Plan ciągłości działania (ang. business continuity plan, BCP) ma w małych firmach złą reputację, i częściowo zasłużoną: kojarzy się z dokumentem na sto stron, który powstaje za duże pieniądze, trafia na półkę i dezaktualizuje się szybciej, niż ktokolwiek zdąży go przeczytać.

Tymczasem w firmie zatrudniającej kilkanaście czy kilkadziesiąt osób sensowny plan ciągłości działania ma kilkanaście stron i da się go napisać samodzielnie w dwa tygodnie. Poniżej struktura i kolejność pracy.

Test, czy w ogóle potrzebujesz planu

Dwa pytania. Jeśli znasz odpowiedzi na oba — jesteś w dobrej sytuacji. Jeśli nie znasz żadnej — plan jest Ci potrzebny bardziej, niż myślisz.

  1. Ile kosztuje Cię doba przestoju? Nie „dużo”. Kwota.
  2. Kto podejmuje decyzje, gdy Ciebie nie ma i nie można się z Tobą skontaktować? Imię i nazwisko.

Krok 1: Analiza wpływu na działalność (BIA)

To jest jedyna część, która wymaga realnego czasu zespołu — i jedyna, której nie da się pominąć.

Cel: ustalić, które procesy są krytyczne i jak szybko muszą wrócić.

Zrób tabelę. Dla każdego procesu w firmie (sprzedaż, produkcja, obsługa klienta, księgowość, wysyłka, IT):

Kolumna Co wpisujesz
Proces Nazwa, zrozumiała dla wszystkich
Właściciel Kto realnie to prowadzi
Skutek przestoju po 4 h Konkretnie: co się dzieje
Skutek po 24 h j.w.
Skutek po 72 h j.w.
Dopuszczalny czas przestoju Ile godzin, zanim skutek stanie się nieodwracalny
Zależności Od czego ten proces zależy: system, osoba, dostawca, dostawa

Rozmawiaj z ludźmi, którzy te procesy realnie prowadzą, nie tylko z zarządem. To nie jest uprzejmość — zarząd zna proces z poziomu wyniku, a osoba wykonująca go zna miejsca, w których pęka.

Z tej tabeli wychodzi zwykle jedno zaskoczenie: procesy uważane za krytyczne wytrzymują dobę bez konsekwencji, a proces uznawany za „pomocniczy” blokuje wszystko po czterech godzinach.

Krok 2: Pojedyncze punkty awarii

Przejdź kolumnę „zależności” i wypisz rzeczy, których zniknięcie zatrzymuje firmę. Cztery typowe kategorie:

  • Jedna osoba. Ktoś, kto jako jedyny zna hasła, ma relację z kluczowym klientem albo obsługuje jedną maszynę. To jest najczęstszy pojedynczy punkt awarii w małych firmach i najłatwiejszy do naprawienia: drugi zestaw uprawnień, przekazanie wiedzy, menedżer haseł z dostępem awaryjnym.
  • Jeden dostawca. Zwłaszcza taki, którego nie da się zastąpić w tydzień.
  • Jeden system. Szczególnie w chmurze, bez eksportu danych. Sprawdź, czy da się wyciągnąć swoje dane z każdego kluczowego systemu — i zrób to raz, żeby wiedzieć, ile trwa.
  • Jedno łącze / jedno zasilanie. Patrz zasilanie awaryjne w firmie i kopie zapasowe danych firmy.

Krok 3: Struktura dokumentu

Cały plan mieści się w siedmiu częściach:

1. Strona pierwsza: kto decyduje Imię, nazwisko, telefon osoby kierującej reagowaniem i jej zastępcy. Zakres decyzji, jakie może podjąć samodzielnie (wysłanie ludzi do domu, wstrzymanie produkcji, uruchomienie wydatku do określonej kwoty). Bez tego wszyscy czekają na właściciela, który akurat jest w samolocie.

2. Schemat powiadamiania Kto dzwoni do kogo i w jakiej kolejności. Z kanałem rezerwowym na wypadek, gdy telefonia nie działa. W większości firm ta część powstaje od zera, bo „wszyscy są na komunikatorze”, a nikt nie ma numerów zapisanych poza nim. Wydrukuj listę i rozdaj.

3. Karty scenariuszy (sedno planu — po jednej stronie każda) Opisane niżej.

4. Minimalna konfiguracja pracy Która część działalności musi ruszyć pierwsza, ilu ludzi jest do tego potrzebnych, co muszą mieć. Plus lista rzeczy, które świadomie zawieszamy. Plan, który każe utrzymać wszystko, nie jest planem, tylko życzeniem.

5. Ustalenia z zespołem Kto decyduje o wysłaniu ludzi do domu. Jak wygląda wynagrodzenie w czasie przestoju. Kto odpowiada za kontakt z rodzinami. Te trzy pytania padają zawsze i zawsze w najgorszym momencie — patrz zespół w kryzysie.

6. Kontakty zewnętrzne Ubezpieczyciel (numer polisy, telefon do zgłoszeń), dostawca energii, wynajmujący, kluczowi dostawcy i klienci, serwis IT, bank. Z numerami, nie z nazwami.

7. Kalendarz przeglądu Co i kiedy trzeba zweryfikować. Bez tego dokument zestarzeje się w pół roku.

Krok 4: Pięć kart scenariuszy

Każda karta to jedna strona A4, do wydrukowania i powieszenia. Struktura karty:

Scenariusz: [nazwa] Kto decyduje: [imię, telefon] Pierwsze trzy ruchy: 1… 2… 3… Kogo powiadamiamy: […] Po czym poznamy, że się pogarsza: […] Co zawieszamy: […]

Pięć scenariuszy, które pokrywają większość realnych zdarzeń:

1. Brak zasilania

Pierwsze ruchy: bezpieczne zamknięcie systemów (UPS daje na to czas), zabezpieczenie towaru wrażliwego, decyzja o pracy zdalnej lub wysłaniu ludzi do domu. Powiadomienie: klienci z zamówieniami na dziś.

2. Brak łączności i internetu

Pierwsze ruchy: przełączenie na łącze zapasowe albo na hotspot z telefonu, przejście na tryb offline tam, gdzie to możliwe, powiadomienie klientów kanałem, który działa. Sprawdź wcześniej, czy Twój terminal płatniczy ma wariant offline — dla handlu to jest pytanie o przetrwanie dnia.

3. Brak dostępu do budynku

Pierwsze ruchy: potwierdzenie, że wszyscy są bezpieczni; uruchomienie pracy zdalnej; dostęp do danych spoza biura. Pytanie kontrolne: czy ktokolwiek jest w stanie pracować, nie wchodząc do biura?

4. Utrata danych

Pierwsze ruchy: odcięcie zainfekowanych systemów, uruchomienie odtworzenia z kopii, powiadomienie (przy danych osobowych uwaga na obowiązki wynikające z RODO i terminy zgłoszenia). Warunek wstępny: kopia, która została przetestowana.

5. Nieobecność większości zespołu

Najbardziej pomijany scenariusz i najbardziej prawdopodobny w dużym zdarzeniu. Założenie wyjściowe: ludzie pójdą najpierw do swoich rodzin. Plan musi odpowiadać na pytanie, co firma robi, dysponując jedną trzecią obsady.

Krok 5: Ćwiczenie stolikowe

Plan nieprzećwiczony to plik PDF.

Ćwiczenie stolikowe (tabletop exercise) to półtorej godziny przy stole, bez ewakuowania kogokolwiek i bez wyłączania czegokolwiek. Prowadzący opisuje sytuację („jest wtorek 7:40, nie ma prądu w całej dzielnicy, dyspozytor mówi o kilku godzinach”), a uczestnicy podejmują decyzje w czasie rzeczywistym. Co pół godziny prowadzący dorzuca komplikację.

Z takiego ćwiczenia zawsze wychodzą trzy–cztery luki, których nikt nie przewidział przy pisaniu. To jest cel, nie porażka.

Częstotliwość: raz do roku wystarczy, żeby plan żył.

Krok 6: Przegląd

Raz na pół roku, kwadrans:

  • czy numery telefonów są aktualne,
  • czy osoby wymienione w planie nadal pracują w firmie,
  • czy doszły nowe systemy, dostawcy, lokalizacje,
  • czy kopie zapasowe nadal się wykonują i czy ktoś testował odtworzenie.

Ostatni punkt jest tym, który najczęściej wykrywa realny problem.

Czego plan NIE zastępuje

Plan ciągłości działania nie zastępuje instrukcji bezpieczeństwa pożarowego ani planu ewakuacji budynku — to odrębne dokumenty wymagane przepisami, przygotowywane przez rzeczoznawcę do spraw zabezpieczeń przeciwpożarowych. BCP mówi, jak firma działa dalej; tamte dokumenty mówią, jak ludzie bezpiecznie wychodzą.

A co z ISO 22301

Norma ISO 22301 opisuje system zarządzania ciągłością działania i jest sensownym punktem odniesienia. Dla firmy na kilkanaście osób pełne wdrożenie jest zwykle nieproporcjonalne do skali — ale struktura opisana wyżej jest z tej normy wyprowadzona, więc plan napisany w ten sposób jest dobrym punktem wyjścia, jeśli kiedyś certyfikacja stanie się wymagana przez klienta.

Pierwszy krok na dziś

Otwórz arkusz i wypisz pięć procesów w swojej firmie oraz dopuszczalny czas przestoju dla każdego z nich. Pół godziny. Reszta planu wyrasta z tej tabeli.

Jeśli wolisz zacząć od gotowej struktury zamiast od pustej kartki — arkusz samodzielnego audytu gotowości prowadzi przez analizę wpływu krok po kroku, a szablon planu ciągłości działania ma tę samą strukturę, którą opisuje ten artykuł, z instrukcją wypełniania każdej sekcji.