Ghid Specializat de Asigurare & Management de Risc

Planul de Continuitate a Afacerii (Business Continuity): De la Analiza BIA la Transferul Financiar

Cum se construiește un Plan de Continuitate a Afacerii (BCP), de la identificarea proceselor critice și analiza impactului întreruperii până la stabilirea RTO/RPO, a soluțiilor alternative și a rolului asigurării Business Interruption în recuperarea financiară.

În cazul unui incendiu major, al unui atac cibernetic, al unei avarii critice, al pierderii unei locații sau al întreruperii unui furnizor esențial, problema companiei nu este doar valoarea bunurilor distruse.

Întrebarea esențială:

Cât timp poate compania să funcționeze fără acea resursă și ce trebuie să facă pentru a-și continua activitatea?

Aici intervine conceptul de Business Continuity.

Un Plan de Continuitate a Afacerii (Business Continuity Plan – BCP) stabilește modul în care organizația își poate menține sau relua procesele critice după producerea unei perturbări majore.

Asigurarea de Business Interruption (BI) are un rol diferit. Ea poate oferi protecție financiară pentru anumite pierderi rezultate din întreruperea activității, în măsura și în condițiile prevăzute de poliță.

Cele două nu sunt alternative.

Business Continuity gestionează capacitatea operațională de supraviețuire și recuperare.

Business Interruption transferă, în condițiile contractului, o parte din consecințele financiare ale unei întreruperi asigurate.

Business Continuity reprezintă abordarea prin care o organizație își pregătește capacitatea de a continua furnizarea produselor și serviciilor critice la un nivel acceptabil în timpul și după producerea unei perturbări.

Un BCP nu este doar un document cu numere de telefon și instrucțiuni pentru situații de urgență.

Un plan matur pornește de la o întrebare mult mai dificilă:

Ce activități trebuie să continue, în ce interval de timp și cu ce resurse minime?

Business Interruption este diferit.

O poliță BI este un instrument contractual de transfer al anumitor consecințe financiare ale unei întreruperi, în limitele, condițiile, definițiile, excluderile și perioadele prevăzute în contract.

În funcție de produs și de condițiile poliței, protecția poate viza elemente precum pierderea marjei/profitului asigurat, cheltuieli suplimentare necesare pentru reducerea pierderii sau alte componente definite contractual.

De aceea, nu trebuie presupus că orice pierdere financiară produsă de o întrerupere este automat despăgubibilă.

Business Continuity nu înlocuiește Business Interruption. Iar o poliță BI nu înlocuiește un plan de continuitate.

Fundația unui plan de continuitate este Business Impact Analysis (BIA).

BIA urmărește să determine ce se întâmplă dacă diferite procese ale organizației sunt întrerupte și cât de repede trebuie restabilite pentru ca impactul să rămână în limite acceptabile.

Nu toate procesele unei companii au aceeași importanță.

Dacă departamentul administrativ nu poate funcționa câteva zile, impactul poate fi limitat.

Dacă sistemul de producție este oprit, comenzile nu mai pot fi onorate și contractele importante sunt afectate, impactul poate deveni critic într-un interval foarte scurt.

BIA trebuie, prin urmare, să identifice procesele critice și consecințele întreruperii lor.

BIA nu trebuie să pornească de la polițele existente.

Trebuie să pornească de la business-ul real.

Abia după ce compania înțelege consecințele întreruperii poate evalua ce riscuri pot fi reduse intern și ce consecințe pot fi transferate prin asigurare.

Un BCP matur trebuie să identifice și Single Points of Failure (SPOF) — puncte în care o singură resursă, locație, persoană, tehnologie sau relație comercială poate produce o întrerupere disproporționat de mare.

Exemplele pot include:

• un singur furnizor pentru o componentă esențială; • un singur server fără redundanță; • un singur utilaj de producție; • o singură locație pentru o operațiune critică; • o singură persoană care deține o competență esențială; • un singur furnizor logistic; • o singură conexiune de comunicații; • dependența de o singură platformă IT.

Problema nu este existența unui SPOF în sine.

Problema este existența unui SPOF care nu este cunoscut și pentru care nu există un plan de răspuns.

O fabrică poate avea trei linii de producție.

La prima vedere pare redundantă.

Dar dacă toate trei depind de aceeași instalație de alimentare, același sistem IT sau aceeași componentă furnizată de un singur producător, redundanța aparentă poate fi mai mică decât pare.

De aceea, analiza continuității trebuie să urmărească dependențele, nu doar numărul de resurse.

Două concepte importante în planificarea continuității sunt Recovery Time Objective (RTO) și Recovery Point Objective (RPO).

RTO reprezintă intervalul de timp țintit pentru restabilirea unei activități, funcții sau resurse după producerea unei perturbări.

Exemplu:

Dacă un sistem IT are un RTO de 4 ore, organizația își stabilește ca obiectiv restaurarea lui în acest interval.

RTO nu înseamnă că recuperarea va avea loc automat în patru ore.

Este un obiectiv de recuperare care trebuie susținut prin resurse, proceduri și soluții adecvate.

RPO se referă la cantitatea de date pe care organizația își permite să o piardă, exprimată de regulă în termeni temporali.

Dacă RPO este de 4 ore, organizația urmărește ca, în scenariul respectiv, pierderea de date să nu depășească echivalentul ultimelor patru ore de informații.

Cu cât RTO și RPO sunt mai restrictive, cu atât soluțiile necesare pot deveni mai complexe și mai costisitoare.

O companie trebuie, prin urmare, să stabilească aceste obiective în funcție de impactul real al întreruperii, nu să aleagă arbitrar valori foarte mici doar pentru că sună mai bine.

După identificarea proceselor critice, organizația trebuie să stabilească cum va continua activitatea dacă resursa principală devine indisponibilă.

Soluția diferă în funcție de natura afacerii.

Pentru o companie de servicii, soluția poate fi lucrul de la distanță.

Pentru o fabrică, poate fi o capacitate alternativă de producție.

Pentru un distribuitor, poate fi un depozit alternativ.

Pentru o companie dependentă de IT, poate fi restaurarea infrastructurii din backup.

Pentru o companie dependentă de furnizori specializați, poate fi existența unor furnizori alternativi validați.

Un plan de continuitate nu trebuie să presupună că soluția alternativă este perfectă.

Trebuie să răspundă la o întrebare mai realistă:

Care este cea mai eficientă metodă prin care menținem funcția critică la un nivel acceptabil până când revenim la operațiunea normală?

Unul dintre cele mai ușor de înțeles scenarii este pierderea unei clădiri sau a unei facilități.

Un BCP matur nu se limitează la:

„Mutăm activitatea în altă parte.”

Trebuie să știe unde, cu cine, cu ce echipamente și în cât timp.

Eveniment: locația principală devine indisponibilă.

↓

Activarea planului

↓

Evaluarea siguranței și accesibilității

↓

Identificarea locației alternative

↓

Mutarea personalului / proceselor critice

↓

Activarea sistemelor IT

↓

Activarea furnizorilor alternativi

↓

Comunicarea către clienți și parteneri

↓

Menținerea activității la nivelul minim acceptabil

↓

Restaurarea operațiunii normale

Acesta este motivul pentru care un BCP trebuie să fie mai mult decât un document.

Trebuie să fie un mecanism testabil.

Unul dintre cele mai frecvente riscuri ale planurilor de continuitate este existența unui document care arată foarte bine, dar care nu a fost niciodată testat.

O companie poate avea:

• contacte actualizate; • proceduri documentate; • locație alternativă; • backup; • furnizori secundari;

și totuși să descopere în prima simulare că planul nu funcționează.

Un număr de telefon poate fi schimbat.

Un furnizor alternativ poate să nu aibă capacitatea necesară.

Backup-ul poate exista, dar restaurarea poate dura mult mai mult decât se presupunea.

O locație alternativă poate fi disponibilă doar pentru jumătate din personal.

De aceea, testarea este o componentă esențială a continuității.

Tabletop exercise

Echipa parcurge un scenariu și discută ce ar face.

Simulation

Se simulează anumite acțiuni și decizii.

Technical test

Se verifică efectiv restaurarea sistemelor sau activarea soluțiilor tehnice.

Full exercise

Se testează o parte semnificativă a mecanismului de continuitate într-un scenariu controlat.

Nu toate companiile au nevoie de același nivel de testare.

Frecvența și complexitatea trebuie adaptate riscului și criticității proceselor.

Aici apare legătura directă cu asigurarea.

BCP încearcă să reducă:

durata întreruperii

și

amploarea consecințelor operaționale.

Asigurarea BI poate transfera, în condițiile contractului, anumite consecințe financiare ale unei întreruperi asigurate.

Cele două mecanisme trebuie analizate împreună.

O fabrică este afectată de un incendiu.

Fără BCP:

Incendiu → oprire → căutare furnizori → găsire capacitate alternativă → restaurare → reluare

Cu un BCP bine pregătit:

Incendiu → activare plan → capacitate alternativă → continuitate parțială → restaurare

Dacă perioada de întrerupere este redusă, impactul financiar poate fi, în anumite condiții, mai mic.

Dar acest lucru nu înseamnă că BCP „reduce automat prima” sau că asigurătorul este obligat să ofere condiții comerciale mai bune.

Orice influență asupra condițiilor de subscriere trebuie analizată individual, în funcție de politica asigurătorului, profilul riscului, măsurile de prevenire și protecție și celelalte caracteristici ale programului.

Unul dintre cele mai importante exerciții este verificarea dacă ipotezele folosite în BCP sunt compatibile cu cele utilizate pentru asigurarea BI.

De exemplu:

BCP spune: „putem relua producția în 30 de zile.”

Dar analiza financiară arată că revenirea la capacitatea normală necesită 90 de zile.

Sau:

BCP presupune: „putem utiliza o fabrică alternativă.”

Dar costurile suplimentare ale acestei soluții nu au fost analizate în raport cu programul de asigurare.

Sau:

BI presupune o anumită perioadă de indemnizare, în timp ce restaurarea reală a activității ar putea dura mai mult.

Aici apare nevoia de corelare între cele două planuri.

Această corelare poate scoate la iveală diferențe care nu sunt vizibile atunci când BCP-ul și polița BI sunt analizate separat.

Aceasta este o zonă în care apar frecvent neînțelegeri.

În limbaj comercial, BI este descris uneori simplificat ca o poliță care „plătește profitul pierdut”.

În realitate, mecanismul de indemnizare depinde de produs și de condițiile contractuale.

Pot exista componente precum:

• pierderea marjei sau a profitului asigurat, în funcție de baza contractuală; • cheltuieli suplimentare efectuate pentru reducerea pierderii; • cheltuieli fixe care continuă în timpul întreruperii; • perioade și limite de indemnizare; • extensii pentru anumite evenimente; • condiții și excluderi specifice.

De aceea, analiza unei polițe BI trebuie făcută pe baza formulei și definițiilor efectiv prevăzute în contract, nu pe baza denumirii comerciale a produsului.

Una dintre cele mai importante întrebări este:

Cât timp poate dura până când compania revine la nivelul de activitate relevant pentru poliță?

Nu este suficient să estimăm timpul necesar pentru repararea clădirii.

Trebuie analizate și:

• timpul de comandă al echipamentelor; • timpul de instalare; • autorizările; • testarea; • recalificarea personalului; • revenirea clienților; • restaurarea furnizorilor; • reluarea lanțului logistic; • perioada necesară pentru revenirea la nivelul normal de activitate.

În anumite situații, activitatea poate fi reluată parțial, dar compania să nu fi revenit încă la nivelul anterior evenimentului.

Această diferență trebuie înțeleasă atunci când este construit atât BCP-ul, cât și programul BI.

Un BCP matur ar trebui să poată răspunde cel puțin la următoarele întrebări:

• Sunt identificate procesele critice? • Este documentat impactul întreruperii fiecărui proces critic? • Sunt identificate Single Points of Failure? • Sunt stabilite RTO-urile relevante? • Sunt stabilite RPO-urile acolo unde sunt relevante? • Există soluții alternative pentru procesele critice? • Există locații alternative, acolo unde sunt necesare? • Există furnizori alternativi pentru dependențele critice? • Există proceduri pentru indisponibilitatea sistemelor IT? • Backup-urile sunt testate prin restaurare? • Sunt desemnate persoanele responsabile pentru activarea planului? • Există un mecanism de comunicare în situații de criză? • Planul a fost testat? • Lecțiile rezultate din teste au fost documentate? • Planul este actualizat după schimbări importante în companie? • Ipotezele BCP sunt corelate cu programul de Business Interruption?

Să presupunem că o companie estimează că își poate relua activitatea în 60 de zile.

Pe baza acestei ipoteze, își construiește planul operațional și analizează protecția financiară.

Ulterior, un exercițiu de continuitate arată că utilajul principal are un termen de livrare de 5 luni.

A apărut o diferență majoră între:

ce credea compania că poate face

și

ce poate face în realitate.

Acest tip de analiză poate determina revizuirea:

• soluțiilor alternative; • stocurilor de siguranță; • contractelor cu furnizorii; • capacității de producție alternativă; • parametrilor BCP; • limitelor și perioadei relevante pentru BI.

De aceea, BCP-ul poate deveni o sursă importantă de informații pentru analiza programului de asigurare.

Un BCP bine construit nu trebuie să fie activat doar în cazul unui scenariu catastrofal.

Procesul de analiză poate ajuta managementul să identifice vulnerabilități care există și în condiții normale.

De exemplu:

Dacă analiza arată că un singur furnizor este indispensabil pentru 80% din producție, aceasta este o vulnerabilitate indiferent dacă apare sau nu un incendiu.

Dacă un singur angajat deține cunoștințele necesare pentru operarea unui sistem critic, aceasta este o vulnerabilitate organizațională.

Dacă toate datele critice sunt dependente de un singur sistem, aceasta este o vulnerabilitate IT.

Prin urmare, BCP poate contribui la reducerea riscului înainte ca evenimentul să apară.

Compania nu este rezilientă pentru că are un plan. Este rezilientă atunci când planul funcționează.

Un document de 100 de pagini nu înseamnă automat continuitate.

Un plan bun trebuie să fie:

• cunoscut, • testat, • actualizat, • finanțat, • susținut de resurse • și corelat cu realitatea operațională.

Iar asigurarea nu trebuie privită ca înlocuitor pentru toate aceste măsuri.

Asigurarea poate transfera financiar anumite consecințe ale unui risc.

Nu poate produce capacitate de rezervă.

Nu poate înlocui un furnizor.

Nu poate restaura un server.

Nu poate muta personalul într-o locație alternativă.

Nu poate lua decizia operațională în momentul unei crize.

BCP-ul face compania capabilă să reacționeze.

Asigurarea poate ajuta compania să suporte financiar consecințele unui risc asigurat.

Business Continuity este un domeniu în care standardele internaționale pot oferi un cadru metodologic important.

ISO 22301 este standardul internațional dedicat sistemelor de management al continuității afacerii și oferă un cadru pentru stabilirea, implementarea, menținerea și îmbunătățirea unui sistem de management al continuității.

Standardul nu trebuie confundat cu o obligație legală generală pentru orice companie.

Aplicabilitatea unor cerințe specifice poate depinde de sectorul de activitate, de natura organizației, de reglementările aplicabile și de obligațiile contractuale.

În cazul asigurării Business Interruption, analiza trebuie făcută în primul rând prin raportare la contractul de asigurare: riscurile acoperite, definițiile, baza de calcul, limitele, perioada de indemnizare, franșizele, extensiile și excluderile.

Niciun standard de continuitate nu modifică de unul singur obligațiile contractuale ale unei polițe.

Business Continuity este abordarea prin care o organizație își pregătește capacitatea de a continua sau relua procesele și serviciile critice în urma unei perturbări.

BCP este planul operațional care stabilește responsabilități, proceduri, resurse și soluții alternative pentru menținerea sau recuperarea activităților critice.

BCP este un mecanism operațional de continuitate și recuperare. Business Interruption este un instrument de transfer financiar al anumitor consecințe ale unei întreruperi, în condițiile prevăzute de poliță.

BIA este procesul prin care organizația analizează consecințele întreruperii proceselor sale și determină care dintre acestea sunt critice și cât de repede trebuie restabilite.

Recovery Time Objective reprezintă obiectivul privind intervalul în care o activitate, funcție sau resursă trebuie restabilită după o perturbare.

Recovery Point Objective exprimă cantitatea maximă de date pe care organizația își permite să o piardă, de regulă exprimată printr-un interval de timp.

Este o resursă, componentă sau dependență a cărei indisponibilitate poate produce o întrerupere semnificativă deoarece nu există o alternativă suficientă.

Nu. Existența unui BCP nu generează automat o reducere de primă. Impactul măsurilor de prevenire și continuitate asupra condițiilor de asigurare depinde de evaluarea individuală a riscului și de politica asigurătorului.

Nu în mod automat. Un plan eficient poate reduce durata sau amploarea întreruperii, însă valoarea unei eventuale indemnizații depinde de pierderea efectivă și de condițiile contractuale ale poliței.

Nu. Acoperirea este determinată de condițiile poliței, inclusiv riscul asigurat, definițiile, baza de calcul, limitele, perioada de indemnizare, excluderile și celelalte condiții contractuale.

Nu există o regulă universală potrivit căreia orice companie trebuie să dețină o astfel de certificare. Necesitatea și nivelul de formalizare depind de natura activității, riscuri, sector, cerințe contractuale și cadrul de reglementare aplicabil.

Frecvența trebuie adaptată profilului de risc și criticității proceselor. Important este ca planul să fie testat suficient pentru a verifica dacă soluțiile, responsabilitățile și ipotezele sale funcționează în practică și să fie actualizat pe baza rezultatelor.

O companie rezilientă nu se bazează pe o singură soluție.

Mai întâi trebuie să înțeleagă:

• ce procese sunt critice, • ce se întâmplă dacă sunt întrerupte, • cât timp poate suporta organizația întreruperea, • ce resurse sunt necesare pentru recuperare • și unde există puncte unice de eșec.

Apoi trebuie să construiască soluțiile de continuitate:

• alternative operaționale, • resurse de rezervă, • backup-uri, • furnizori alternativi, • locații alternative, • proceduri de criză • și teste periodice.

Abia după aceea poate fi analizat corect rolul asigurării.

Business Continuity și Business Interruption nu concurează.

Ele acoperă două dimensiuni diferite ale aceluiași risc:

BCP ajută compania să continue să funcționeze.

BI poate contribui, în condițiile contractului, la protejarea financiară împotriva anumitor consecințe ale unei întreruperi asigurate.

Cea mai matură abordare nu este să alegi între ele.

Este să construiești un sistem în care:

RISC → BIA → BCP → RECUPERARE → IMPACT FINANCIAR → TRANSFER PRIN ASIGURARE

să fie analizate ca părți ale aceluiași mecanism de reziliență corporativă.