BIA – як провести аналіз впливу на бізнес крок за кроком
Аналіз впливу на бізнес (Business Impact Analysis, BIA) допомагає підприємству визначити, що має запрацювати в першу чергу, коли щось іде не так. Ви визначаєте критичні види діяльності, наслідки перерви в роботі з плином часу, ресурси та постачальників, від яких залежить ця діяльність, а також швидкість, з якою необхідно відновити її роботу.
Що таке аналіз впливу на бізнес (Business Impact Analysis)?
BIA використовується в управлінні безперервністю для розуміння залежностей бізнесу та пріоритетів відновлення. Шведське відомство «Управління цивільного захисту» використовує термін аналіз наслідків у своїй методологічній підтримці та описує його як картографування діяльності підприємства, того, з чого вона складається і що потрібно для її функціонування.
Результат має стати основою для прийняття рішень. Які види діяльності є критичними? Як довго вони можуть не працювати? Які люди, системи, приміщення, дані, постачальники та інші ресурси потрібні? Які заходи потребують пріоритетності?
BIA та аналіз ризиків — це не одне й те саме
| Аналіз | Головне питання | Типовий результат |
|---|---|---|
| BIA / аналіз наслідків | Якими будуть наслідки, якщо важлива діяльність зупиниться? | Пріоритетні види діяльності, залежності та потреби у відновленні. |
| Аналіз ризиків | Що може спричинити збій і як керувати цим ризиком? | Ризики, імовірність/наслідки та заходи зі зменшення ризиків. |
Ці аналізи доповнюють один одного. Наприклад, BIA може показати, що обробка замовлень має бути відновлена протягом доби. Аналіз ризиків після цього може дослідити, які події загрожують обробці замовлень і які превентивні заходи необхідні.
Як провести BIA у сім етапів
1. Визначте обсяг
Оберіть частину організації, яку потрібно проаналізувати. Першу роботу можна виконати для кожного бізнес-напрямку або основного процесу. Задокументуйте обсяг, щоб не втратити важливі залежності між відділами.
2. Складіть перелік діяльності підприємства
Виходьте з роботи, яка фактично створює або забезпечує послуги підприємства. Це можуть бути прийом замовлень, виробництво, підтримка клієнтів, виплата заробітної плати, моніторинг операцій або звітність перед державними органами.
3. Оцініть наслідки з плином часу
Проаналізуйте, що означає перерва в роботі через різні інтервали часу. Наслідки можуть бути фінансовими, юридичними, безпековими, операційними або репутаційними. Уникайте простого оцінювання загальним значенням, наприклад «високий». Опишіть причини.
4. Визначте, коли перерва стає неприйнятною
Для кожного критичного виду діяльності підприємство має визначити, як довго може тривати збій, перш ніж наслідки перевищать прийнятний рівень. Ця оцінка є центральною для подальшої пріоритетності відновлення.
5. Картографуйте залежності
- Персонал та ключові компетенції.
- IT-системи, дані та комунікації.
- Приміщення та фізичне обладнання.
- Електропостачання, мережі та інші ресурси.
- Постачальники та субпідрядники.
- Права доступу, сертифікати та ключі.
- Інші внутрішні процеси.
6. Встановіть цілі відновлення
Перекладіть бізнес-потреби на реалістичні цілі. Мета не повинна встановлюватися лише тому, що це звучить безпечно; вона повинна бути підкріплена технічно та організаційно.
7. Пріоритезуйте заходи
Визначте розрив між бажаним станом і фактичними можливостями. Якщо підприємству потрібно відновити діяльність протягом чотирьох годин, а поточне рішення потребує двох діб, ви виявили конкретний розрив у безперервності.
RTO, RPO та допустимий час перерви
Три терміни, пов'язані з часом, часто плутають:
- Допустимий час перерви: як довго підприємство може приймати відсутність функціонування діяльності, перш ніж наслідки стануть неприйнятними.
- RTO (Recovery Time Objective): ціль щодо швидкості відновлення послуги, діяльності або ресурсу.
- RPO (Recovery Point Objective): допустима втрата даних у часовому вимірі, наприклад, відновлення може передбачати втрату даних максимум за останні 30 хвилин.
Фіктивний приклад: потік замовлень інтернет-магазину
Компанія електронної комерції аналізує діяльність «прийом та передача оплачених замовлень на склад». Через дві години вплив незначний. Через вісім годин черга замовлень починає зростати, а навантаження на службу підтримки клієнтів збільшується. Через 24 години виникає ризик порушення зобов'язань щодо доставки, що суттєво впливає на дохід.
Тому підприємство вирішує, що цей вид діяльності має найвищий пріоритет. Залежності: платформа електронної комерції, статус оплати, інтеграційна платформа, складська система, інтернет-з'єднання та дві ключові ролі. BIA також показує, що зовнішній постачальник інтеграції не має задокументованої резервної процедури — це стає конкретним заходом для впровадження.
Суть у тому, що аналіз не зупиняється на «Shopify є критичним». Він показує, яка саме діяльність підприємства страждає, як швидко і через які залежності.
Поширені помилки в BIA
- Починати зі списку загроз. Тоді BIA легко перетворюється на звичайний аналіз ризиків.
- Позначати майже все як критичне. Якщо все має найвищий пріоритет, справжньої пріоритетності не існує.
- Запитувати лише IT-відділ. Власники бізнесу повинні визначати наслідки та рівень толерантності.
- Встановлювати RTO без звірки з реальністю. Перевірте, чи можуть техніка, персонал та постачальники насправді досягти цієї мети.
- Забувати про постачальників. Внутрішня система може бути відновлюваною, але при цьому залежати від зовнішньої послуги без відповідної спроможності.
- Ніколи не оновлювати аналіз. Нові системи, аутсорсинг та зміни в процесах можуть швидко зробити карту залежностей неактуальною.
Що відбувається після BIA?
BIA має призвести до планів заходів та планів забезпечення безперервності. Методична підтримка «Управління цивільного захисту» описує, як аналіз наслідків та оцінка ризиків використовуються як основа для заходів та планування безперервності.
Тому наступним кроком є опис того, що саме підприємство має робити в разі збою в плані безперервності. Якщо ви підпадаєте під дію закону про кібербезпеку, ланцюг постачання та інші заходи безпеки також мають бути включені в загальну роботу; див. посібник щодо NIS2 та безпеки постачальників.
Чи потрібна вам практична основа для BIA?
Пакет «План безперервності + BIA» від Mallbutiken містить редаговані шаблони Word/PDF та Excel, що охоплюють критичні види діяльності, залежності, наслідки, RTO/RPO та заходи. Ціна в магазині: 249 крон.
Переглянути «План безперервності + BIA»Часті запитання
Чи є BIA тим самим, що й план безперервності?
Ні. BIA аналізує, що є критичним і які існують потреби у відновленні. План безперервності описує, як підприємство діятиме для підтримки або відновлення пріоритетних видів діяльності.
Чи потрібно використовувати RTO та RPO?
Не як універсальні юридичні ярлики. Це практичні поняття для управління. Використовуйте їх, коли вони допомагають підприємству висловити вимірювані потреби у відновленні.
Як часто слід оновлювати BIA?
Оновлюйте, коли змінюються критичні процеси, системи, постачальники або інші залежності, а також проводьте заплановані регулярні перегляди.
Джерела та додаткова література
- Управління цивільного захисту: методологічна підтримка управління безперервністю
- Управління цивільного захисту: освітня підтримка управління безперервністю
- Управління цивільного захисту: шаблон документації для управління безперервністю
Посібник описує загальну методологію. Адаптуйте аналіз до фактичних вимог, ризиків, угод та будь-яких галузевих правил вашого підприємства.
