O potrzebie promocji zarządzania ciągłością działania

Od kilku dni opinia publiczna żyje informacjami dotyczącymi awarii układu przesyłowego, którym ścieki z części lewobrzeżnej Warszawy są transportowane do oczyszczalni „Czajka”. Awarie tego typu niestety zdarzają się, uczą pokory człowieka w jego zafascynowaniu postępem technicznym, a ich występowanie zazwyczaj jest zgodne z jedną zasad którą ukuł Edward Aloysius Murphy, iż wszystko co ma się popsuć, na pewno się popsuje. Z tego względu należy uznać za wysoce ryzykowne rozstrzyganie dziś, kto jest winny bezpośrednio i pośrednio obecnej sytuacji awarii przesyłu ścieków w stolicy tym bardziej, że nie przeprowadzono w tej materii niezależnego od władz miasta audytu. Jednocześnie jednak przypadek ten i związanych z tym działań władz państwowych (zarówno rządowych jak i samorządowych) jest doskonałym impulsem do refleksji nad  obecnym stanem i poziomem systemu zarządzania kryzysowego w Polsce.

Zarządzanie kryzysowe a ciągłość działania

Przede wszystkim należy zadać sobie zasadnicze pytanie czy w Polsce wogóle istnieje system zarządzania kryzysowego? Otóż pozwalam sobie postawić tezę, iż taki system nie istnieje. Zgodnie z definicją zawartą w Słowniku Języka Polskiego system to „układ elementów mający określoną strukturę i stanowiący logicznie uporządkowaną całość”^[1]. W Polsce właśnie sprawa rozbija się o tę uporządkowaną logiczną całość, ponieważ problem polega na tym, iż w państwie istnieją równolegle funkcjonujące obok siebie, a niekiedy w poprzek siebie segmenty tego systemu (vide do niedawna relacje MSWiA i RCB), ale kiedy dochodzi do sytuacji kryzysowej obejmującej skalę większą niż kilka gmin, powiatów nie mówiąc już o kilku województwach zaczynamy mieć problemy z określeniem doprecyzowanych zakresów odpowiedzialności. Potwierdzeniem tego stanu rzeczy jest właśnie opublikowany najnowszy jednolity tekst ustawy o zarządzaniu kryzysowym.^[2]  Otóż w artykule 3 ustawy próżno szukać wyjaśnienia czym jest system zarządzania kryzysowego, natomiast bez problemu znajdziemy wyjaśnienie czym jest sytuacja kryzysowa, infrastruktura krytyczna, europejska infrastruktura krytyczna, ochrona infrastruktury krytycznej, planowanie cywilne, powiat, cykl planowania, siatka bezpieczeństwa, mapa zagrożeń, mapa ryzyka oraz zdarzenie o charakterze terrorystycznym. Fakt ten nie zmienia z kolei opinii, iż większość służb odpowiedzialnych za zarządzanie kryzysowe oraz osób w nich pracujących wykonuje swoją pracę z zaangażowaniem, ofiarnością, profesjonalizmem najczęściej kosztem życia osobistego, a pośrednim tego dowodem są monstrualne nawisy niewykorzystanych zaległych urlopów, które przyprawiają kadrowców i księgowych w stany przedzawałowe.

Studiując definicje infrastruktury krytycznej oraz ochrony infrastruktury krytycznej należy zauważyć, iż od kilku lat wprowadzono w nich pojęcie zarządzania ciągłości działania odpowiednio w art. 3 ust.2 pkt. j gdzie zapisano, iż „Infrastruktura krytyczna obejmuje systemy zapewniające ciągłość działania administracji publicznej” oraz w art. 3 ust. 3 gdzie zapisano, iż przez ochronę infrastruktury krytycznej należy rozumieć wszelkie działania zmierzające do zapewnienia funkcjonalności, ciągłości działań. Tym samym zagadnienie implementacji zarządzania ciągłością działania staje się wymogiem sine qua non zapewnienia efektywnego funkcjonowania zarządzania kryzysowego na każdym poziomie organizacji państwa. Jednak warunkiem aby takie podejście stało się skuteczne jest odejście od filozofii reformowania systemu zarządzania kryzysowego od góry z poziomu ministerstw, tylko wprowadzenie rozwiązań, iż system taki zaczniemy budować od podstaw, najpierw na dole poprzez zapewnienie kilkudniowej samowystarczalności w zakresie dostępu do wody, żywności oraz energii w rodzinach i ich miejscach zamieszkania, budowanie odporności społeczności lokalnych na występowanie kryzysów poprzez sołtysów we wsiach i wspólnoty mieszkaniowe w miastach, dopiero potem przechodząc do zadań i związanych z tym posiadanych realnych zasobów i narzędzi na poziomie władz samorządowych i rządowych.

Infrastruktura krytyczna a zarządzanie ciągłością działania

Kwestia ta w sposób szczególny dotyczy zapewnienia ciągłości działania infrastruktury krytycznej zarówno lokalnej, regionalnej jak i ogólnopaństwowej. Z tego względu warunkiem koniecznym budowy nowoczesnych organizacji (firm, przedsiębiorstw) odpornych na występowanie całej gamy współczesnych wielokierunkowych zagrożeń jest zbudowanie, aktualizacja i bieżące utrzymywanie przez nie własnych planów ciągłości działania, wynikających z nich zaimplementowanych systemów zarządzania ciągłością działania opartych o sprawdzony międzynarodowy standard PN-EN ISO 22301:2014 Bezpieczeństwo powszechne – Systemy zarządzania ciągłością działania – Wymagania.

Wskazana Norma Brytyjska jest brytyjskim odpowiednikiem ISO 22301:2012 i zastąpiła normę BS 25999-2:2007, która została wycofana 1 listopada 2012 roku. Norma ISO 22301 zawiera wymagania dotyczące systemu zarządzania ciągłością działania (BCM), stanowiąc ramy dla identyfikacji kluczowych czynników ryzyka mających wpływ na organizację oraz na utrzymanie jej działań w najtrudniejszych warunkach. Należy podkreślić, iż rozwiązania wskazane w treści normy są efektem wieloletnich badań i doświadczeń praktycznych zarządzania kryzysowego Brytyjczyków z których korzysta cały nowoczesny świat, zatem są to rozwiązania sprawdzone, a próby rodzimego ich udoskonalania na tym etapie należałoby uznać za nieporozumienie.

Zgodnie z założeniem Norma ISO 22301 przeznaczona jest dla wszystkich organizacji które chcą:

• ustanowić, wdrożyć, utrzymać i doskonalić system zarządzania ciągłością działania;
• zapewnić zgodność z ustanowioną polityką ciągłości biznesu;
• certyfikować system zarządzania ciągłością działania i deklarować zgodność z międzynarodowym standardem ISO 22301

Z kolei wdrożenie normy gwarantuje następujące korzyści:

• umożliwienie odtworzenia zdolności organizacji do ponownego działania w określonym czasie i na ustalonym poziomie, w przypadku nieplanowanych zdarzeń
• podniesienie wiarygodności firmy w oczach klientów, inwestorów i udziałowców
• zwiększenie konkurencyjności na rynku ze względu na zdolność do funkcjonowania niezależnie od niekorzystnych czynników
• umożliwienie skutecznej reakcji na sytuacje kryzysowe
• poprawienie wizerunku firmy, jako przygotowanej na nieprzewidziane zdarzenia.

Trudno nie zgodzić się z opinią, iż implementacja zasad zarządzania ciągłością działania przyczynia się do kreowania odporności na kryzysy każdej organizacji i właściwie nie ma alternatywy dla jej nie wdrażania. Ważne jest też to, iż ma ona charakter rozwiązania systemowego, ponieważ wprowadza w organizacji tak istotne elementy dla systemu zarządzania kryzysowego jak jednoznaczną odpowiedzialność za istniejące procesy i usługi krytyczne, utrzymuje stałe zespoły kryzysowe we wszystkich jednostkach organizacyjnych będących właścicielami wskazanych procesów i usług, których zaktualizowana lista jest zatwierdzana formalnie przez władze statutowe spółek oraz na bieżąco zobowiązuje do aktualizacji analizy ryzyka oraz podejmowania decyzji jakie rekomendacje zawarte w analizie ryzyka należy realizować. Od razu też trzeba zaznaczyć, iż tego typu rekomendacje zazwyczaj niosą ze sobą konieczność wydatkowania środków, co nie pozwala decydentom szczególnie na polskim gruncie antykultury zarządzania unikać podejmowania wiążących decyzji. W tym systemie unikanie podejmowania decyzji jest decyzją i w przypadku wystąpienia awarii lub katastrofy po dokonanym audycie trudno jest uniknąć decydentom odpowiedzialności za własne zaniechania. Z tego względu wprowadzanie systemów zarządzania ciągłością działania w firmach nad Wisłą natrafia na opór członków zarządów firm, którzy próbują wymyślać różne hybrydy rozwiązań, byleby tylko nie podejmować decyzji związanych z koniecznością wydatkowania koniecznych środków, szczególnie wysokich jeśli mówimy o utrzymaniu i konserwacji infrastruktury IT oraz niezbędnej infrastruktury technicznej. Praktyka taka widoczna jest szczególnie w wyniku pojawiania się kryzysów, czego znakomitym przykładem jest doświadczenie na gruncie polskim pożaru Data Center T-Mobile na Annopolu w styczniu 2019 roku, w wyniku którego w kilka minut wystąpił brak kontaktu z Call Center operatora, nastąpiła niedostępność wybranych usług biznesowych (w niektórych przypadkach trwało to ponad tydzień), a klienci mieli problemy z dostępem do internetu. Zresztą w powyższym jak i podobnych przypadkach głównym problemem nie jest wystąpienie awarii i jej skutków, tylko nie uwzględnianie takich sytuacji wcześniej w sporządzanych analizach ryzyka, a nawet nie rozpatrywanie teoretyczne najgorszych prawdopodobnych scenariuszy.

Co istotne plan ciągłości działania określa sposób reagowania w przypadku przerwania ciągłości działania krytycznych usług oraz procesów biznesowych w przypadku ogłoszenia trybu kryzysowego. Aby jednak taki plan zadziałał norma podkreśla, iż należy w nim uwzględnić m.in. takie zagadnienia jak lokalizacje zapasowe, komunikację kryzysową a przede wszystkim niezbędne zasoby pod pojęciem których należy rozumieć zarówno zasoby kadrowe, czyli pracowników posiadających praktyczną wiedzę i ciągłość wiedzy w przedmiocie istniejących rozwiązań w zakresie ich odpowiedzialności jak i zasoby techniczno-infrastrukturalne.

Budowa systemu zarządzania ciągłością działania w organizacji z pewnością natomiast nie jest tworzeniem kolejnych papierów i dokumentacji, ponieważ norma wymusza aby kwestia ciągłości działania żyła w organizacji zarówno w trakcie trwania projektu, jak i potem w procesie utrzymania planu po wdrożeniu, co wiąże się z konieczną jego systematycznego testowania, aktualizacji, dokonywania przeglądów, organizowania ćwiczeń oraz poddawania audytom zewnętrznym. Taki sposób postępowania z zasady pozwala po okresie od czterech do sześciu lat osiągać organizacji zadowalający poziom kultury zarządzania, czego należałoby by życzyć sektorowi administracji publicznej, władzom spółek Skarbu Państwa, a także władzom niepublicznych podmiotów gospodarczych odpowiedzialnych za bezpieczeństwo państwa oraz ochronę zdrowia i życia obywateli.

Artur Jagnieża, Przewodniczący Rady Fundacji Instytutu Bezpieczeństwa i Strategii.

Materiał źródłowy znajduje się pod linkiem.

[1]    https://sjp.pwn.pl/szukaj/system.html (dostęp 1 września 2019)

[2] Dz.U. 2019 poz.1398 Obwieszczenie Marszałka Sejmu Rzeczpospolitej Polskiej z dnia 5 lipca 2019 w sprawie ogłoszenia jednolitego tekstu ustawy o zarządzaniu kryzysowym;