اجرای مدیریت تداوم کسب‌وکار برای هر سازمان جدا از برآورده کردن نیاز مشتریان و اجرای قوانین و مقررات، فواید دیگری نیز در بر دارد. در بازار رقابتی، استقرار مدیریت تداوم کسب‌وکار سازمان‌ها را قادر می‌سازد تا به مشتریان بالقوه خود اثبات کنند که برای تداوم محصولات و خدمات کلیدی خود در برابر اختلالات برنامه دارند. دریافت گواهینامه مطابق با استانداردهایی همچون ISO22301:2019 می‌تواند بخشی از بسته بازاریابی برای جذب مشتریان جدید و حفظ مشتریان موجود باشد.
اجرای مدیریت تداوم کسب‌وکار ضعف‌های درون سازمان را از بین می‌برد و دوباره‌کاری و اتلاف در منابع و زمان را حذف می‌کند (فواید مالی). هر خرابی که رخ می‌دهد برای سازمان یک هزینه به همراه دارد، حتی اگر به اختلال منجر نشود. با حذف این ضعف‌ها سازمان قوی‌تر شده و هزینه‌هایش کمتر می‌شود. يکي از بزرگ‌ترین تهدیدهایی که در حین اختلال برای سازمان به وجود می‌آید اختلال در جریان نقدینگی است. با توانا ساختن سازمان در تداوم ارسال محصولات و خدمات کلیدی، به حفظ جریان نقدینگی کمک می‌شود. برای بسیاری از سازمان‌ها قطع جریان نقدینگی یک مسئله بحرانی است، به‌ویژه زمانی که آنها به توانایی خود در حفظ عملیات به‌منظور پرداخت بدهی‌های خود وابسته هستند. این مسئله برای شرکتهای کوچک و متوسط و سازمان‌هایی که با اعتبارات بانکها تأسیس‌شده‌اند بیش از سایرین حیاتی است. امروزه داشتن یک برنامه کاربردی و اثربخش سیستم مدیریت تداوم کسب‌وکار (BCMS)، نقش بسیار مهمی در استمرار و موفقیت کسب‌وکار هر سازمانی ایفا می‌کند. توانایی یک سازمان برای حفظ و تداوم فعالیت‌های کلیدی و حیاتی خود، پس از وقوع یک حادثه و همچنین سرعت بازیابی سازمان و بازگشت به حالت نرمال، می‌توانند عوامل اصلی موفقیت یا شکست یک سازمان را تعیین نمایند. لذا استقرار یک سیستم مناسب بر پایه مدیریت تداوم کسب‌وکار (BCM) مبتنی بر استاندارد ISO 22301-2019 می‌تواند پاسخگوی نیاز سازمان‌ها در این حوزه باشد.
تحوّل در نحوه ارائه خدمات بانکی با اجرای طرح جامع اتوماسیون بانکی در اواخر دهه 1360 شمسی آغاز گردید. در ادامه و با نصب اولین ATM در ایران در سال 1371 و همچنین راه‌اندازی شبکه تبادل اطلاعات بین‌بانکی (شتاب) از سال 1381 به اوج خود رسید. در اردیبهشت 1390 نیز با تصویب آیین‌نامه تأسیس و فعالیت بانک‌های مجازی توسط شورای پول و اعتبار بانک مرکزی، تحولات این حوزه، وارد عرصه کاملاً جدیدی گردید.
اما در طول این تحولات، موضوعاتی چون لزوم توجه به تکنولوژی و توسعه فرآیندها و تقویت بنیه علمی و عملی کارشناسان و مدیران IT بانکها به‌منظور ارائه خدمات شبانه‌روزی 7*24 و همچنین، التزام عملی به توافق‌نامه سطح خدمات یا SLA بانکی، کماکان در ابتدای راه خود هستند.
گسترش و توسعه فناوری اطلاعات در حوزه‌ها و صنایع مختلف، علی‌الخصوص در حوزه ارائه خدمات بانکداری، موجب افزایش اهمیت آشنایی متخصصین صنعت مذکور با مفاهیم و ابزارهای جدیدی گردیده است. عبارات و اصطلاحاتی مانند ITIL,ISMS، SLA، Service Catalogue و … که این روزها در اکثر سمینارها، همایش‌ها، جلسات و هم‌اندیشی‌های حوزه بانکداری کشور شنیده می‌شوند، نشانه‌هایی از ظهور تحول در ارائه خدمات مبتنی بر فناوری اطلاعات به مشتریان بانکها و مؤسسات پولی و مالی است.
در کنار موارد بالا، سیستم مدیریت تداوم کسب‌وکار (BCMS) در شرایط بحرانی مانند تحریم‌های بین‌المللی و همچنین رخدادهای بسیاری که در طول سالیان اخیر مشکلاتی بزرگی را در صنعت مالی کشور به وجود آورده است؛ لزوم توجه جدی به سیستم تداوم کسب‌وکار بانکی را نشان می‌دهد. داشتن یک برنامه کاربردی و اثربخش مدیریت تداوم کسب‌وکار (BCP)، نقش بسیار مهمی در استمرار و موفقیت کسب‌وکارهای بانکی ایفا می‌کند. توانایی یک بانک برای حفظ و تداوم فعالیت‌های کلیدی و حیاتی خود، پس از وقوع یک حادثه و یا مشکل و همچنین سرعت بازیابی خدمات بانکی و بازگشت به حالت نرمال، می‌توانند ازجمله عوامل اصلی موفقیت یا شکست یک بانک را در عرصه پررقابت کنونی تعیین نمایند.
هدف از BCMS در مجموعه‌های بانکی آماده کردن، فراهم کردن و حفظ کنترل‌ها و توانایی‌ها برای مدیریت توانایی کلی سازمان در ادامه فعالیت در طی اختلالات است. مزیت‌های دستیابی به این هدف، عبارت‌اند از:
الف) از دیدگاه تجاری:
ب) از دیدگاه مالی:
ج) از دیدگاه طرف‌های ذینفع:
د) از دیدگاه فرآیندهای داخلی:
لذا استقرار یک سیستم مناسب بر پایه مدیریت تداوم کسب‌وکار بانکی، نه‌تنها لازم بلکه امروزه برای بانک‌های کشورمان الزامی است.
در این بخش، به این موضوع خواهیم پرداخت که هر یک از فازهای استقرار سیستم مدیریت تداوم کسب‌وکار چه ملاحظاتی را باید در مجموعه‌های بانکی رعایت نمود.
در این خصوص ضروری است ابتدا ذینفعان تداوم کسب‌وکار در مجموعه های بانکی شناسایی و سپس نیازمندی‌ها و انتظارات آنها در حوزه مدیریت تداوم کسب‌وکار به‌درستی شناسایی شود. ذینفعان مجموعه‌های بانکی در دو دسته ذینفعان داخلی وذینفعان خارجی قرار میگیرند.
ذینفعان داخلی بانک شامل معاونت‌ها، ادارات و واحدهای سازمانی و... است که باید نیازمندی های آن ها در حوزه تداوم کسب‌وکار و سرویس ها و فرآیندهای حیاتی آنها که همواره در دسترس هستند، باید به درستی شناسایی شود. شناسایی دقیق فرآیندهای بانکی در این حوزه ضروری است.
ذینفعان خارجی بانک شامل مشتریان، بانک مرکزی، شرکتهای ارائه‌دهنده درگاههای پرداخت و... است که در خصوص هر یک از مجموعه های بانکی باید نیازمندی های آن ها به درستی شناسایی شود.
شناسایی نیازمندی‌های ذینفعان
تعیین محدوده در سیستم مدیریت تداوم کسب‌وکار
هدف از تعین محدوده در سیستم مدیریت تداوم کسب‌وکار، انتخاب محدوده مناسب برای ارائه خدمات با ظرفیت قابل‌قبول در زمان اختلال است. در این خصوص موضوع کلیدی، انتخاب محدودهای است که اثربخشی لازم برای استقرار سیستم مدیریت تداوم کسب‌وکار را داشته باشد و فرآیندهای کلیدی مجموعه های بانک را شامل شود.
بانکها به منظور تعیین محدوده باید محدوده را از ابعاد فرآیندی، فیزیکی، تکنولوژیکی و پرسنلی به صورت شفاف مشخص نمایند.
در خصوص محدوده فرآیندی دغدغه اول این است که محدوده شامل تمامی فرآیندهای تمامی واحدهای سازمانی بانک باشد و یا تنها فرآیندهای فناوری اطلاعات. پاسخ به این سؤال متأثر از هدف ما از استقرار BCMS است. اگر سازمان به دنبال تداوم تمام فعالیت‌های بانک است، محدوده باید شامل تمامی فرآیندهای بانک باشد و یا حداقل واحدهای سازمانی که در شناسایی ذینفعان، دغدغه بیشتری در حوزه تداوم کسب‌وکار دارند، حتماً در محدوده باشند.
اما اگر نگاه به تداوم کسب‌وکار، نگاه به تداوم سرویسها و درگاههای مجازی بانک باشد، انتخاب بستر فناوری اطلاعات به محدوده کفایت می کند.
گام بعدی در محدوده، محدوده فیزیکی استقرار BCMS است. در خصوص محدوده فیزیکی، ساختمان های ستادی اصلی بانک به دلیل آنکه بخش عمده ای از فرآیندهای غیر شعبه ای در آن انجام می شود، حتماً باید در محدوده قرار گیرد.
موضوع دوم انتخاب شعب پایلوت برای استقرار BCMS است. برای اینکه استقرار سیستم، تمامی ابعاد مد نظر بانک را در برگیرد، ضروری است شعب پایلوت، به گونه ای انتخاب شوند که دسته بندی مناسب صورت پذیرفته و هر دسته شعبه یک نمونه حتماً در محدوده استقرار سیستم قرار گیرد. به عنوان نمونه تعیین محدوده می تواند از ابعاد زیر صورت پذیرد:
یکی از الزامات همه سیستمهای مدیریتی، ارزیابی ریسک است. هدف از ارزیابی ریسک، ارائه مدلی جهت شناسایی، ارزشگذاری، تعیین معیار پذیرش و تدوین برنامه مقابله با ریسک است. در سیستم مدیریت تداوم کسب‌وکار نیز، ارزیابی ریسکها و فرصتها به عنوان یک الزام اصلی است.
نظام بانکی کشور به‌مانند سایر سازمان‌ها در معرض بسیاری از ریسکها، اعم از سایبری یا طبیعی قرار دارد و به‌منظور پاسخگویی به این ریسکها باید یک سیستم مدیریت ریسک کارا در بانک پیاده‌سازی شود.
مدیریت تداوم کسب‌وکار یکی از چارچوب‌های جدید مدیریت ریسک است که سازمان‌ها در جهت بهبود قابلیت انعطاف به‌منظور مقابله با ریسکهای شناسایی‌شده یاری می‌رساند. ارزیابی ریسک یکی از بخش‌های مهم سیستم مدیریت تداوم کسب‌وکار به شمار می‌رود.
اهداف مدیریت ریسک تداوم کسب‌وکار در مجموعه های بانکی شامل موارد زیر است:
در این قسمت، باهدف ایجاد مکانیسمی مشخص برای مدیریت ریسک امنیت اطلاعات، به شرح چگونگی انجام این فرآیند از مرحله شناسایی آسیب‌پذیری‌ها تا تهیه برنامه مقابله با ریسک و محاسبه ریسک ثانویه پرداخته می‌شود.
موضوعاتی که در بحث ارزیابی ریسک در بانک باید به صورت ویژه مد نظر قرار گیرد و متناسب با شرایط بانک تدوین گردد شامل موارد زیر است:
تجزیه‌وتحلیل تأثیر کسب‌وکار (BIA) یک فرآیند سیستماتیک است که برای تعیین و ارزیابی اثرات بالقوه به وجود آمدن وقفه در عملیات بحرانی، مثل وقوع یک حادثه، به وجود می آید. این روش را می‌توان در زمره آنالیزهای کیفی فرآیندهای کسب‌وکار دسته‌بندی کرد.
تجزیه‌وتحلیل تأثیر کسب‌وکار یک جزء اکتشافی برای تشخیص هرگونه آسیب‌پذیری بوده و یک جزء از استراتژی به حداقل رساندن خطر است. یکی از پیش‌فرض‌های اولیه BIA این است که هر مؤلفه‌ای از سیستم بانکی، وابسته به عملکرد مداوم همه مؤلفه‌های دیگر است، اما برخی از آنها از دیگران مهم‌تر هستند و بعد از بروز یک حادثه نیاز به تخصیص منابع بیشتری خواهند داشت. به‌عنوان‌مثال، یک بانک ممکن است با قطعی تلفن‌بانک خود به همان حالت معمول به کار خود ادامه دهد؛ اما اگر سیستم بانکداری متمرکز بانک دچار مشکل شود، تمامی فرآیندهای بانک به‌طور کامل متوقف خواهد شد.
تحلیل اثر بر کسب‌وکار به‌عنوان بخشی از یک برنامه بازیابی فاجعه، به شناسایی هزینه های ناشی از خرابی خواهد پرداخت. از قبیل از دست دادن جریان نقدی، تعویض تجهیزات، از دست دادن سود، از دست دادن کارکنان و داده‌ها و غیره.
در خصوص BIA می توان، آثار مالی را هم تا حد زیادی مشخص نمود. ارائه یک مدل کمی جهت تحلیل اثر بر کسب‌وکار، در مجموعه های بانکی بسیار ضروری است. ارزش هر دقیقه یا هر ساعت وقفه در فرآیندهای بانکی باید ارزیابی شده و متناسب با نوع وقفه و اختلالات ارزیابی شود.
گزارش BIA اهمیت اجزای کسب‌وکار را اندازه گیری نموده و تخصیص بودجه مناسب برای محافظت از آنها را پیشنهاد می‌کند. احتمال خرابی ها، ازلحاظ تأثیراتی که در زمینه هایی نظیر ایمنی، مالی، بازاریابی، شهرت کسب‌وکار، تطابق قانونی و تضمین کیفیت میگذارند، ارزیابی می‌شود. به‌عنوان‌مثال، یک کسب‌وکار ممکن است پس از بروز یک فاجعه برای بازسازی اعتماد مشتری، به سه برابر بازاریابی بیشتر احتیاج داشته باشد.
تحلیل اثر بر کسب‌وکار و ارزیابی ریسک دو مرحله مهم از یک طرح تداوم کسب‌وکار هستند. آنالیز BIA اغلب قبل از ارزیابی ریسک اتفاق می‌افتد. این فرآیند بر تأثیرات یا پیامدهای وقفه‌ای که برای عملکرد مهم کسب‌وکار اتفاق می‌افتد تمرکز می‌کند و میکوشد هزینه های مالی و غیرمالی مربوط به یک حادثه را ارزیابی کند. تحلیل اثر بر کسب‌وکار می‌تواند به‌عنوان یک نقطه شروع برای طراحی یک استراتژی جهت بازیابی فاجعه و بررسی اهداف زمان بازیابی (RTOs) و منابع و مواد موردنیاز برای ادامه کسب‌وکار، بکار رود.
در حوزه بانکی، سؤال این است که تحلیل اثر بر کسب‌وکار مقدم است یا ارزیابی ریسک. واقعیت این است که ورودی های ارزیابی ریسک می تواند در تحلیل اثر بر کسب‌وکار مؤثر باشد. در واقع ابتدا باید شناسایی نمود که چه تهدیداتی وجود دارد که ممکن است منجر به وقفه کسب‌وکار شود و در ادامه باید اثر آن را بر کسب‌وکار ارزیابی نمود.
ارزیابی ریسک، خطرات بالقوه مانند قطعی سوییچ، تهدیدات محیطی و یا حمله سایبری را شناسایی و مناطق آسیب‌پذیر را ارزیابی می‌کند. دارایی هایی که در معرض خطر هستند عبارت‌اند از مردم، اموال، زنجیره تأمین بانک، فناوری اطلاعات، شهرت تجاری و تعهدات قراردادی، در ارزیابی ریسک نقاط ضعفی که دارایی ها را بیشتر مستعد آسیب‌پذیری میکنند بررسی می‌شوند.
در فاز ارزیابی ریسک، ممکن است یافته های تجزیه‌وتحلیل تأثیر کسب‌وکار در برابر سناریوهای مختلف خطر مورد آزمایش قرار گیرند. یک BIA ممکن است برای توجیه سرمایه‌گذاری در پیشگیری و کاهش بروز حوادث و همچنین استراتژیهای بازیابی فاجعه مورداستفاده قرار گیرد.
این مطالعه موردی بر مبنای گزارش "اصول پیشرفته برای تداوم فعالیت" از انتشارات کمیته نظارت بانکی بال مربوط به مدیریت کل مقررات، مجوزهای بانکی و مبارزه با پول‌شویی بانک مرکزی ارائه شده است.
سیل جاکارتا
در سال 2007 سیل بزرگی در جاکارتا، پایتخت اندونزی بود و چندین منطقه دیگر در اطراف شهر، مانند جاوا غربی و بانتن را تحت تأثیر قرارداد. این سیل که از 2 فوریه 2007 آغاز شد، ناشی از باران شدید، جنگل زدایی در مناطقی در جنوب شهر و آبراه های مسدود شده با آوار بود. این سیل بدترین وضعیت در سه قرن گذشته، ازجمله سیل‌های جاکارتا در سال 1996 و 2002 است که منجر به کشته شدن 80 نفر شد.
قسمت مهم‌تر این واقعه تخریب زیرساختهای حیاتی بانکی و مشکلات به وجود آمده در این زمینه است.
عواقب و نتايج بحران‌ها
اقدامات مديريت بحران
تجربیات رخداد:
برنامه هاي احتياطي بازار و تداوم فعاليت، اجراي رویه‌های احتيـاطي مناسـب براي مقابله با سیل جاکارتا را تسهيل می‌نمود. اگرچه برنامه هاي مـذکور، به‌طور مشخص به طرح سناريوهايي نمي پرداخت که در آنها، براي تداوم عمليات يک حوزه خاص يا تماميت يک شاخه اصلي از فعاليت، فردي را اختـصاص داده باشد، ليکن برنامه هاي یادشده چارچوب سودمندي را براي تمرکز بـر مباحـث بی‌شماری که ناشي از شيوع و گسترش بيماري و یا تبعات وقوع سیل بود، فراهم مي آورد. به‌یقین، اين موضوع که کميسيون اوراق بهادار و معاملات آتي کشورها و ديگر سازمان‌های آن مناطق، داراي برنامه هايي براي تداوم کسب‌وکار و سـاختاري بـراي مـديريت اختلالات بودند، نقش مهمي در توانايي آنها براي ارائه واکنش هر چه مؤثرتر به رويداد مذکور داشت.
سازمان‌ها می‌توانند از تجارب سازمان‌های ديگر بهره برده و بر اساس آنها، برنامه هاي تداوم کسب‌وکار خود را به‌روز نمايند.
جمع بندي و نتیجه گیري
هدف محوري سیستم مدیریت تداوم کسب‌وکار (BCMS) در بانک، حمایت از بانکها و ذی نفعان آن ها در تداوم ارائه خدمات و محصولات در زمان مقابله با اختلالات است. با توجه به حساسیت موضوع تداوم کسب‌وکار در مجموعه های بانکی، نگاه بانک ها به این موضوع حتماً باید نگاه استاندارد باشد.
در این خصوص ضروری است، بانک ها ابتدا نیازمندی های ذی نفعان خود را شناسایی نموده و متناسب با آن محدوده مناسب برای استقرار سیستم را انتخاب نمایند. در ادامه باید گام های استقرار سیستم مطابق با الزامات و مطابق با شرایط نظام بانکی تعریف شده و پیگیری شود.