ضرورت استقرار سیستم مدیریت تداوم کسب و کار در نظام بانکی

مقدمه

حیات آدمی، عرصه تاخت‌وتاز انواع حوادث و بلایایی است کـه گـاه ریـشه در طبیعت دارد و زمانی، محصول عملکرد خود اوست. وقوع بلایایی همچون زلزلـه، طوفـان، سیل، آتش‌فشان، خشک‌سالی، سونامی و یا حوادث دیگری همچون قطـع بـرق، حمـلات سایبری، شیوع بیماری‌های واگیردار، جنگ و…؛ مواردی هستند که تقریبـاً همه‌روزه و در نقاط مختلف جهان اتفاق می‌افتند و گرفتاری‌های متعددی را برای مردم و سازمان‌ها رقم می‌زنند.

در این میان، برخی از این حوادث به لحاظ میزان اثرگذاری بر زندگی مـردم و سازمان‌ها ـ چه در سطح فردی و چه در سطح جمعی ـ از چنان شدتی برخوردارنـد کـه زدودن آثار و تبعات منفی و مخرب آن‌ها، گاه هیچ‌وقت ممکن نشده و یا سال‌های سال، به درازا می‌انجامد. وقوع حوادثی همچون زلزلـه در منطقـه ورزقـان (اسـتان آذربایجـان شرقی)، طوفان سندی در آمریکا، گسترش ویروس‌های کامپیوتری استاکس نت و فلـیم در شبکه‌های رایانه‌های برخی کشورها، انفجار نیروگاه هسته‌ای فوکوشیما در ژاپن کـه طی ماه‌ها یا سال‌های اخیر به وقوع پیوسته‌اند و یا وقوع زلزله در بوئین‌زهرا، طـبس، رودبار، اردبیل، بم و انفجار نیروگاه هسته‌ای چرنوبیل، سونامی اندونزی و یا شیوع بیماری سارس در کشورهای آسیای جنوب شرقی در سال‌های دورتر و همچنین شیوع بیماری کرونا که هم‌اکنون تمامی کشورهای جهان به‌نوعی درگیر آن هستند.

متأسفانه، کشور ایران ازجمله کشورهایی است کـه حـوادث و بلایـای طبیعـی فراوانی در آن اتفاق می‌افتد. تعداد و تنوع حوادث و بلایای طبیعی‌ای که در ایران اتفـاق می‌افتد در حدی است که بر اساس برخی گزارش‌ها، از میـان ۴۰ نـوع بلایـای طبیعـی شناخته‌شده در جهان، امکان وقـوع ۳۰ نـوع آن‌ها (۷۵ درصـد) در ایـران وجـود دارد.

به‌طورمعمول، اتخاذ تدابیر لازم برای پیشگیری از حوادث و بازیـابی امـور؛ در قالب تشکیلات، برنامه‌ها و فرآیندهای شکل می‌گیرد که هـدف نهـایی آن‌ها؛ کـاهش میزان آسیب‌پذیری، افـزایش سـطح زنـدگی مـردم و ارتقـای عملکـرد سازمان‌ها و سامانه‌ها ـ در حداقل زمان ممکن و با حداکثر اثربخشی و کارایی ـ است. برای حوادث طبیعی و غیرطبیعی که ممکن است جریان معمول و مستمر امور را مختـل نماینـد، بایـد تدابیر مناسبی را ـ متناسب با تعـداد و تنـاوب وقـوع حـوادث و میـزان اثرگذاری و شدت (Severity)آن‌ها ـ اتخاذ نمود.

در این راستا، هر سازمان برای مواجهه با انواع حـوادث طبیعـی و غیرطبیعی و شـیوه بازیابی عملیات خود پس از وقـوع آن‌ها، بایـد تـدابیر و راهکارهای لازم را برگزیـده، اثربخشی و کارایی آن‌ها را به‌طور مرتب و منظم، مورد ارزیابی قرار داده و در مقـاطع موردنیاز آن‌ها را به‌روز نماید.

مراجع نظارت مالی، بانک‌ها، مؤسسات اعتبـاری و دیگـر مؤسسات فعـال در بازارهای مالی نیز وظیفه‌دارند تا به‌منظور استمرار عملیـات جـاری خـود در زمـان وقـوع رویدادی که بر عملیـات آن‌ها اثرگـذار اسـت و بازیـابی آن در حـداقل زمـان ممکـن، برنامه‌های جامعی را تهیه و به مورد اجرا گذارند و اثربخشی و کارایی آن‌ها را در مقاطع زمانی مختلف و در قالب آزمون‌ها و مانورهای عملیاتی، مورد ارزیابی قرار دهند، موضوعی که از آن با عنوان «سیستم مدیریت تداوم کسب­ و­ کار, BCMS»یاد می شود.

هدف از BCMS اطمینان از در دسترس بودن بی­وقفه همه منابع کلیدی موردنیاز برای پشتیبانی از فعالیت‌های کسب‌وکار در زمان رخداد اختلال و نیز تسریع در بازگشت به حالت عادی است. BCMS با دیدی جامع بر مفهوم تداوم فرآیندهای کلیدی اعم از دستی یا مبتنی بر فناوری اطلاعات تمرکز دارد.

مقاله مذکور، اگرچه به‌طور خاص برای بازارهای مالی و نهادهای فعـال در آن ازجمله بانک‌ها و مؤسسات اعتباری، مراجع نظارت مـالی و… تدوین‌شده است، لیکن اصول مطروحـه در آن را می‌توان با تغییرات مقتضی، برای نهادها و سازمان‌های دیگر نیز به کار گرفت.

موارد مطروحه در این مقاله نشان می‌دهد که برخلاف تصور بسیاری از افراد، وقوع حوادثی که رجوع به برنامه‌های تداوم کسب‌وکار یا استفاده از پایگاه‌های جایگزین را ضروری می‌سازد، الزامـاً در مـواردی همچـون زلزلـه خلاصـه نمی‌شود، بلکـه گـاه شـیوع یـک بیمـاری ــ بـدون آن‌که کوچک‌ترین آسـیبی بـه زیرساخت‌های فیزیکی وارد کند ـ می‌تواند با ایجاد موانعی در دسترسـی سازمان‌ها به کارکنان خود، عملیات جاری آن‌ها را مختل نماید. به‌عنوان‌مثال، شیوع بیماری کرونا در حال حاضر و یـا وقـوع رویدادهایی همچون آلودگی هوا و گسترش گردوغبار در برخی استان­های کشور، ازجمله رویدادهایی بودند که عملیات جاری سازمان‌ها به‌ویژه بسیاری از بانک­ها را مختـل کـرده و یـا حتـی بـه تعطیلـی کشاندند، لیکن تأثیر چندانی بر زیرساخت‌های فیزیکی سازمان‌ها نداشتند.

جمع ­بندی و نتیجه­ گیری هدف محوریBCMS، حمایت از سازمان‌ها در تداوم ارائه خدمات و محصولات در زمان مقابله با اختلالات است. در این مقاله، ضمن معرفی این رویکرد و سیر تاریخی تکامل آن، بر مبنای یک تحقیق پیمایشی، شرایط حاکم بر نظام مالی، علی­ الخصوص نظام بانکی در ایران موردبررسی قرار گرفت.

مروری بر آمارهای بین‌المللی تهدیدات بالقوه و عدم وجود سیستم مدیریت تداوم کسب‌وکار

مطابق با پژوهش انجام ­شده در سال 2018 مهم‌ترین تهدیدات متوجه سازمان‌ها عبارت‌اند از:

• وقفه در سرویس‌های فناوری اطلاعات و ارتباطات (74%)

• افشای اطلاعات محرمانه (68%)

• حملات سایبری (65%)

• وقایع طبیعی مانند سیل و زلزله (59%)

همچنین سایر نکات قابل‌ذکر در این پژوهش به شرح زیر است:

• بیش از 80% سازمان‌های فاقد طرح تداوم کسب‌وکار که با یک بحران عظیم روبرو شده‌اند، کسب‌وکار خود را به‌طور کامل ازدست‌داده اند.

• 90% سازمان‌های فاقد طرح تداوم کسب‌وکار که داده‌های خود را در بحران‌ها ازدست‌داده اند، در دو سال بعد از بازار رقابتی حذف‌شده‌اند.

• 82% سازمان‌هایی که سیستم مدیریت تداوم کسب‌وکار داشتند، توانسته‌اند اثرات بحران‌ها را به‌صورت جدی کاهش دهند و بحران‌ها بر روی درآمد 55% از این سازمان‌ها تأثیری نداشته است.

  ضرورت پیاده‌سازی سیستم مدیریت تداوم کسب‌وکار در نظام بانکی کشور

   

   

  اجرای مدیریت تداوم کسب‌وکار برای هر سازمان جدا از برآورده کردن نیاز مشتریان و اجرای قوانین و مقررات، فواید دیگری نیز در بر دارد. در بازار رقابتی، استقرار مدیریت تداوم کسب‌وکار سازمان‌ها را قادر می‌سازد تا به مشتریان بالقوه خود اثبات کنند که برای تداوم محصولات و خدمات کلیدی خود در برابر اختلالات برنامه دارند. دریافت گواهینامه مطابق با استانداردهایی همچون ISO22301:2019 می‌تواند بخشی از بسته بازاریابی برای جذب مشتریان جدید و حفظ مشتریان موجود باشد.

  اجرای مدیریت تداوم کسب‌وکار ضعف‌های درون سازمان را از بین می‌برد و دوباره‌کاری و اتلاف در منابع و زمان را حذف می‌کند (فواید مالی). هر خرابی که رخ می‌دهد برای سازمان یک هزینه به همراه دارد، حتی اگر به اختلال منجر نشود. با حذف این ضعف‌ها سازمان قوی‌تر شده و هزینه‌هایش کمتر می‌شود. یکی از بزرگ‌ترین تهدیدهایی که در حین اختلال برای سازمان به وجود می‌آید اختلال در جریان نقدینگی است. با توانا ساختن سازمان در تداوم ارسال محصولات و خدمات کلیدی، به حفظ جریان نقدینگی کمک می‌شود. برای بسیاری از سازمان‌ها قطع جریان نقدینگی یک مسئله بحرانی است، به‌ویژه زمانی که آن‌ها به توانایی خود در حفظ عملیات به‌منظور پرداخت بدهی‌های خود وابسته هستند. این مسئله برای شرکت‌های کوچک و متوسط و سازمان‌هایی که با اعتبارات بانک‌ها تأسیس‌شده‌اند بیش از سایرین حیاتی است. امروزه داشتن یک برنامه کاربردی و اثربخش سیستم مدیریت تداوم کسب‌وکار (BCMS)، نقش بسیار مهمی در استمرار و موفقیت کسب‌وکار هر سازمانی ایفا می‌کند. توانایی یک سازمان برای حفظ و تداوم فعالیت‌های کلیدی و حیاتی خود، پس از وقوع یک حادثه و همچنین سرعت بازیابی سازمان و بازگشت به حالت نرمال، می‌توانند عوامل اصلی موفقیت یا شکست یک سازمان را تعیین نمایند. لذا استقرار یک سیستم مناسب بر پایه مدیریت تداوم کسب‌وکار (BCM) مبتنی بر استاندارد ISO 22301-2019 می‌تواند پاسخگوی نیاز سازمان‌ها در این حوزه باشد.

  تحوّل در نحوه ارائه خدمات بانکی با اجرای طرح جامع اتوماسیون بانکی در اواخر دهه 1360 شمسی آغاز گردید. در ادامه و با نصب اولین ATM در ایران در سال 1371 و همچنین راه‌اندازی شبکه تبادل اطلاعات بین‌بانکی (شتاب) از سال 1381 به اوج خود رسید. در اردیبهشت 1390 نیز با تصویب آیین‌نامه تأسیس و فعالیت بانک‌های مجازی توسط شورای پول و اعتبار بانک مرکزی، تحولات این حوزه، وارد عرصه کاملاً جدیدی گردید.

  اما در طول این تحولات، موضوعاتی چون لزوم توجه به تکنولوژی و توسعه فرآیندها و تقویت بنیه علمی و عملی کارشناسان و مدیران IT بانک‌ها به‌منظور ارائه خدمات شبانه‌روزی 7*24  و همچنین، التزام عملی به توافق‌نامه سطح خدمات یا SLA  بانکی، کماکان در ابتدای راه خود هستند.

  گسترش و توسعه فناوری اطلاعات در حوزه‌ها و صنایع مختلف، علی‌الخصوص در حوزه ارائه خدمات بانکداری، موجب افزایش اهمیت آشنایی متخصصین صنعت مذکور با مفاهیم و ابزارهای جدیدی گردیده است. عبارات و اصطلاحاتی مانند ITIL,ISMS، SLA، Service Catalogue و … که این روزها در اکثر سمینارها، همایش‌ها، جلسات و هم‌اندیشی‌های حوزه بانکداری کشور شنیده می‌شوند، نشانه‌هایی از ظهور تحول در ارائه خدمات مبتنی بر فناوری اطلاعات به مشتریان بانک‌ها و مؤسسات پولی و مالی است.

  در کنار موارد بالا، سیستم مدیریت تداوم کسب‌وکار (BCMS) در شرایط بحرانی مانند تحریم‌های بین‌المللی و همچنین رخدادهای بسیاری که در طول سالیان اخیر مشکلاتی بزرگی را در صنعت مالی کشور به وجود آورده است؛ لزوم توجه جدی به سیستم تداوم کسب‌وکار بانکی را نشان می‌دهد. داشتن یک برنامه کاربردی و اثربخش مدیریت تداوم کسب‌وکار (BCP)، نقش بسیار مهمی در استمرار و موفقیت کسب‌وکارهای بانکی ایفا می‌کند. توانایی یک بانک برای حفظ و تداوم فعالیت‌های کلیدی و حیاتی خود، پس از وقوع یک حادثه و یا مشکل و همچنین سرعت بازیابی خدمات بانکی و بازگشت به حالت نرمال، می‌توانند ازجمله عوامل اصلی موفقیت یا شکست یک بانک را در عرصه پررقابت کنونی تعیین نمایند.

   

  هدف از BCMS  در مجموعه‌های بانکی آماده کردن، فراهم کردن و حفظ کنترل‌ها و توانایی‌ها برای مدیریت توانایی کلی سازمان در ادامه فعالیت در طی اختلالات است. مزیت‌های دستیابی به این هدف، عبارت‌اند از:

  الف) از دیدگاه تجاری:

  • حمایت از اهداف استراتژیک بانک
  • ایجاد مزیت رقابتی
  • محافظت و تقویت شهرت و اعتبار بانک
  • نقش در انعطاف‌پذیری سازمانی

  ب) از دیدگاه مالی:

  • کاهش در معرض قرار گرفتن جرائم قانونی و مالی ناشی از وقفه یا اختلال کسب‌وکار
  • کاهش هزینه‌های مستقیم و غیرمستقیم اختلالات
  • حداقل سازی نرخ از دست دادن مشتریان ناشی از وقفه یا اختلال در کسب‌وکار

  ج) از دیدگاه طرف‌های ذینفع:

  • توجه به انتظارات ذینفعان در حوزه تداوم کسب‌وکار
  • اطمینان به توانایی بانک برای ارائه سرویس های موردنیاز مشتریان
  • محافظت از زندگی، دارایی و محیط‌زیست

  د) از دیدگاه فرآیندهای داخلی:

  • بهبود توانایی آن برای مؤثر ماندن در هنگام وقفه
  • نشان دادن کنترل پیشگیرانه خطرات به‌طور مؤثر و کارآمد؛
  • پرداختن به آسیب‌پذیری‌های عملیاتی

   لذا استقرار یک سیستم مناسب بر پایه مدیریت تداوم کسب‌وکار بانکی، نه‌تنها لازم بلکه امروزه برای بانک‌های کشورمان الزامی است.

   

  پیاده‌سازی الزامات سیستم مدیریت تداوم کسب‌وکار در مجموعه ­های بانکی

  در این بخش، به این موضوع خواهیم پرداخت که هر یک از فازهای استقرار سیستم مدیریت تداوم کسب‌وکار چه ملاحظاتی را باید در مجموعه‌های بانکی رعایت نمود.

  شناسایی ذی­نفعان در مدیریت تداوم کسب‌وکار در مجموعه­ های بانکی

  در این خصوص ضروری است ابتدا ذی­نفعان تداوم کسب‌وکار در مجموعه های بانکی شناسایی و سپس نیازمندی‌ها و انتظارات آن‌ها در حوزه مدیریت تداوم کسب‌وکار به‌درستی شناسایی شود. ذی­نفعان مجموعه‌های بانکی در دو دسته ذی­نفعان داخلی وذی­نفعان خارجی قرار می­گیرند.

  ذی­نفعان داخلی بانک شامل معاونت‌ها، ادارات و واحدهای سازمانی و… است که باید نیازمندی های آن ها در حوزه تداوم کسب‌وکار و سرویس ها و فرآیندهای حیاتی آنها که همواره در دسترس هستند، باید به درستی شناسایی شود. شناسایی دقیق فرآیندهای بانکی در این حوزه ضروری است.

  ذی­نفعان خارجی بانک شامل مشتریان، بانک مرکزی، شرکت‌های ارائه‌دهنده درگاه‌های پرداخت و… است که در خصوص هر یک از مجموعه های بانکی باید نیازمندی های آن ها به درستی شناسایی شود.

  شناسایی نیازمندی‌های ذی­نفعان

  • عموم مشتریان بانک
    • در دسترس بودن تمامی درگاه­های اینترنتی و سرویس‌های الکترونیکی بانک‌ نظیر اینترنت بانک، تلفن بانک، همراه بانک و … به‌صورت 24*7
    • فراهم بودن دسترسی به شعب برای سرویس­های حضوری
    • امکان اتصال و ارائه خدمات از طریق شبکه شتاب
    • کفایت و سهولت استفاده از دستگاه های خودپرداز بانک در نقاط مختلف جغرافیایی در کشور
    • کیفیت خدمات، تسهیلات ارزان و به­ موقع و نقدینگی، سرمایه­ گذاری با بازدهی مطلوب؛
    • و …
  • بانک مرکزی جمهوری اسلامی
    • تبعیت و اجرای قوانین و سیاست­های پولی و مالی تصویب­ شده به ­وسیله بانک مرکزی در حوزه بالا بودن سرویس ها و تداوم کسب‌وکار؛
    • فراهم بودن سوییچ‌ بانکی به‌صورت 24*7 با سطح SLA مورد انتظار بانک مرکزی
    • رعایت اصول سیکل­های تسویه بانک مطابق با الزامات بالادستی
    • دستورالعمل نحوه تعیین سطح فعالیت مورد انتظار مشتری
    • و …
  • شرکت پرداخت الکترونیک شاپرک
    • همکاری با شرکت­های PSP در برآورده سازی الزامات شاپرک
    • فراهم بودن تمامی خدمات مربوط به پرداخت و ارائه تمامی خدمات الکترونیکی در درگاه­ها بانکی
    • و…
  • شرکت­های تابعه
    • در دسترس بودن خدمات مربوط به این شرکت‌ها به‌صورت 24*7
    • تعیین کانال­های ارتباطی اصلی و جایگزین با شرکت­های تابعه و وجود افزونگی
    • فراهم بودن نقدینگی از طرف بانک به‌منظور فعالیت این شرکت‌ها
    • و…

   

   تعیین محدوده در سیستم مدیریت تداوم کسب‌وکار

  هدف از تعین محدوده در سیستم مدیریت تداوم کسب‌وکار، انتخاب محدوده مناسب برای ارائه خدمات با ظرفیت قابل‌قبول در زمان اختلال است. در این خصوص موضوع کلیدی، انتخاب محدوده­ای است که اثربخشی لازم برای استقرار سیستم مدیریت تداوم کسب‌وکار را داشته باشد و فرآیندهای کلیدی مجموعه ­های بانک را شامل شود.

  بانک­ها به منظور تعیین محدوده باید محدوده را از ابعاد فرآیندی، فیزیکی، تکنولوژیکی و پرسنلی به صورت شفاف مشخص نمایند.

  در خصوص محدوده فرآیندی دغدغه اول این است که محدوده شامل تمامی فرآیندهای تمامی واحدهای سازمانی بانک باشد و یا تنها فرآیندهای فناوری اطلاعات. پاسخ به این سؤال متأثر از هدف ما از استقرار BCMS است. اگر سازمان به دنبال تداوم تمام فعالیت‌های بانک است، محدوده باید شامل تمامی فرآیندهای بانک باشد و یا حداقل واحدهای سازمانی که در شناسایی ذی­نفعان، دغدغه بیشتری در حوزه تداوم کسب‌وکار دارند، حتماً در محدوده باشند.

  اما اگر نگاه به تداوم کسب‌وکار، نگاه به تداوم سرویس­ها و درگاه­های مجازی بانک باشد، انتخاب بستر فناوری اطلاعات به محدوده کفایت می کند.

  گام بعدی در محدوده، محدوده فیزیکی استقرار BCMS است. در خصوص محدوده فیزیکی، ساختمان­ های ستادی اصلی بانک به دلیل آنکه بخش عمده ای از فرآیندهای غیر شعبه ای در آن انجام می شود، حتماً باید در محدوده قرار گیرد.

  موضوع دوم انتخاب شعب پایلوت برای استقرار BCMS است. برای اینکه استقرار سیستم، تمامی ابعاد مد نظر بانک را در برگیرد، ضروری است شعب پایلوت، به گونه ای انتخاب شوند که دسته بندی مناسب صورت پذیرفته و هر دسته شعبه یک نمونه حتماً در محدوده استقرار سیستم قرار گیرد. به عنوان نمونه تعیین محدوده می تواند از ابعاد زیر صورت پذیرد:

  • از منظر ساختمانی و عمرانی
    • شعب نوساز
    • شعب قدیمی‌ساز
    • شعب بازسازی‌شده
  • از منظر ارتباط فناوری اطلاعات
    • شعب با حداقل سه لینک ارتباطی متفاوت
    • شعب با دو لینک ارتباطی متفاوت
    • شعب دارای یک ارتباط
  • تقسیم‌بندی مبتنی بر توزیع استانی
    • شعب با فاصله حداقل x کیلومتر از نزدیک ترین شعبه
    • شعب تک شعبه در یک شهر یا یک استان
    • و …

   

   

  ارزیابی ریسک تداوم کسب‌وکار در مجموعه ­های بانکی

  یکی از الزامات همه سیستم­های مدیریتی، ارزیابی ریسک است. هدف از ارزیابی ریسک، ارائه مدلی جهت شناسایی، ارزش­گذاری، تعیین معیار پذیرش و تدوین برنامه مقابله با ریسک است. در سیستم مدیریت تداوم کسب‌وکار نیز، ارزیابی ریسک­ها و فرصت­ها به عنوان یک الزام اصلی است.

  نظام بانکی کشور به‌مانند سایر سازمان‌ها در معرض بسیاری از ریسک‌ها، اعم از سایبری یا طبیعی قرار دارد و به‌منظور پاسخگویی به این ریسک‌ها باید یک سیستم مدیریت ریسک کارا در بانک پیاده‌سازی شود.

  مدیریت تداوم کسب‌وکار یکی از چارچوب‌های جدید مدیریت ریسک است که سازمان‌ها در جهت بهبود قابلیت انعطاف ­به‌منظور مقابله با ریسک­های شناسایی‌شده یاری می‌رساند. ارزیابی ریسک یکی از بخش‌های مهم سیستم مدیریت تداوم کسب‌وکار به شمار می‌رود.

  اهداف مدیریت ریسک تداوم کسب‌وکار در مجموعه­ های بانکی شامل موارد زیر است:

  1. بقا: حفظ هزینه‌ها در حدی معین که هزینه کرد بالاتر از آن می‌تواند ادامه بقای بانک را مورد تهدید قرار دهد.
  2. عدم توقف عملیات: تداوم فعالیت‌های کاری عادی با حداقل تأخیر؛ به دنبال یک خسارت فعالیت‌های عادی بانک باید در معرض حداقل توقف باشد.
  3. رشد مداوم، تداوم رشد بانک؛ رشد مداوم ممکن است مستلزم تخصیص منابع قبل از وقوع هر خسارتی باشد.
  4. ثبات درآمدها: محدود نمودن کاهش‌های کاهش جریانات درآمدی و ایجاد نقدینگی برای بانک ناشی از خسارت به یک سطح قابل‌قبول.
  5. مسئولیت اجتماعی؛ محدود نمودن خسارات به کارکنان؛ عرضه‌کنندگان؛ مشتریان و اعضای جامعه ناشی از رخدادهای اجتماعی و طبیعی.

  در این قسمت، باهدف ایجاد مکانیسمی مشخص برای مدیریت ریسک امنیت اطلاعات، به شرح چگونگی انجام این فرآیند از مرحله شناسایی آسیب‌پذیری‌ها تا تهیه برنامه مقابله با ریسک و محاسبه ریسک ثانویه پرداخته می‌شود.

  موضوعاتی که در بحث ارزیابی ریسک در بانک باید به صورت ویژه مد نظر قرار گیرد و متناسب با شرایط بانک تدوین گردد شامل موارد زیر است:

  • انتخاب متدولوژی ارزیابی ریسک متناسب با بانک
  • شناسایی آسیب‌پذیری‌ها و تهدیدات ویژه فرآیندهای بانکی
  • تحلیل و ارزیابی احتمال و شدت وقوع تهدیدات
  • رفع نقاط ضعف و ریسک کسب‌وکار

   

  تحلیل اثر بر کسب‌وکار (BIA) در حوزه بانکی

  تجزیه‌وتحلیل تأثیر کسب‌وکار (BIA) یک فرآیند سیستماتیک است که برای تعیین و ارزیابی اثرات بالقوه به وجود آمدن وقفه در عملیات بحرانی، مثل وقوع یک حادثه، به وجود می آید. این روش را می‎توان در زمره‎ آنالیزهای کیفی فرآیندهای کسب‌وکار دسته‌بندی کرد.

  تجزیه‌وتحلیل تأثیر کسب‌وکار یک جزء اکتشافی برای تشخیص هرگونه آسیب‌پذیری بوده و یک جزء از استراتژی به حداقل رساندن خطر است. یکی از پیش‌فرض‌های اولیه BIA این است که هر مؤلفه‌ای از سیستم بانکی، وابسته به عملکرد مداوم همه مؤلفه‌های دیگر است، اما برخی از آن‌ها از دیگران مهم‌تر هستند و بعد از بروز یک حادثه نیاز به تخصیص منابع بیشتری خواهند داشت. به‌عنوان‌مثال، یک بانک ممکن است با قطعی تلفن‌بانک خود به همان حالت معمول به کار خود ادامه دهد؛ اما اگر سیستم بانکداری متمرکز بانک دچار مشکل شود، تمامی فرآیندهای بانک به‌طور کامل متوقف خواهد شد.

  تحلیل اثر بر کسب‌وکار به‌عنوان بخشی از یک برنامه بازیابی فاجعه، به شناسایی هزینه‎ های ناشی از خرابی خواهد پرداخت. از قبیل از دست دادن جریان نقدی، تعویض تجهیزات، از دست دادن سود، از دست دادن کارکنان و داده‌ها و غیره.

  در خصوص BIA می توان، آثار مالی را هم تا حد زیادی مشخص نمود. ارائه یک مدل کمی جهت تحلیل اثر بر کسب‌وکار، در مجموعه ­های بانکی بسیار ضروری است. ارزش هر دقیقه یا هر ساعت وقفه در فرآیندهای بانکی باید ارزیابی شده و متناسب با نوع وقفه و اختلالات ارزیابی شود.

  گزارش BIA اهمیت اجزای کسب‌وکار را اندازه‎ گیری نموده و تخصیص بودجه مناسب برای محافظت از آن‌ها را پیشنهاد می‎کند. احتمال خرابی‎ ها، ازلحاظ تأثیراتی که در زمینه‎ هایی نظیر ایمنی، مالی، بازاریابی، شهرت کسب‌وکار، تطابق قانونی و تضمین کیفیت می‎گذارند، ارزیابی می‎شود. به‌عنوان‌مثال، یک کسب‌وکار ممکن است پس از بروز یک فاجعه برای بازسازی اعتماد مشتری، به سه برابر بازاریابی بیشتر احتیاج داشته باشد.

   

   BIA در مقایسه با ارزیابی ریسک

  تحلیل اثر بر کسب‌وکار و ارزیابی ریسک دو مرحله مهم از یک طرح تداوم کسب‌وکار هستند. آنالیز BIA اغلب قبل از ارزیابی ریسک اتفاق می‎افتد. این فرآیند بر تأثیرات یا پیامدهای وقفه‌ای که برای عملکرد مهم کسب‌وکار اتفاق می‏افتد تمرکز می‎کند و می‎کوشد هزینه‎ های مالی و غیرمالی مربوط به یک حادثه را ارزیابی کند. تحلیل اثر بر کسب‌وکار می‎تواند به‌عنوان یک نقطه شروع برای طراحی یک استراتژی جهت بازیابی فاجعه و بررسی اهداف زمان بازیابی (RTOs) و منابع و مواد موردنیاز برای ادامه کسب‌وکار، بکار رود.

  در حوزه بانکی، سؤال این است که تحلیل اثر بر کسب‌وکار مقدم است یا ارزیابی ریسک. واقعیت این است که ورودی های ارزیابی ریسک می تواند در تحلیل اثر بر کسب‌وکار مؤثر باشد. در واقع ابتدا باید شناسایی نمود که چه تهدیداتی وجود دارد که ممکن است منجر به وقفه کسب‌وکار شود و در ادامه باید اثر آن را بر کسب‌وکار ارزیابی نمود.

  ارزیابی ریسک، خطرات بالقوه مانند قطعی سوییچ، تهدیدات محیطی و یا حمله سایبری را شناسایی و مناطق آسیب‌پذیر را ارزیابی می‎کند. دارایی‎ هایی که در معرض خطر هستند عبارت‌اند از مردم، اموال، زنجیره تأمین بانک، فناوری اطلاعات، شهرت تجاری و تعهدات قراردادی، در ارزیابی ریسک نقاط ضعفی که دارایی‎ ها را بیشتر مستعد آسیب‌پذیری می‎کنند بررسی می‎شوند.

  در فاز ارزیابی ریسک، ممکن است یافته‎ های تجزیه‌وتحلیل تأثیر کسب‌وکار در برابر سناریوهای مختلف خطر مورد آزمایش قرار گیرند. یک BIA ممکن است برای توجیه سرمایه‌گذاری در پیشگیری و کاهش بروز حوادث و همچنین استراتژی‎های بازیابی فاجعه مورداستفاده قرار گیرد.

   

  مطالعه موردی: سیل سال 2007 در کشور اندونزی

  

   

  این مطالعه موردی بر مبنای گزارش “اصول پیشرفته برای تداوم فعالیت” از انتشارات کمیته نظارت بانکی بال مربوط به مدیریت کل مقررات، مجوزهای بانکی و مبارزه با پول‌شویی بانک مرکزی ارائه شده است.

  سیل جاکارتا

  در سال 2007 سیل بزرگی در جاکارتا، پایتخت اندونزی بود و چندین منطقه دیگر در اطراف شهر، مانند جاوا غربی و بانتن را تحت تأثیر قرارداد. این سیل که از 2 فوریه 2007 آغاز شد، ناشی از باران شدید، جنگل زدایی در مناطقی در جنوب شهر و آبراه های مسدود شده با آوار بود. این سیل بدترین وضعیت در سه قرن گذشته، ازجمله سیل‌های جاکارتا در سال 1996 و 2002 است که منجر به کشته شدن 80 نفر شد.

  قسمت مهم‌تر این واقعه تخریب زیرساخت­های حیاتی بانکی و مشکلات به وجود آمده در این زمینه است.

   عواقب و نتایج بحران‌ها

  • مرکز داده اصلی بانک در اثر سیل و طوفان به‌طورجدی آسیب دید
  • کلیه تجهیزات داخل مرکز داده از کار افتادند و قابلیت سرویس‌دهی نداشتند.
  • ارتباطات، الکتریسیته و شبکه‌های ارتباطی قطع شدند.
  • ارتباطات تنها از طریق تلفن‌های ماهواره‌ای امکان‌پذیر بود.
  • تمامی داده‌های ذخیره‌شده در پایگاه داده بانک به‌طور کامل از بین رفتند.
  • و درنتیجه کل سرویس‌های بانکی از مدار خارج شدند.

  اقدامات مدیریت بحران

  • تماس سریع با تیم‌های مدریت بحران
  • تشکیل دو تیم اصلی برای مدیریت بحران
  • تیم اصلی: هماهنگی انتقال سرویس‌ها به سایت پشتیبان و مدیریت بحران سایت اصلی برای بازگشت به وضعیت عادی
  • تیم دوم: راه‌اندازی سرویس‌ها در سایت پشتیبان و تأمین نیروی متخصص موردنیاز
  • هماهنگی برای انتقال ارتباطات شبکه‌ای به سایت پشتیبان (KBI)
  • راه‌اندازی سرورهای پشتیبان مستقر در سایت پشتیبان
  • بازگردانی داده‌های ذخیره‌شده روی نسخه‌های پشتیبان

   

   

  تجربیات رخداد:

  برنامه­ های احتیاطی بازار و تداوم فعالیت، اجرای رویه‌های احتیـاطی مناسـب برای مقابله با سیل جاکارتا را تسهیل می‌نمود. اگرچه برنامه­ های مـذکور، به‌طور مشخص به طرح سناریوهایی نمی ­پرداخت که در آن‌ها، برای تداوم عملیات یک حوزه خاص یا تمامیت یک شاخه اصلی از فعالیت، فردی را اختـصاص داده باشد، لیکن برنامه ­های یادشده چارچوب سودمندی را برای تمرکز بـر مباحـث بی‌شماری که ناشی از شیوع و گسترش بیماری و یا تبعات وقوع سیل بود، فراهم می­ آورد. به‌یقین، این موضوع که کمیسیون اوراق بهادار و معاملات آتی کشورها و دیگر سازمان‌های آن مناطق، دارای برنامه­ هایی برای تداوم کسب‌وکار و سـاختاری بـرای مـدیریت اختلالات بودند، نقش مهمی در توانایی آن‌ها برای ارائه واکنش هر چه مؤثرتر به رویداد مذکور داشت.

  سازمان‌ها می‌توانند از تجارب سازمان‌های دیگر بهره برده و بر اساس آن‌ها، برنامه­ های تداوم کسب‌وکار خود را به‌روز نمایند.

  جمع ­بندی و نتیجه ­گیری

  هدف محوری سیستم مدیریت تداوم کسب‌وکار (BCMS) در بانک، حمایت از بانک‌ها و ذی نفعان آن ها در تداوم ارائه خدمات و محصولات در زمان مقابله با اختلالات است. با توجه به حساسیت موضوع تداوم کسب‌وکار در مجموعه های بانکی، نگاه بانک ها به این موضوع حتماً باید نگاه استاندارد باشد.

  در این خصوص ضروری است، بانک ها ابتدا نیازمندی های ذی نفعان خود را شناسایی نموده و متناسب با آن محدوده مناسب برای استقرار سیستم را انتخاب نمایند. در ادامه باید گام های استقرار سیستم مطابق با الزامات و مطابق با شرایط نظام بانکی تعریف شده و پیگیری شود.