Анализ факторов, влияющих на непрерывность бизнеса в новом тысячелетии
Матью Ринг, партнер компании KPMG, руководитель направления по управлению информационными рисками (KPMG Information Risk Management) в странах СНГ.
Постоянно растущая зависимость современных организаций от информационных технологий (ИТ), ключевого персонала, качества сервиса поставщиков услуг, а также лояльности клиентов приводит к тому, что обеспечение непрерывности деятельности, а также минимизация негативных последствий, обусловленных какого-либо рода прерываниями или воздействиями, являются одними из ключевых задач, стоящих перед руководством любой компании является. Риски, дополнительно привносимые современной действительностью, в частности, угрозами террористической активности, вирусными и хакерскими атаками, только повышают актуальность данных вопросов.
Одним из направлений деятельности KPMG является предоставление услуг в области управления информационными рисками. В России и странах СНГ Отдел по управлению информационными рисками компании KPMG предлагает широкий спектр услуг по повышению эффективности, управляемости и безопасности использования современных информационных технологий, включая уникальные на Российском рынке услуги по сертификации по стандарту в области информационной безопасности ISO17799/BS7799, и услуги в области управления непрерывностью бизнеса (Business Continuity Management).
KPMG постоянно отслеживает тенденции в ИТ и смежных областях, включая вопросы ИТ аудита и Информационной безопасности (Результаты Глобального исследования KPMG в области информационной безопасности, проведенного в 2002, можно посмотреть здесь). В рамках настоящего Обзора, проводимого компанией Росбизнесконсалтинг, мы хотели бы поделиться с читателями РБК результатами совместного исследования журнала «Contingency Planning & Management» и компании KPMG. Это первый такого рода детальный обзор, полностью посвященный вопросам управления непрерывностью бизнеса, публикующийся в России.
Большинство респондентов данного исследования представляли, в основном, компании США и Канады. Тем не менее, полученные результаты и тенденции также характерны и для России. Например, KPMG отмечает повышающийся интерес организаций к услугам в области информационной безопасности, оценки информационных систем и бизнес-процессов, сертификации по стандарту BS7799/ISO17799, корпоративного управления ИТ, управления и планирования непрерывности бизнеса. Мы также видим определенные положительные тенденции в области обеспечения эффективного и безопасного использования ИТ на примере организаций, с которыми мы взаимодействуем на регулярной основе в рамках финансового аудита, проводимого компанией KPMG.
Если же говорить о типичных недоработках в вопросах обеспечения непрерывности бизнеса организаций, то можно отметить следующее:
У ряда организаций вообще отсутствуют какого либо рода планы, которые были бы направлены на восстановление после сбоев или прерываний деятельности бизнес-функций (так называемый план непрерывности бизнеса, или Business Continuity Plan).
Анализ влияния прерываний на деятельность организации (Business Impact Analysis), который должен предшествовать процессам разработки стратегий восстановления, проводится достаточно редко. Это приводит к тому, что полученный результат не соответствует требованиям бизнеса, не говоря уже о неадекватных расходах на поддержание статуса непрерывности. А ведь данный анализ должен проводиться на регулярной основе, а также при существенных изменениях в используемых процессах, технологиях, ресурсах.
Компании зачастую пользуются методиками и подходами, которые не отвечают требованиям, предъявляемым к современной организации, или же используют методики, которые не адаптированы под требования местного законодательства и практики.
Не менее остро стоит вопрос подготовки персонала (не только сотрудников ИТ, но и представителей бизнес-подразделений, а также руководства) по вопросам поддержания непрерывности, восстановления и информационной безопасности.
К сожалению, на сегодняшний день можно сделать вывод, что наличие у компаний планов непрерывности бизнеса, отвечающих современным требованиям, — скорее исключение, чем правило; и все еще много организаций продолжают ждать, «пока гром не грянет».
Мы понимаем, что «лучше плохой план, чем его отсутствие», тем не менее «процессы планирования непрерывности бизнеса могут только начинаться, но не заканчиваться», поэтому никогда не поздно работать над улучшением текущей ситуации. Вопрос «А есть ли у Вас Business Continuity Plan?» и «Не могли бы Вы показать мне Ваш Business Continuity Plan» уже задают не только аудиторы, но даже потенциальные партнеры и клиенты.
Я хотел бы отдельно поблагодарить наших американских коллег KPMG LLP за вклад, который они внесли в подготовку данного исследования. Надеюсь, здесь вы можете найти ответы на многие вопросы, связанными с управлением непрерывностью бизнеса.
Исследование журнала «Contingency Planning & Management» и KPMG в области обеспечения непрерывности бизнеса
Революция в области электронной коммерции привнесла множество новых возможностей для ведения бизнеса, однако были ли при этом учтены вопросы обеспечения непрерывности деятельности? Какой эффект — позитивный или негативный, оказывает угроза терроризма на планирование восстановления после сбоя? Оказывает ли высшее руководство организаций должную поддержку ответственным за планирование непрерывности? Ответы на эти и многие другие вопросы содержатся в настоящем исследовании в области обеспечения непрерывности бизнеса. Полученные результаты указывают как на позитивные тенденции, так и на имеющиеся пока еще недоработки. Спонсорами данного исследования выступали журнал «Contingency Planning & Management» и компания KPMG.
Прерывалась ли деятельность Вашей организации по одной из указанных причин, либо подвергалась ли риску такого прерывания? (Отметьте все подходящие ответы).
Каковы временные требования к восстановлению Вашей организации в случае отказа основных систем? (Выберите только один ответ).
Приходилось ли Вам использовать перечисленные документированные процедуры восстановления вследствие прерываний? (Укажите все подходящие ответы).
Для последнего из прерываний, указанных в вопросе № 3 укажите, были ли соблюдены требования по времени восстановления и качеству поддержки?
Насколько, по Вашему мнению, изменится бюджет Вашей организации на нужды ИТ (информационные технологии), включая процессы, системы и данные, в течение последующих 3 лет?
Среднее значение: 15% в год.
Как, по Вашему мнению, соотносится Ваш ответ на вопрос № 5, с аналогичными цифрами других организаций Вашей отрасли? (Выберите только один ответ).
Как наиболее точно характеризуется зависимость деятельности Вашей организации от информационных систем? (Выберите только один ответ).
Как наиболее точно характеризуется уровень развития/применения электронной коммерции в Вашей организации? (Выберите только один ответ).
Как наиболее точно характеризуется степень привлечения сторонних компаний-поставщиков услуг для поддержки деятельности Вашей организации? (Выберите только один ответ).
Зависит ли деятельность Вашей организации от внешних процессов (например, поставки или обработки заказов)? (Отметьте все подходящие ответы).*В приведенных ответах указаны проценты от общего числа участников исследования.
Зависит от входящих внешних процессов: 47.6%. Зависит от исходящих внешних процессов: 48.2%.
Какова основная причина в необходимости иметь план непрерывности бизнеса в Вашей организации? (Выберите только один ответ).
Как наиболее точно характеризуется система финансирования непрерывности бизнеса Вашей организации? (Выберите только один ответ).
Кто является основным владельцем плана непрерывности бизнеса в Вашей организации? (Выберите только один ответ).
Интегрированы ли у Вас вопросы обеспечения непрерывности в функциональные обязанности перечисленных подразделений? (Отметьте все подходящие ответы).
Используется ли план непрерывности бизнеса в текущих или стратегических маркетинговых программах Вашей организации? (Выберите только один ответ).
Да: 20% Нет: 80%
Оцените (1,2,3) следующие факторы по степени их критичности для Вашей организации (1 соответствует наиболее критичному фактору).(Выберите только один ответ для каждого фактора).
Повлияли ли угрозы террористических актов на расширение Ваших программ планирования непрерывности бизнеса? (Выберите только один ответ).
Как наиболее точно характеризуется текущий статус плана непрерывности бизнеса Вашей организации? (Выберите только один ответ).
Каким образом Вы оцениваете эффективность плана непрерывности бизнеса? (Отметьте все подходящие ответы).
В достаточной ли степени Ваши сотрудники обучены вопросам обеспечения непрерывности бизнеса/ восстановления после сбоев? (Выберите только один ответ).
Да: 26 % Нет: 74%
Насколько аккуратно в Вашей организации производится инвентаризация систем/оборудования? (Выберите только один ответ).
Насколько в Вашей организации интегрированы планирование непрерывности бизнеса и следующие бизнес-процессы? (Выберите только один ответ для каждого процесса).
Управление изменениями
Управление нагрузкой и производительностью
Комплексное планирование (интеграция)
Полностью
7%
8%
7%
Значительно
23%
27%
26%
В какой-то степени
47%
45%
47%
Не интегрировано
22%
20%
20%
Как бы Вы оценили финансовые убытки Вашей организации от прерываний за последние 12 месяцев? (Выберите только один ответ).
Как бы Вы оценили финансовые убытки, которые может понести Ваша организация в течение часа вследствие серьезного прерывания? (Выберите только один ответ).
Каков примерно годовой бюджет, выделяемый на решения и услуги по планированию непрерывности бизнеса Вашей организации?
Какие шаги обычно составляют часть процесса анализа и принятия решения при рассмотрении вопросов закупки/внедрения новых технологий или услуг по планированию непрерывности бизнеса?Если стоимость продукта или услуги составляет:
< $1000
$1000 — $10,000
$10,001 — $100,000
> $100,000
Покупки по телефону
77%
17%
3%
1%
Поставщик посещает наш офис
21%
60%
41%
41%
Мы посещаем офис поставщика или демонстрационную площадку
13%
35%
45%
47%
Посещение специализированных выставок
22%
35%
27%
24%
Предложение заявки
10%
31%
61%
69%
Внутренняя презентация поставщика для компании
10%
32%
58%
65%
Покупки в Интернет
67%
18%
5%
2%
Где Вы получаете информацию о продуктах и услугах? (Выберите все подходящие ответы).
Как наиболее точно характеризуется основной характер бизнеса непосредственно Вашей организации? (Выберите только один ответ).
Как наиболее точно характеризуются Ваши основные должностные обязанности? (Выберите только один ответ).
Какова численность персонала Вашей организации (все офисы/филиалы)?
Как бы Вы описали географическую структуру:
Вашей организации
Ваших клиентов и/или рынка
Региональная (один регион)
48%
25%
Национальная
21%
31%
Международная
31%
44%
Как распределены операции Вашей организации (например, информационные центры, офисы, производственные мощности)?
Каковы примерные годовые доходы Вашей организации? (Выберите только один ответ).
Методология исследования
Для участия в данном исследовании в области обеспечения непрерывности бизнеса журнала «Contingency Planning & Management» и KPMG 4 февраля 2002 года было разослано 10,000 экземпляров анкет (на четырех страницах) с приложением сопроводительного письма (в котором было указано, что KPMG и Contingency Planning & Management являются спонсорами данного исследования), а также готового конверта для отправки ответа. В качестве дополнительного стимула респондентам была предложена возможность впоследствии ознакомиться с опубликованными в сети Интернет результатами данного исследования. Выборка была получена по результатам распространения журнала Contingency Planning & Management в США и Канаде.
Прием результатов исследования был закончен 15 марта 2002 года, и на этот момент были получены ответы 624 респондентов.
Подготовка анкет, рассылка, обработка результатов и подготовка отчета были проведены компанией Harf Info LLC, специализирующейся на исследованиях рынка для издательской отрасли. Если прямо не указано обратное, в гистограммах были использованы данные для всей выборки участников, а в секторных диаграммах, таблицах и средних значениях — только для той группы участников, которые ответили на данный вопрос, при этом сумма всех процентных значений в таких случаях равна 100%.
Информация, предоставленная в настоящем обзоре, имеет общий характер и не может служить основанием для каких-либо действий со стороны физического или юридического лица без профессиональной консультации относительно специфики конкретных обстоятельств.
KPMG не несет никакой ответственности за убыток, причиненный любому физическому или юридическому лицу, предпринявшему какие-либо действия или воздержавшемуся от таковых на основе информации, изложенной в данном обзоре.
Хотя мы стремимся обеспечивать точную и своевременную информацию, не существует каких-либо гарантий относительно полноты и справедливости приведенной информации на дату ее фактической публикации, либо относительно того, что она будет оставаться таковой и в дальнейшем.
