Jatkuvuussuunnittelu - SecMeter

Jatkuvuuden ja resilienssin välinen suhde

Liiketoiminnan jatkuvuudella tarkoitetaan yrityksen kykyä jatkaa tuotteiden ja palvelujen toimittamista ennalta hyväksytyllä tasolla häiriön aikana ja sen jälkeen. Jatkuvuussuunnittelu puolestaan on järjestelmällinen prosessi, jossa tunnistetaan kriittiset toiminnot, arvioidaan häiriöiden vaikutuksia, määritellään palautumistavoitteet ja suunnitellaan toimintatavat häiriötilanteita varten.

Resilienssi on jatkuvuutta laajempi käsite. Se sisältää palautumisen lisäksi ennakoinnin, sopeutumisen, oppimisen ja uudistumisen. Organisaatio voi palauttaa toimintansa teknisesti ennalleen olematta kuitenkaan aidosti resilientti. Jos se esimerkiksi palauttaa vanhan toimintamallin, joka oli jo ennen häiriötä liian riippuvainen yhdestä järjestelmästä, toimittajasta tai avainhenkilöstä, varsinainen haavoittuvuus säilyy.

Resilienssilähtöisessä ajattelussa häiriöstä palautuminen ei tarkoita automaattisesti paluuta täsmälleen entiseen tilanteeseen. Häiriö voi osoittaa, että toimintaprosessia, vastuunjakoa, teknistä ratkaisua tai toimittajarakennetta on muutettava. Palautuminen voi siten johtaa myös parempaan, yksinkertaisempaan tai vähemmän haavoittuvaan toimintamalliin.

Jatkuvuussuunnittelu voidaan nähdä resilienssin operatiivisena osana. Se antaa konkreettiset menettelytavat häiriöiden hallintaan, kun taas resilienssi kuvaa organisaation laajempaa kykyä selviytyä epävarmuudesta ja muutoksesta. Hyvä jatkuvuussuunnitelma auttaa yritystä toimimaan tunnetuissa häiriötilanteissa. Resilientti organisaatio kykenee toimimaan myös tilanteissa, joita ei ole osattu ennakoida yksityiskohtaisesti.

Liiketoimintaprosessi jatkuvuussuunnittelun lähtökohtana

Perinteisessä jatkuvuussuunnittelussa tarkastelun lähtökohdaksi on usein valittu organisaatioyksikkö, toimitila tai tietojärjestelmä. Tällainen tarkastelu voi johtaa osaoptimointiin. Tietojärjestelmä voidaan esimerkiksi palauttaa nopeasti, mutta liiketoimintaprosessi ei silti käynnisty, jos tarvittavat henkilöt, tiedot, käyttöoikeudet, toimittajayhteydet tai päätökset puuttuvat.

Resilienssilähtöisen suunnittelun ensisijainen tarkastelukohde on asiakkaalle tai muulle sidosryhmälle arvoa tuottava liiketoimintaprosessi. Prosessilla on alku, lopputulos, omistaja, asiakkaat, suoritteet, riippuvuudet ja hyväksyttävä palvelutaso. Tällaisia prosesseja voivat olla esimerkiksi:

• asiakkaan tilauksen käsittely ja toimitus
• tuotannon suunnittelu ja toteutus
• laskutus ja maksuliikenne
• asiakaspalvelu
• hankinta ja toimittajahallinta
• henkilöstön palkanmaksu
• digitaalisen palvelun tuottaminen
• tuoteturvallisuuteen liittyvä valvonta
• viranomaisraportointi
• kriittisten laitteiden huolto ja ylläpito.

Prosessilähtöisyys pakottaa tarkastelemaan toimintaa yli organisaatiorajojen. Asiakkaan tilaus ei yleensä etene vain myyntiosastolla, vaan siihen voivat osallistua myynti, luotonvalvonta, varastonhallinta, tuotanto, logistiikka, laskutus, tietohallinto ja ulkopuoliset kuljetusliikkeet. Prosessin jatkuvuus riippuu näiden kaikkien osapuolten yhteistoiminnasta.

Jatkuvuussuunnittelun tavoitteena ei siten ole varmistaa jokaisen yksittäisen resurssin täydellistä käytettävyyttä, vaan varmistaa prosessin kriittisen lopputuloksen syntyminen. Häiriötilanteessa prosessi voidaan joutua toteuttamaan tavallista hitaammin, suppeammalla palvelutasolla tai väliaikaisesti manuaalisesti. Olennaista on, että toiminta säilyy yrityksen, asiakkaiden, sopimusten, turvallisuuden ja lainsäädännön näkökulmasta hyväksyttävällä tasolla.

Yrityksen toimintaympäristön ymmärtäminen

Resilienssilähtöinen jatkuvuussuunnittelu alkaa yrityksen toimintaympäristön ymmärtämisestä. Yrityksen on tunnistettava, mitä se tuottaa, kenelle se tuottaa, mitä lupauksia se on antanut ja millaisista sisäisistä sekä ulkoisista tekijöistä toiminta riippuu. Toimintaympäristön tarkastelussa huomioidaan ainakin:

• yrityksen strategiset tavoitteet
• tuotteet ja palvelut
• asiakkaiden ja muiden sidosryhmien odotukset
• sopimusvelvoitteet
• lainsäädäntö ja viranomaisvaatimukset
• toimintamaat ja maantieteelliset riskit
• toimialan erityispiirteet
• toimitusketjut ja kumppaniverkostot
• käytettävät teknologiat
• henkilöstö ja osaamisrakenne
• yrityksen taloudellinen riskinkantokyky
• maineeseen ja luottamukseen liittyvät tekijät.

Kaikki prosessit eivät ole jatkuvuuden kannalta samanarvoisia. Kriittisyys syntyy prosessin merkityksestä yrityksen perustehtävälle, asiakkaille, turvallisuudelle, taloudelle ja oikeudellisille velvoitteille. Prosessi voi olla kriittinen, vaikka sen suora taloudellinen arvo olisi pieni. Esimerkiksi lakisääteinen ilmoitus, tuotteen turvallisuuteen liittyvä valvonta tai henkilöstön hätäviestintä voi olla häiriötilanteessa ratkaisevan tärkeä.

Toimintaympäristöä ei tule arvioida vain kerran. Yrityksen strategia, tuotteet, teknologia, henkilöstö ja toimittajat muuttuvat jatkuvasti. Myös yritysostot, ulkoistukset, järjestelmäuudistukset ja markkinoille laajentuminen muuttavat prosessien riippuvuuksia. Jatkuvuuden hallinnan on siksi oltava kytketty muutoksenhallintaan ja strategiseen suunnitteluun.

Johtaminen, vastuut ja prosessien omistajuus

Resilienssi ei synny pelkillä suunnitelmilla. Se edellyttää selkeää johtamista, päätöksentekoa ja vastuunjakoa. Yrityksen ylimmän johdon tehtävänä on määritellä jatkuvuuden tavoitteet, riskinottohalu, hyväksyttävät keskeytysajat ja tarvittavat voimavarat.

Jatkuvuuden hallinnan vastuu ei voi jäädä yksinomaan turvallisuuspäällikölle, riskienhallinnalle tai tietohallinnolle. Näillä toiminnoilla voi olla menetelmävastuu, mutta liiketoimintaprosessin jatkuvuudesta vastaa ensisijaisesti prosessin omistaja. Prosessin omistaja tuntee prosessin tavoitteet, asiakkaat, riippuvuudet ja seuraukset, joita toiminnan keskeytymisestä syntyy.

Yrityksessä tulisi määritellä vähintään seuraavat vastuut:

• Ylin johto hyväksyy jatkuvuuspolitiikan, tavoitteet, merkittävät riskit ja tarvittavat investoinnit.
• Jatkuvuuden hallinnan vastuuhenkilö ylläpitää yhteistä menetelmää, koordinoi arviointeja ja seuraa kehittämistoimenpiteitä.
• Prosessien omistajat vastaavat prosessikohtaisista vaikutusanalyyseistä, tavoitteista, ratkaisuista ja suunnitelmista.
• Tietohallinto vastaa teknisten palvelujen palautumisratkaisuista liiketoiminnan määrittelemien tarpeiden perusteella.
• Henkilöstöhallinto tukee henkilöstöön, osaamiseen, sijaisuuksiin ja työkykyyn liittyvää varautumista.
• Hankinta ja toimittajahallinta varmistavat, että jatkuvuusvaatimukset sisällytetään sopimuksiin ja toimittajien seurantaan.
• Viestintä vastaa sisäisen ja ulkoisen kriisiviestinnän valmiudesta.
• Työntekijät tuntevat oman roolinsa, ilmoituskanavat ja häiriötilanteen toimintatavat.

Johtamisen kannalta keskeinen kysymys on, kuka saa häiriötilanteessa tehdä normaaleista käytännöistä poikkeavia päätöksiä. Jos päätösvaltaa ei ole määritelty ennakolta, organisaatio voi menettää ratkaisevaa aikaa hyväksyntöjen odottamiseen. Suunnitelmassa tulee siksi kuvata paitsi tehtävät myös toimivaltuudet.

Liiketoimintavaikutusten analyysi

Liiketoimintavaikutusten analyysi eli BIA on jatkuvuussuunnittelun keskeinen työvaihe. Sen tarkoituksena on selvittää, miten liiketoimintaprosessin keskeytyminen vaikuttaa yritykseen ajan kuluessa. Analyysi ei ole ensisijaisesti todennäköisyysarvio, vaan seurausten ja aikakriittisyyden arviointi.

Keskeytymisen vaikutuksia tarkastellaan esimerkiksi seuraavista näkökulmista:

• liikevaihdon ja kassavirran menetys
• asiakkaiden toiminnan vaikeutuminen
• sopimussakot ja vahingonkorvausvastuut
• tuotannon tai palvelujen pysähtyminen
• turvallisuus- ja ympäristövaikutukset
• henkilötietojen tai muun suojattavan tiedon vaarantuminen
• viranomaisvelvoitteiden laiminlyönti
• maineen ja luottamuksen heikkeneminen
• markkina-aseman menettäminen
• muiden prosessien keskeytyminen
• palautumisen kustannusten kasvaminen.

Vaikutuksia arvioidaan eri aikajaksoilla. Prosessin keskeytyminen voi olla lähes merkityksetön ensimmäisen tunnin aikana mutta vakava vuorokauden kuluttua. Toisessa prosessissa jo muutaman minuutin keskeytys voi aiheuttaa turvallisuusongelman tai suuren taloudellisen vahingon.

BIA perusteella määritellään prosessikohtaisia jatkuvuustavoitteita. Näitä ovat muun muassa:

• suurin hyväksyttävä keskeytysaika, jonka jälkeen seuraukset muuttuvat yrityksen kannalta sietämättömiksi
• palautumisaikatavoite eli RTO, jonka kuluessa prosessi tai sitä tukeva palvelu on palautettava
• palautumispistetavoite eli RPO, joka ilmaisee, kuinka paljon tietoa voidaan enintään menettää ajallisesti mitattuna
• toiminnan vähimmäistaso, jolla prosessia on voitava jatkaa häiriön aikana
• palautumisjärjestys, jossa resurssit ja palvelut otetaan uudelleen käyttöön.

RTO ja RPO eivät saa olla tietohallinnon itsenäisesti asettamia teknisiä tavoitteita. Niiden tulee perustua liiketoiminnan vaikutuksiin. Tekninen ratkaisu voidaan mitoittaa vasta sen jälkeen, kun prosessin omistaja on määritellyt, kuinka nopeasti toiminta on palautettava ja kuinka suuri tietohävikki voidaan hyväksyä.

Prosessien riippuvuuksien tunnistaminen

Liiketoimintaprosessin kyky toimia riippuu useista resursseista ja tukipalveluista. Jatkuvuussuunnittelu jää pinnalliseksi, jos tarkastelu rajoittuu vain prosessin näkyviin työvaiheisiin. Tämän vuoksi jokaisesta kriittisestä prosessista tulee muodostaa riippuvuuskartta.

Riippuvuuksia ovat esimerkiksi:

• henkilöstö ja erityisosaaminen
• tietojärjestelmät ja sovellukset
• tiedot, rekisterit ja asiakirjat
• toimitilat ja tuotantoympäristöt
• koneet, laitteet ja tuotantolinjat
• sähkö, tietoliikenne, vesi ja muut hyödykkeet
• käyttöoikeudet, tunnistautuminen ja salausavaimet
• ulkoiset palveluntuottajat
• alihankkijat ja materiaalitoimittajat
• kuljetukset ja varastointi
• pankki- ja maksupalvelut
• viranomaispalvelut
• asiakkaiden järjestelmät ja rajapinnat.

Erityistä huomiota tulee kiinnittää yhteisiin riippuvuuksiin. Useat kriittiset prosessit voivat olla riippuvaisia samasta henkilöstöryhmästä, pilvipalvelusta, tietoliikenneyhteydestä tai toimittajasta. Yksittäisissä prosessiarvioinneissa tällainen keskittymäriski voi jäädä huomaamatta.

Riippuvuuksia on tarkasteltava myös ketjuina. Yrityksellä voi olla kaksi vaihtoehtoista toimittajaa, mutta molemmat voivat hankkia kriittisen komponentin samalta alihankkijalta. Vastaavasti kaksi tietojärjestelmää voivat näyttää toisistaan riippumattomilta, vaikka niiden tunnistautuminen, varmistukset tai verkkoyhteydet perustuisivat samaan tekniseen palveluun.

NIS2-direktiivin riskienhallintavaatimuksissa liiketoiminnan jatkuvuus, varmuuskopiointi, palautuminen, kriisinhallinta ja toimitusketjun turvallisuus muodostavat toisiinsa liittyvän kokonaisuuden. Tämä kuvastaa sitä, ettei digitaalista jatkuvuutta voida erottaa toimittajista, fyysisestä ympäristöstä tai liiketoimintaprosesseista.

Riskien ja häiriöskenaarioiden arviointi

Liiketoimintavaikutusten analyysin jälkeen arvioidaan prosesseihin kohdistuvia riskejä ja mahdollisia häiriöskenaarioita. Riskienhallinta ja jatkuvuuden hallinta täydentävät toisiaan. Riskienhallinta pyrkii pienentämään häiriön todennäköisyyttä ja vaikutuksia, kun taas jatkuvuussuunnittelu varmistaa toiminnan myös silloin, kun ennaltaehkäisevät toimenpiteet eivät riitä.

ISO 31000 korostaa riskienhallinnan sisällyttämistä organisaation johtamiseen, strategiaan, suunnitteluun ja päätöksentekoon. Riskien tunnistamisen, analysoinnin ja käsittelyn tulisi siten olla osa prosessien normaalia johtamista eikä erillinen vuosittainen harjoitus.

Resilienssilähtöisessä suunnittelussa ei ole tarkoituksenmukaista laatia omaa yksityiskohtaista suunnitelmaa jokaiselle mahdolliselle uhkalle. Häiriöitä kannattaa tarkastella myös seurausperusteisina skenaarioina:

• henkilöstöä ei ole riittävästi käytettävissä
• toimitila ei ole käytettävissä
• keskeinen tietojärjestelmä ei toimi
• tietojen luotettavuudesta ei ole varmuutta
• tietoliikenneyhteydet ovat poikki
• sähköä tai muuta kriittistä hyödykettä ei ole saatavilla
• avaintoimittaja ei pysty toimittamaan
• logistinen yhteys on katkennut
• päätöksenteko tai viestintä ei toimi
• palvelun kysyntä kasvaa äkillisesti
• useita häiriöitä tapahtuu samanaikaisesti.

Seurausperusteinen tarkastelu lisää suunnitelmien käyttökelpoisuutta. Samat toimintaperiaatteet voivat soveltua useisiin eri syihin. Esimerkiksi toimitilan menettäminen voi johtua tulipalosta, vesivahingosta, sähkökatkosta, viranomaisen päätöksestä tai turvallisuusuhasta. Liiketoiminnan kannalta keskeinen kysymys on, miten prosessia jatketaan, kun tilaa ei voida käyttää.

Jatkuvuusstrategioiden valinta

Kun kriittiset prosessit, vaikutukset, tavoitteet ja riippuvuudet tunnetaan, yritys voi valita tarkoituksenmukaiset jatkuvuusstrategiat. Strategia kuvaa periaatteellisen ratkaisun, jolla prosessin toiminta turvataan. Suunnitelma puolestaan kuvaa, miten strategia toteutetaan käytännössä. Mahdollisia strategioita ovat esimerkiksi:

• toiminnon siirtäminen vaihtoehtoiseen toimipaikkaan
• etätyöhön tai hajautettuun työskentelyyn siirtyminen
• varajärjestelmän käyttäminen
• tietojen palauttaminen varmuuskopioista
• manuaalisen menettelyn käyttöön ottaminen
• työn siirtäminen toiselle yksikölle tai kumppanille
• vaihtoehtoisen toimittajan käyttäminen
• turvallisuusvarastojen ylläpitäminen
• tuotannon tai palveluvalikoiman tilapäinen rajaaminen
• henkilöstön moniosaamisen ja sijaisuuksien kehittäminen
• kriittisten resurssien kahdentaminen
• asiakaskohtainen priorisointi
• toimintojen hallittu alasajo ja myöhempi uudelleenkäynnistys.

Kaikkien resurssien kahdentaminen ei yleensä ole taloudellisesti mahdollista tai tarkoituksenmukaista. Jatkuvuusstrategia on liiketoiminnallinen valinta kustannusten, riskien ja tavoitteiden välillä. Ratkaisun kustannuksia tulee verrata siihen vahinkoon, joka syntyisi, jos toimintaa ei pystyttäisi palauttamaan tavoiteajassa.

Strategioiden valinnassa on tarkasteltava myös niiden todellista riippumattomuutta. Varajärjestelmä ei lisää resilienssiä, jos se sijaitsee samassa teknisessä ympäristössä ja on altis samalle häiriölle kuin ensisijainen järjestelmä. Vaihtoehtoinen työtila ei auta, jos henkilöstö ei pääse sinne tai tarvittavia käyttöoikeuksia ei ole. Manuaalinen menettely ei ole todellinen vaihtoehto, ellei sitä ole dokumentoitu, harjoiteltu ja mitoitettu tarvittavalle tapahtumamäärälle.

Prosessikohtainen jatkuvuussuunnitelma

Prosessikohtaisen jatkuvuussuunnitelman tulee olla käyttökelpoinen työväline, ei laaja yleiskuvaus. Häiriötilanteessa käyttäjän on löydettävä nopeasti vastaus siihen, mitä on tapahtunut, kuka johtaa toimintaa, mitä tehdään ensin ja miten prosessia jatketaan. Hyvä prosessikohtainen suunnitelma sisältää ainakin:

• prosessin tarkoituksen ja rajauksen
• prosessin omistajan ja vastuuhenkilöt
• suunnitelman käynnistämiskriteerit
• hälytys- ja yhteystiedot
• keskeiset riippuvuudet
• jatkuvuus- ja palautumistavoitteet
• välittömät ensitoimenpiteet
• vaihtoehtoiset toimintatavat
• toiminnan vähimmäistason
• palauttamisen vaiheet ja järjestyksen
• sisäisen ja ulkoisen viestinnän menettelyt
• päätöksenteon ja tilanteen seurannan käytännöt
• suunnitelman lopettamisen ja normaalitoimintaan palaamisen perusteet
• tapahtumien dokumentoinnin
• jälkiarvioinnin ja kehittämistoimenpiteet.

Suunnitelman yksityiskohtaisuuden on vastattava käyttäjien tarpeita. Liian yleinen suunnitelma ei ohjaa toimintaa, mutta liian yksityiskohtainen suunnitelma vanhenee nopeasti ja voi estää tilanteeseen mukautumisen. Suunnitelmassa tulee erottaa selkeästi muuttumattomat toimintaperiaatteet usein muuttuvista tiedoista, kuten henkilöiden nimistä, puhelinnumeroista ja teknisistä osoitteista.

NISTin tietojärjestelmien jatkuvuutta koskeva ohjeistus korostaa suunnitelmien, teknisten palautumisratkaisujen ja organisaation muiden häiriö- sekä kriisinhallintamenettelyjen keskinäistä yhteyttä. Tekninen palautuminen on siten yksi osa liiketoiminnan jatkuvuutta, ei sen korvike.

Kriisinhallinta ja jatkuvuuden johtaminen häiriön aikana

Kaikki häiriöt eivät ole kriisejä, mutta jatkuvuussuunnittelussa on määriteltävä raja normaalin häiriönhallinnan ja kriisijohtamisen välillä. Paikallinen tekninen vika voidaan usein hoitaa normaalilla tukiprosessilla. Kriisijohtamista tarvitaan, kun tilanne vaikuttaa useisiin prosesseihin, aiheuttaa merkittäviä turvallisuus-, talous- tai mainevaikutuksia tai edellyttää poikkeuksellisia päätöksiä.

Kriisinhallinnan tehtävänä on muodostaa yhteinen tilannekuva, määritellä tavoitteet, priorisoida resurssit, tehdä päätökset ja huolehtia viestinnästä. Prosessikohtaiset jatkuvuussuunnitelmat tukevat kriisijohtoa tuottamalla tietoa siitä, mitkä toiminnot ovat vaarassa, kuinka nopeasti niihin on reagoitava ja millaisia vaihtoehtoja on käytettävissä.

Häiriön aikana johtamisessa on vältettävä kahta ääripäätä. Ensimmäinen on liiallinen keskittäminen, jossa kaikki päätökset odottavat kriisijohdon hyväksyntää. Toinen on hajautuminen, jossa yksiköt toimivat toisistaan tietämättä ja kilpailevat samoista resursseista. Toimiva malli yhdistää keskitetyt tavoitteet ja prioriteetit paikalliseen toimintavaltaan. Tilannekuvassa tulisi erottaa toisistaan ainakin:

• vahvistetut tosiasiat
• alustavat tiedot
• arviot ja oletukset
• tehdyt päätökset
• avoimet kysymykset
• välittömät tehtävät
• ennakoitavat vaikutukset
• tarvittavat resurssit.

Resilienssi näkyy häiriötilanteessa erityisesti päätöksenteon nopeutena ja laatuna. Organisaation ei tarvitse tietää kaikkea ennen ensimmäisiä päätöksiä. Sen tulee kuitenkin tunnistaa epävarmuudet, seurata päätösten vaikutuksia ja muuttaa toimintaa tilanteen kehittyessä.

Teknologinen ja digitaalinen resilienssi

Useimmat liiketoimintaprosessit ovat riippuvaisia tietojärjestelmistä, tiedoista, tietoliikenteestä ja digitaalisista palveluista. Digitaalinen jatkuvuus on siksi olennainen osa prosessien jatkuvuutta. Teknistä varautumista ei kuitenkaan pidä toteuttaa irrallaan liiketoiminnan tarpeista. Digitaaliseen resilienssiin kuuluvat muun muassa:

• järjestelmien tarkoituksenmukainen saatavuus
• arkkitehtuurin vikasietoisuus
• tietojen varmistaminen
• varmistusten suojaaminen ja palautustestaus
• kapasiteetin hallinta
• vaihtoehtoiset tietoliikenneyhteydet
• käyttövaltuuksien jatkuvuus
• lokien ja valvontatietojen saatavuus
• kyberpoikkeamien havaitseminen
• eristetyt palautumisympäristöt
• teknisten riippuvuuksien dokumentointi
• hallittu järjestelmien käynnistysjärjestys.

Varmuuskopiointi ei yksin takaa palautumista. Yrityksen on tiedettävä, mitä tietoja varmistetaan, kuinka usein varmistukset tehdään, missä ne sijaitsevat, miten ne on suojattu ja kuinka nopeasti ne voidaan palauttaa. Palauttamista tulee myös testata. Muuten varmistusten käyttökelpoisuus selviää vasta todellisessa häiriössä.

Finanssialalla DORA-asetus korostaa nimenomaisesti kykyä kestää ICT-häiriöitä sekä vastata niihin ja palautua niistä. Vaikka sääntely koskee määriteltyjä finanssialan toimijoita, sen taustalla oleva periaate on yleisesti sovellettavissa: teknisten kontrollien lisäksi tarvitaan johtamista, testaamista, toimittajariskien hallintaa sekä liiketoimintaan perustuvia palautumistavoitteita.

Toimitusketjujen ja ulkoistusten jatkuvuus

Yritys voi ulkoistaa toiminnon mutta ei sen aiheuttamaa liiketoimintariskiä tai vastuuta asiakkaille. Toimittajan jatkuvuuskyky on siksi osa yrityksen omaa resilienssiä. Toimittajahallinnassa tulee tunnistaa:

• kriittiset toimittajat ja palvelut
• toimittajan korvaamisen vaatima aika
• palvelun tekniset ja maantieteelliset riippuvuudet
• toimittajan alihankintaketjut
• tietojen sijainti ja saatavuus
• sopimusten jatkuvuus- ja palautumisvaatimukset
• ilmoitusvelvollisuudet häiriötilanteissa
• oikeus saada tietoa harjoituksista ja häiriöistä
• palvelun siirtämiseen tarvittavat tiedot ja osaaminen
• hallitun irtautumisen vaihtoehdot.

Sopimukseen kirjattu vaatimus ei vielä osoita toimittajan todellista kykyä. Kriittisen palvelun jatkuvuutta voidaan arvioida esimerkiksi dokumenttien, auditointien, testitulosten, palvelutasojen, häiriöhistorian ja yhteisten harjoitusten avulla.

Vaihtoehtoisen toimittajan nimeäminen ei myöskään riitä, jos siirtyminen edellyttää kuukausien käyttöönottoprojektia. Jatkuvuussuunnittelussa on arvioitava todellinen vaihtoaika, tiedonsiirto, tekninen yhteensopivuus, sopimukset, hyväksynnät ja tarvittava kapasiteetti.

Ihmiset, osaaminen ja organisaatiokulttuuri

Resilienssin ratkaiseva tekijä on usein henkilöstö. Tekninen ympäristö voidaan kahdentaa, mutta hiljaista tietoa, kokemusta ja päätöksentekokykyä ei voida kopioida samalla tavalla. Henkilöstöön liittyvässä jatkuvuussuunnittelussa tarkastellaan esimerkiksi:

• avainhenkilöriippuvuuksia
• sijaisten nimeämistä
• tehtävien dokumentointia
• moniosaamista ja ristiinkoulutusta
• etätyövalmiuksia
• henkilöstön tavoitettavuutta
• työkykyä ja jaksamista
• turvallisia työjärjestelyjä
• poikkeustilanteen työvuoroja
• ulkopuolisen työvoiman saatavuutta
• johtajien ja asiantuntijoiden varahenkilöitä.

Todellinen resilienssi edellyttää myös organisaatiokulttuuria, jossa poikkeamista voidaan ilmoittaa avoimesti. Jos ongelmista kertomista vältetään syyllistämisen pelossa, häiriöt havaitaan liian myöhään. Henkilöstön on voitava nostaa esiin heikkoja signaaleja, epävarmuuksia ja virheitä ilman kohtuutonta henkilökohtaista riskiä.

Kulttuuri näkyy myös siinä, miten organisaatio suhtautuu harjoituksissa havaittuihin puutteisiin. Kypsä organisaatio ei pidä puutteiden löytymistä epäonnistumisena. Harjoituksen tarkoituksena on löytää ongelmat ennen todellista häiriötä.

Harjoittelu ja jatkuvuuskyvyn todentaminen

Suunnitelman olemassaolo ei vielä osoita toimintakykyä. Jatkuvuuskyky on todennettava harjoituksilla ja testeillä. Harjoittelun tulee perustua prosessien kriittisyyteen, muutoksiin ja tunnistettuihin riskeihin. Harjoituksia voidaan toteuttaa usealla tasolla:

• suunnitelman läpikäynti vastuuhenkilöiden kanssa
• työpöytäharjoitus, jossa päätöksentekoa harjoitellaan kuvitteellisen tilanteen avulla
• yhteystietojen ja hälyttämisen testi
• tekninen palautustesti
• varmuuskopion palautus
• vaihtoehtoisen työtilan käyttöönotto
• manuaalisen toimintatavan kokeilu
• toimittajan kanssa toteutettava yhteisharjoitus
• laaja kriisinhallinta- ja viestintäharjoitus
• ennalta ilmoittamaton toimintavalmiustesti.

Harjoituksen onnistumista ei tule arvioida sen perusteella, sujuiko kaikki virheettömästi. Keskeistä on, saavutettiinko harjoituksen tavoitteet ja mitä opittiin. Havaitut puutteet on muutettava vastuiksi, määräajoiksi ja seurattaviksi kehittämistoimenpiteiksi.

Harjoittelun lisäksi jatkuvuussuunnitelmat on tarkistettava merkittävien muutosten ja todellisten häiriöiden jälkeen. Euroopan komission NIS2-direktiiviä täydentävissä vaatimuksissa korostetaan riskinarviointien, jatkuvuus- ja kriisinhallintasuunnitelmien sekä niitä tukevien menettelyjen säännöllistä testaamista, tarkistamista ja päivittämistä.

Resilienssin mittaaminen

Resilienssiä ei voida arvioida pelkästään laskemalla laadittujen suunnitelmien määrää. Mittareiden tulee kuvata todellista toimintakykyä ja haavoittuvuuksien kehitystä. Mahdollisia mittareita ovat:

• kriittisistä prosesseista tehtyjen vaikutusanalyysien kattavuus
• hyväksyttyjen prosessikohtaisten suunnitelmien osuus
• suunnitelmien ajantasaisuus
• tunnistettujen avainhenkilöriippuvuuksien määrä
• testattujen varahenkilöjärjestelyjen osuus
• palautustestien onnistumisaste
• toteutunut palautumisaika suhteessa RTO-tavoitteeseen
• palautetun tiedon eheys suhteessa RPO-tavoitteeseen
• kriittisten toimittajien arviointien kattavuus
• harjoituksissa havaittujen puutteiden korjausaika
• häiriöiden havaitsemiseen ja eskalointiin kulunut aika
• manuaalisten varamenettelyjen todellinen kapasiteetti
• yhteisten riippuvuuksien ja keskittymäriskien määrä
• toteutuneiden häiriöiden vaikutus asiakkaisiin.

Mittareiden tulisi tukea päätöksentekoa. Jos mittari ei johda kysymyksiin, päätöksiin tai toimenpiteisiin, sen hyöty on rajallinen. Johdon raportoinnissa on tärkeää tuoda esiin erityisesti tilanteet, joissa prosessin liiketoimintatavoite ja tekninen palautumiskyky eivät vastaa toisiaan.

Resilienssin kehittämisen vaiheittainen malli

Resilienssilähtöinen jatkuvuussuunnittelu voidaan toteuttaa vaiheittain.

• Ensimmäisessä vaiheessa määritellään johtamisperiaatteet, vastuut ja yhteinen menetelmä. Samalla tunnistetaan yrityksen tärkeimmät tuotteet, palvelut ja velvoitteet.
• Toisessa vaiheessa kuvataan keskeiset liiketoimintaprosessit ja nimetään niiden omistajat. Prosesseja ei ole tarpeen kuvata aluksi liian yksityiskohtaisesti. Olennaista on ymmärtää niiden tavoitteet, asiakkaat, tuotokset ja pääasialliset riippuvuudet.
• Kolmannessa vaiheessa tehdään liiketoimintavaikutusten analyysi. Sen perusteella määritellään kriittiset prosessit, hyväksyttävät keskeytysajat, toiminnan vähimmäistasot ja palautumisjärjestys.
• Neljännessä vaiheessa tunnistetaan prosessien riippuvuudet ja yhteiset haavoittuvuudet. Tässä vaiheessa muodostetaan yhteys liiketoiminnan, tietohallinnon, henkilöstön, toimitilojen, hankinnan ja toimittajien välillä.
• Viidennessä vaiheessa arvioidaan riskit ja häiriöskenaariot. Arvioinnissa huomioidaan sekä yksittäiset uhkat että useiden samanaikaisten häiriöiden mahdollisuus.
• Kuudennessa vaiheessa valitaan jatkuvuusstrategiat. Valinnat perustuvat liiketoimintavaikutuksiin, kustannuksiin, palautumistavoitteisiin ja yrityksen riskinottohaluun.
• Seitsemännessä vaiheessa laaditaan prosessikohtaiset jatkuvuussuunnitelmat, kriisinhallinnan menettelyt ja tarvittavat tekniset palautumissuunnitelmat.
• Kahdeksannessa vaiheessa ratkaisut testataan ja harjoitellaan. Harjoituksissa havaitut puutteet viedään yrityksen normaaliin kehittämis- ja seurantaprosessiin.
• Yhdeksännessä vaiheessa jatkuvuus sisällytetään muutoksenhallintaan, hankintoihin, projektien hyväksymiseen, investointeihin ja strategiseen suunnitteluun. Tässä vaiheessa jatkuvuuden hallinta muuttuu erillisestä hankkeesta osaksi yrityksen johtamisjärjestelmää.

Jatkuvuussuunnittelun tavallisimmat heikkoudet

Jatkuvuussuunnittelu epäonnistuu usein siksi, että suunnitelmia laaditaan dokumentointivelvoitteen täyttämiseksi eikä todellisen toimintakyvyn rakentamiseksi. Tavallisia puutteita ovat:

• suunnittelu perustuu organisaatioyksiköihin eikä liiketoimintaprosesseihin
• kriittisyyttä ei ole määritelty liiketoimintavaikutusten perusteella
• tietohallinto määrittelee palautumistavoitteet ilman liiketoimintaa
• suunnitelmat sisältävät kuvauksia mutta eivät toimintakortteja
• henkilöstö ei tunne suunnitelmia
• varahenkilöitä ei ole nimetty tai koulutettu
• toimittajien jatkuvuuskykyä ei ole arvioitu
• varmuuskopioita otetaan, mutta palauttamista ei testata
• manuaaliset menettelyt ovat vain teoreettisia
• suunnitelmien yhteystiedot ovat vanhentuneita
• harjoituksissa havaittuja puutteita ei korjata
• jatkuvuusvaatimuksia ei huomioida uusissa projekteissa
• johto saa raportin suunnitelmien määrästä mutta ei todellisista riskeistä.

Näitä ongelmia yhdistää se, että jatkuvuus ymmärretään asiakirjaksi eikä kyvykkyydeksi. Asiakirja on vain yksi kyvykkyyden osa. Todellinen toimintakyky muodostuu ihmisistä, osaamisesta, päätösvallasta, teknologiasta, resursseista, yhteistyöstä ja harjoittelusta.

Resilienssilähtöisen jatkuvuussuunnittelun merkitys yritysjohdolle

Yritysjohdolle jatkuvuussuunnittelu on ennen kaikkea strategisten tavoitteiden saavuttamisen varmistamista. Häiriön vaikutus ei rajoitu operatiiviseen toimintaan, vaan se voi vaikuttaa kassavirtaan, asiakasluottamukseen, sopimuksiin, rahoitukseen, maineeseen ja yrityksen arvoon. Johto tarvitsee näkyvyyden ainakin seuraaviin kysymyksiin:

• Mitkä prosessit ovat yrityksen toiminnan kannalta välttämättömiä?
• Kuinka kauan niiden keskeytys voidaan hyväksyä?
• Mitkä ovat vakavimmat yhteiset riippuvuudet?
• Missä kohdissa toiminta riippuu yhdestä henkilöstä, järjestelmästä tai toimittajasta?
• Vastaavatko tekniset palautumisratkaisut liiketoiminnan tarpeita?
• Mitä jatkuvuusratkaisut maksavat ja mitä riskiä niillä pienennetään?
• Onko yrityksen toimintakyky testattu käytännössä?
• Mitkä puutteet vaativat johdon päätöksen tai investoinnin?
• Miten yritys viestii asiakkaille, omistajille ja viranomaisille vakavan häiriön aikana?

Resilienssiä koskevat päätökset ovat usein strategisia kompromisseja. Täydellistä suojaa ei voida saavuttaa, eikä kaikkia prosesseja voida palauttaa samanaikaisesti. Johdon tehtävänä on hyväksyä prioriteetit ja jäännösriskit tietoisesti.