет с течением времени.
Интернет‑провайдер также должен оперативно разбирать запросы в техническую поддержку — этот процесс обязательно нужно включить в анализ. Например, если инженеры обрабатывают обращения в CRM‑системе, важно, чтобы она работала стабильно и сбои не вредили бизнес‑репутации.
Таблица воздействия сбоев на бизнес‑процессы
Продукт, услуга, бизнес-процесс (БП)
Используемый ресурс
Длительность простоя
Последствия
Воздействие
Предоставление доступа в интернет
—
<5 минут
Единичные негативные отзывы, не переходящие в интернет
Незначительно
Предоставление доступа в интернет
—
<15 минут
Маловероятное расторжение договоров или потеря потенциальных клиентов, потеря плановой прибыли не более 1%
Приемлемо
Предоставление доступа в интернет
—
15 минут — 1 час
Жалобы, претензии клиентов и контрагентов. Распространение негативных отзывов в публичном поле, отток клиентов. Потеря 1–5% плановой прибыли
Существенно
Предоставление доступа в интернет
—
1–4 часа
Жалобы, претензии клиентов и контрагентов. Отток текущей аудитории, потеря потенциальных клиентов. Потеря 5–10% плановой прибыли. Ответственность — от 500 тыс. до 1 млн рублей
Критично
Предоставление доступа в интернет
—
>4 часов
Коллективные иски и претензии клиентов, контрагентов, регуляторов или общества. Распространение негатива о компании в СМИ и интернете. Сложности в ведении бизнеса. Потеря 5–10% плановой прибыли. Ответственность — от 500 тыс. до 1 млн рублей
Недопустимо
БП1. Техническая поддержка
CRM
<5 минут
Согласно SLA, ответить на обращение нужно в течение 5 минут, в этих пределах задержка не ведет к негативным последствиям
Незначительно
БП1. Техническая поддержка
CRM
<10 минут
Незначительные задержки в работе БП1. Возможны единичные негативные отзывы, не переходящие в интернет
Приемлемо
БП1. Техническая поддержка
CRM
10–30 минут
Замедление БП1. Жалобы, претензии клиентов и контрагентов. Возможен отток текущих клиентов. Потеря до 5% плановой прибыли
Существенно
БП1. Техническая поддержка
CRM
30 минут — 1 час
Остановка БП1 на период недоступности системы. Распространение негативных отзывов в интернете. Отток текущей аудитории, утрата потенциальных клиентов. Потеря 5–10% плановой прибыли
Критично
БП1. Техническая поддержка
CRM
>1 часа
Продолжительная остановка БП1, прекращение предоставления услуг. Жалобы, претензии клиентов, контрагентов, регуляторов или общества. Урон деловой репутации, распространение негатива о компании в СМИ и интернете. Сложности в ведении бизнеса. Потеря более 10% плановой прибыли
Недопустимо
Продукт, услуга, бизнес-процесс (БП):
Предоставление доступа в интернет
Длительность простоя
<5 минут
Последствия
Единичные негативные отзывы, не переходящие в интернет.
Воздействие
Незначительно
Продукт, услуга, бизнес-процесс (БП):
Предоставление доступа в интернет
Длительность простоя
<15 минут
Последствия
Маловероятное расторжение договоров или потеря потенциальных клиентов, потеря плановой прибыли не более 1%
Воздействие
Приемлемо
Продукт, услуга, бизнес-процесс (БП):
Предоставление доступа в интернет
Длительность простоя
15 минут — 1 час
Последствия
Жалобы, претензии клиентов и контрагентов. Распространение негативных отзывов в публичном поле, отток клиентов. Потеря 1–5% плановой прибыли
Воздействие
Существенно
Продукт, услуга, бизнес-процесс (БП):
Предоставление доступа в интернет
Длительность простоя
1–4 часа
Последствия
Жалобы, претензии клиентов и контрагентов. Отток текущей аудитории, потеря потенциальных клиентов. Потеря 5–10% плановой прибыли. Ответственность — от 500 тыс. до 1 млн рублей
Воздействие
Критично
Продукт, услуга, бизнес-процесс (БП):
Предоставление доступа в интернет
Длительность простоя
>4 часов
Последствия
Коллективные иски, жалобы, претензии клиентов, контрагентов, регуляторов или общества. Распространение негатива о компании в СМИ и интернете. Сложности в ведении бизнеса. Потеря 5–10% плановой прибыли. Ответственность — от 500 тыс. до 1 млн рублей
Воздействие
Недопустимо
Продукт, услуга, бизнес-процесс (БП):
БП1. Техническая поддержка
Используемый ресурс
CRM
Длительность простоя
<5 минут
Последствия
Согласно SLA, ответить на обращение нужно в течение 5 минут, в этих пределах задержка не ведет к негативным последствиям
Воздействие
Незначительно
Продукт, услуга, бизнес-процесс (БП):
БП1. Техническая поддержка
Используемый ресурс
CRM
Длительность простоя
<10 минут
Последствия
Незначительные задержки в работе БП1. Возможны единичные негативные отзывы, не переходящие в интернет
Воздействие
Приемлемо
Продукт, услуга, бизнес-процесс (БП):
БП1. Техническая поддержка
Используемый ресурс
CRM
Длительность простоя
10–30 минут
Последствия
Замедление БП1. Жалобы, претензии клиентов и контрагентов. Возможен отток текущих клиентов. Потеря до 5% плановой прибыли
Воздействие
Существенно
Продукт, услуга, бизнес-процесс (БП):
БП1. Техническая поддержка
Используемый ресурс
CRM
Длительность простоя
30 минут — 1 час
Последствия
Остановка БП1 на период недоступности системы. Распространение негативных отзывов в интернете. Отток текущей аудитории, утрата потенциальных клиентов. Потеря 5–10% плановой прибыли
Воздействие
Критично
Продукт, услуга, бизнес-процесс (БП):
БП1. Техническая поддержка
Используемый ресурс
CRM
Длительность простоя
>1 часа
Последствия
Продолжительная остановка БП1, прекращение предоставления услуг. Жалобы, претензии клиентов, контрагентов, регуляторов или общества. Урон деловой репутации, распространение негатива о компании в СМИ и интернете. Сложности в ведении бизнеса. Потеря более 10% плановой прибыли
Воздействие
Недопустимо
Утвердив отчеты BIA по отдельным бизнес‑процессам, эксперты формируют общую картину по компании.
Один и тот же ресурс может использоваться сразу в нескольких бизнес‑процессах. При этом в одном случае даже суточная недоступность ресурса будет приемлемой, а в другом негативные последствия наступят уже через час. В рамках компании нужно зафиксировать наиболее важный сценарий с точки зрения ресурсов и операций.
Исходя из агрегированных оценок, эксперты оценивают нестыковки. Например, в компании ресурс заготовлен под регулярный, но некритический процесс, в то время как в другом процессе его нехватка в конкретный момент может оказаться фактором риска.
Сводная таблица воздействия сбоев на бизнес‑процессы с течением времени
Бизнес-процесс
Бизнес-операция внутри процесса (БО)
Используемый ресурс
Шкала времени
30 минут
1 час
4 часа
1 день
3 дня
1 неделя
1 месяц
1 квартал
БП 1
БО 1.1
Ресурс 1
Приемлемо
Существенно
Существенно
Критично
Критично
Критично
Недопустимо
Недопустимо
БП 1
БО 1.1
Ресурс 2
Существенно
Существенно
Критично
Недопустимо
Недопустимо
Недопустимо
Недопустимо
Недопустимо
БП 1
БО 1.1
Ресурс 3
Существенно
Существенно
Существенно
Критично
Критично
Недопустимо
Недопустимо
Недопустимо
БП 1
БО 1.2
Ресурс 1
Существенно
Критично
Критично
Недопустимо
Недопустимо
Недопустимо
Недопустимо
Недопустимо
БП 1
БО 1.2
Ресурс 3
Незначительно
Незначительно
Приемлемо
Приемлемо
Приемлемо
Существенно
Существенно
Существенно
БП 2
БО 2.1
Ресурс 1
Приемлемо
Приемлемо
Приемлемо
Существенно
Существенно
Существенно
Существенно
Существенно
БП 2
БО 2.1
Ресурс 3
Существенно
Существенно
Существенно
Критично
Критично
Критично
Недопустимо
Недопустимо
БП 2
БО 2.1
Ресурс 4
Приемлемо
Приемлемо
Приемлемо
Приемлемо
Приемлемо
Приемлемо
Приемлемо
Приемлемо
БП 2
БО 2.2
Ресурс 1
Существенно
Критично
Критично
Критично
Критично
Недопустимо
Недопустимо
Недопустимо
БП 2
БО 2.2
Ресурс 2
Незначительно
Приемлемо
Приемлемо
Приемлемо
Существенно
Существенно
Существенно
Существенно
БП 2
БО 2.2
Ресурс 3
Существенно
Существенно
Существенно
Критично
Критично
Недопустимо
Недопустимо
Недопустимо
Бизнес-процесс
БП 1
Бизнес-операция внутри процесса (БО) (БО)
БО 1.1
Используемый ресурс
Ресурс 1
30 минут
Приемлемо
1 час
Существенно
4 часа
Существенно
1 день
Критично
3 дня
Критично
1 неделя
Критично
1 месяц
Недопустимо
1 квартал
Недопустимо
Бизнес-процесс
БП 1
Бизнес-операция внутри процесса (БО)
БО 1.1
Используемый ресурс
Ресурс 2
30 минут
Существенно
1 час
Существенно
4 часа
Критично
1 день
Недопустимо
3 дня
Недопустимо
1 неделя
Недопустимо
1 месяц
Недопустимо
1 квартал
Недопустимо
Бизнес-процесс
БП 1
Бизнес-операция внутри процесса (БО)
БО 1.1
Используемый ресурс
Ресурс 3
30 минут
Существенно
1 час
Существенно
4 часа
Существенно
1 день
Критично
3 дня
Критично
1 неделя
Недопустимо
1 месяц
Недопустимо
1 квартал
Недопустимо
Бизнес-процесс
БП 1
Бизнес-операция внутри процесса (БО)
БО 1.2
Используемый ресурс
Ресурс 1
30 минут
Существенно
1 час
Критично
4 часа
Критично
1 день
Недопустимо
3 дня
Недопустимо
1 неделя
Недопустимо
1 месяц
Недопустимо
1 квартал
Недопустимо
Бизнес-процесс
БП 1
Бизнес-операция внутри процесса (БО)
БО 1.2
Используемый ресурс
Ресурс 3
30 минут
Незначительно
1 час
Незначительно
4 часа
Приемлемо
1 день
Приемлемо
3 дня
Приемлемо
1 неделя
Существенно
1 месяц
Существенно
1 квартал
Существенно
Бизнес-процесс
БП 2
Бизнес-операция внутри процесса (БО)
БО 2.1
Используемый ресурс
Ресурс 1
30 минут
Приемлемо
1 час
Приемлемо
4 часа
Приемлемо
1 день
Существенно
3 дня
Существенно
1 неделя
Существенно
1 месяц
Существенно
1 квартал
Существенно
Бизнес-процесс
БП 2
Бизнес-операция внутри процесса (БО)
БО 2.1
Используемый ресурс
Ресурс 3
30 минут
Существенно
1 час
Существенно
4 часа
Существенно
1 день
Критично
3 дня
Критично
1 неделя
Критично
1 месяц
Недопустимо
1 квартал
Недопустимо
Бизнес-процесс
БП 2
Бизнес-операция внутри процесса (БО)
БО 2.1
Используемый ресурс
Ресурс 4
30 минут
Приемлемо
1 час
Приемлемо
4 часа
Приемлемо
1 день
Приемлемо
3 дня
Приемлемо
1 неделя
Приемлемо
1 месяц
Приемлемо
1 квартал
Приемлемо
Бизнес-процесс
БП 2
Бизнес-операция внутри процесса (БО)
БО 2.2
Используемый ресурс
Ресурс 1
30 минут
Существенно
1 час
Критично
4 часа
Критично
1 день
Критично
3 дня
Критично
1 неделя
Недопустимо
1 месяц
Недопустимо
1 квартал
Недопустимо
Бизнес-процесс
БП 2
Бизнес-операция внутри процесса (БО)
БО 2.2
Используемый ресурс
Ресурс 2
30 минут
Незначительно
1 час
Приемлемо
4 часа
Приемлемо
1 день
Приемлемо
3 дня
Существенно
1 неделя
Существенно
1 месяц
Существенно
1 квартал
Существенно
Бизнес-процесс
БП 2
Бизнес-операция внутри процесса (БО)
БО 2.2
Используемый ресурс
Ресурс 3
30 минут
Существенно
1 час
Существенно
4 часа
Существенно
1 день
Критично
3 дня
Критично
1 неделя
Недопустимо
1 месяц
Недопустимо
1 квартал
Недопустимо
Шаг 6. Подведение итогов
Главная задача — предоставить руководству компании сведения для принятия взвешенных решений о бюджете на превентивные мероприятия по обеспечению непрерывности.
Отчет по итогам BIA — это отправная точка для подготовки плана по обеспечению непрерывности бизнеса.
Примерное содержание отчета
Цели и задачи исследования.
Границы анализа — перечень исследованных продуктов, услуг и бизнес‑процессов.
Процесс анализа — как проводили исследование.
Результаты:
шкала критичности ущерба;
потенциальные воздействия, возникающие в результате нарушения бизнес‑функций и процессов;
предельные показатели, при которых бизнес может работать без критических потерь;
целевые показатели непрерывности, которые надо обеспечить бизнесу;
ситуации, в которых текущие меры непрерывности не обеспечивают целевые показатели производительности. Например, производство не может простаивать более 24 часов, а компании потребуется 48 часов, чтобы запустить его после сбоя. В отчете прописываются рекомендуемые подходы для устранения существующих рисков, детали прорабатываются позже со специалистами компании;
порядок приоритетов реагирования для восстановления нормальной деловой активности. В первую очередь должны быть восстановлены бизнес‑процессы с наибольшим финансовым и операционным воздействием.
Рекомендации экспертов.
В зависимости от компании и ее целей на изначальном этапе, рекомендации бывают общими и более подробными. Они могут содержать, например:
целевые показатели RPO, RTO, на которые будет ориентироваться IT-команда;
рассчитанные запасы ресурсов для управления их доступностью (capacity management);
ключевые направления для обучения и тестирования сотрудников;
процедуры реагирования и восстановления в случае сбоя;
рекомендации по обеспечению непрерывности бизнеса.
Резюмируем
Пандемия Covid‑19, уход западных вендоров из России, резкие изменения рыночной конъюнктуры последних лет показали, как важно выстраивать непрерывность бизнеса. BIA — это первый шаг, который позволит рационально пройти этот непростой путь.
Это сложное исследование требует времени, экспертного опыта и вовлеченности руководства компании. Однако в итоге бизнес может эффективнее развивать конкурентные преимущества. BIA укажет на недостатки в процессах, поможет грамотно распределить ресурсы и сэкономит колоссальные суммы, которые могли бы уйти на покрытие ущерба.
Мы используем cookie-файлы для персонализации сервисов и удобства пользователей. Вы можете запретить сохранение cookie в настройках своего браузера. Продолжая использование сайта, вы соглашаетесь с Политикой конфиденциальности.
