OHJE VALMIUSSUUNNITELMA LAATIMISESTA

Transkriptio

1 OHJE VALMIUSSUUNNITELMA LAATIMISESTA (Versio , Yleinen 1 ) 1 Tämä versio on HVK:n joukkoviestintäpoolin projektin 1/2008 Ohje valmiussuunnitelman laatimisesta sähköisen joukkoviestinnän yritykselle tuloksesta tehty riisuttu versio, josta on poistettu vain sähköisen joukkoviestinnän yritykseen liittyvät osat ja viittaukset.

2 VALMIUSSUUNNITELMAN SISÄLLYSLUETTELO 1 Valmiussuunnitelman laatimisesta Johdanto Valmius- vai jatkuvuussuunnitelma Valmiussuunnittelun periaatteelliset kypsyystasot Jatkuvuus- ja valmiussuunnitelman laatimisesta, testauksesta, ylläpidosta ja raportoinnista Valmiussuunnittelu prosessina Valmiussuunnittelun periaatteita Vuosittaisen jatkuvuus- tai valmiussuunnittelun tilaisuus tai harjoitus yrityksessä Yritysten koon vaikutus HUOVI:sta Sopimuksiin perustuva varautuminen Valmiussuunnitelman johdanto Yrityksen varautumisen tavoitteet Yrityksen varautumisvelvoitteet Yleiset perusteet Lait ja asetukset Muut huomioitavat sisäiset ja ulkoiset asiat Yrityksen toimintaympäristön tarkastelu Toimintaympäristön tarkastelu ja riskiarvio Uhkat Keskeytysriskien liiketoimintavaikutusten analyysi Hallinnollinen varautuminen Yrityksen varautumisen yleisjärjestelyt Varautumisen organisointi ja sen tehtävät yleensä Toimitusjohtaja Yrityksen valmiussuunnittelun vastuuhenkilö Valmiuspäällikkö tai -asiantuntija Liiketoimintayksiköiden johto ja työntekijät Yrityksen varautumisen avainalueet Suunnitteluhierarkia Yrityksen johtamistoiminta poikkeusoloissa Yleistä Kriisijohtamisesta Kriisitilanteiden johtamiseen liittyvistä resurssitarpeista Henkilöstön käyttö poikkeusoloissa ja VAP Turvallisuusjärjestelyt Pysyvät turvatoimet Porrastetut turvatoimet Pelastussuunnitelma Varautumiskoulutus Varautumisharjoitukset Toiminnallinen varautuminen Tietojenkäsittelyn ja tiedonsiirron turvaaminen Energiansaannin turvaaminen Toimitilojen ja henkilöstön suojaaminen Materiaalinen varautuminen Materiaalisen varautumisen tavoite ja osa-alueet Ajoneuvojen, työkoneiden ja tilojen saannin varmistaminen Ostopalvelut, alihankkijat, ulkoistus ja tuotantoketjut Sivu 2/38

3 6 Yhteistoiminta Yleiset yhteistoimintajärjestelyt Kohteiden vartiointi poikkeusoloissa Kansainvälisten yhteyksien varmistaminen Raportointi ja tarkastukset Viestintäsuunnitelma eri turvallisuustilanteisiin Toiminta ja toimenpiteet häiriö- ja erityistilanteissa sekä poikkeusoloissa Liite: Käytetyt lyhenteet Sivu 3/38

4 1 Valmiussuunnitelman laatimisesta 1.1 Johdanto Tämän ohjeen pohjalla on joukkoviestintäpoolin projektin 1/2008 Ohje valmiussuunnitelman laatimisesta sähköisen joukkoviestinnän yritykselle tuloksena syntynyt ohje, josta on poistettu vain sähköisen joukkoviestinnän yritykseen liittyvät asiat ja viittaukset. Tätä ohjetta käyttäviä pyydetään kommentoimaan ohjeen käyttökelpoisuudesta, muutostarpeita ym. joukkoviestintäpoolin sihteeriä Päivitetystä aineistosta informoidaan vuosittain niitä, jotka ovat suunnitelmaa kommentoineet tai ovat muuten ilmoittautuneet joukkoviestintäpoolin sihteerin vastaavalle jakelulistalle. Tässä ohjeessa esitetään valmius- tai jatkuvuussuunnitelman laatimisen perusteita huoltovarmuuskriittisille yrityksille. Ohje soveltuu pitkälti myös kaikkien yritysten jatkuvuussuunnittelun apuvälineeksi. 1.2 Valmius- vai jatkuvuussuunnitelma Perinteisesti yhteiskunnan varautuminen poikkeusoloihin, pahimmillaan sotaan, on valtiovallan koordinoimaa toimintaa. Yhteiskunnan infrastruktuurin teknisten järjestelmien merkityksen kasvaessa, ko. järjestelmistä on tullut yhä tärkeämpiä jo normaalioloissa. Tämä kehitys näkyy mm. valtioneuvoston päätöksenä Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, joka on laadittu ensimmäisen kerran vuonna 2003 ja toisen kerran vuonna Nykyaikainen yritys ei voi toimia ilman tietoa, tietoteknisiä - ja sähköjärjestelmiä. Näiden järjestelmien toiminta on varmistettava. Jatkuvuussuunnittelun avulla varmistetaan, että järjestelmät toimivat ja yritys kykenee toipumaan häiriötilanteista ja jatkamaan toimintaansa. Valmiussuunnittelun avulla pyritään varmistamaan yrityksen toimintakyky normaaliolojen häiriö- ja erityistilanteissa sekä poikkeusoloissa. Valmiussuunnittelu ja jatkuvuussuunnittelu ovat tavoitteistaan johtuen käytännössä sama asia. Valmiussuunnittelu on lainsäädännön ja viranomaisten käyttämä termi hallinnon ja sen virastojen, liikelaitosten ja yhtiöiden varautumisesta ja jatkuvuussuunnittelu yritysten toimintaa. Valmiussuunnittelu eroaa merkittävimmin jatkuvuussuunnittelusta siinä, että se sisältää varautumisen kaikkein vakavimpiin olosuhteisiin kuten sodanuhka ja sota. Valmiussuunnittelu jatkuu siitä, mihin jatkuvuussuunnittelu päättyy, kohti yhä vaikeampia turvallisuustilanteita. 1.3 Valmiussuunnittelun periaatteelliset kypsyystasot Valmiussuunnittelun periaatteelliset kypsyystasot ovat alimmasta ylimpään: 1. Toimintoketjun häiriöiden vaikutuksia ei tiedosteta. Ongelmiin ei reagoida. 2. Toimintoketjun häiriöiden vaikutukset tiedostetaan. Ongelmiin reagoidaan vasta niiden tapahduttua. 3. Jatkuvuuden hoidon perusvastuut on määritelty, ei ole kirjallista suunnitelmaa. Toimintoketjun epäjatkuvuuksia saattaa olla kokemusta ja toimialan kokemuksista tietoa. Häiriöiden vaikutuksia on kartoitettu. 4. Toimitusketjun operatiivinen toiminta häiriötilanteissa on ohjeistettu, jolloin myös johtaminen, suunnittelu ja testaus on vastuutettu. Johto tunnistaa jatkuvuuden tarpeen. Sivu 4/38

5 5. Toimitusketjun häiriötilanteet havaitaan "mittareilla", kriittiset tehtävät ja palvelut on varmistettu. Johdolle tuotetaan raportit jatkuvuustilanteesta. Henkilökuntaa koulutetaan. Suunnitelman ylläpito on vastuutettu. 6. Toimintaa häiriötilanteissa on testattu ja harjoiteltu. Tulokset otettu huomioon ja suunnitelmaa ylläpidetään säännöllisesti. Ulkoisten toimijoiden palvelutason säilyminen on varmistettu sopimuksin ja auditoinnein. Kriittisiä palveluja on kahdennettu. Jatkuvuussuunnittelusta ja sen kehittämisestä ja johtamisesta on useamman vuoden kokemuksia. Näiden periaatteellisten kypsyystasojen perusteella voidaan arvioida yrityksen valmius- tai jatkuvuussuunnittelun sen hetkinen taso. Arviointi helpottaa myös määrittelemään ne toimenpiteet, joilla valmiussuunnittelun tasoa voidaan tarvittaessa nostaa Jatkuvuus- ja valmiussuunnitelman laatimisesta, testauksesta, ylläpidosta ja raportoinnista Jos yrityksellä ei ole ajanmukaisia jatkuvuussuunnitelmia, suunnitelmien ensimmäinen versio on suositeltavaa tehdä projektina. Jotta jatkuvuussuunnittelu juurtuisi pysyväksi toimintamalliksi, projektissa kannattaa käyttää samoja resursseja, jotka jatkossa vastaavat jatkuvuussuunnittelutoiminnoista. Projektipäällikkönä toimii tällöin henkilö, joka jatkossa saa hoitaakseen jatkuvuussuunnitteluvastaavan tehtäviä. 3 Valmiussuunnittelu voidaan myös toteuttaa projektina. Suunnitelmaa on kuitenkin täydennettävä ja päivitettävä jatkuvasti, jotta se pysyy käyttökelpoisena. Projektiryhmään tarvitaan valmiuspäällikön lisäksi esimerkiksi henkilöt seuraavilta aloilta: - johto - tärkeiden tuotantoyksiköiden edustajat - henkilöstöhallinto - IT-toiminnot - logistiikka, viestintä ja kunnossapito - muut erikoisalat kuten yritysturvallisuus. 4 Valmiussuunnitelmien ylläpidon tarkoituksena on varmistaa suunnitelmien ajanmukaisuus. Suunnitelmien ylläpito on tarpeen myös silloin, kun tapahtuu muutoksia niissä liiketoimintaprosesseissa, joille on tehty valmiussuunnitelmat. 5 Valmiussuunnitelmat on testattava, jotta niiden toimivuus voidaan varmistaa. Riippuen yrityksen koosta ja suunnitelmien laajuudesta testaus voidaan tehdä osina eri Valmiussuunnitteluun kuuluu myös ko. alan asioiden raportointi yrityksen sisällä. Lisäksi valmiussuunnitelmista ja niiden testauksista on raportoitava ydinasioiden osalta säännöllisesti yrityksen johdolle. 1.5 Valmiussuunnittelu prosessina Valmiussuunnittelu on oltava tavoitteellista ja johdettua toimintaa. Sille asetetaan tavoitetila 6, jota verrataan olevaan tilaan. Tavoitetilan ja nykytilan eroista 2 Esim. tasolla 1 oltaessa seuraavana on määriteltävä vastuut ja laadittava kirjallinen suunnitelma. 3 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Tieto-VASU 5 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Vrt. esim. valmiussuunnittelun periaatteelliset kypsyystasot yllä (luku 1.3.) Sivu 5/38

6 johdetaan toteutettavat toimenpiteet, joilla päästään tavoitetilaan. Toteutettavia toimenpiteitä verrataan käytössä oleviin resursseihin ja vertailun perusteella valitaan toteuttavat toimenpiteet ja tarvittaessa muutetaan tavoitetilaa. Osa toimenpiteitä on sellaisia, joihin ei ole käytettävissä omia tai Huoltovarmuuskeskuksen resursseja. Näihin toteuttamattomiin toimenpiteisiin liittyvät jäännösriskit on tiedostettava ja yrityksen johdon on otettava vastuulleen niiden toteuttamatta jättämiseen liittyvä riski. Nykytilan arviointiin kuluu muun muassa henkilöstön määrän ja osaamisen arviointi ja yrityksen tekniset resurssit. Valmiuden nykytilaa seurataan harjoituksilla, raporteilla sekä omilla ja muiden havainnoilla. Valmiuden nykytilaa voidaan muuttaa esimerkiksi lisäämällä henkilöstöä, koulutuksella, teknisillä parannuksilla. Varautumisen tilaa on arvioitava vuosittain mm. muutoksina yrityksen toiminnassa, järjestelmissä ja ulkoisessa toimintaympäristössä ja niiden vaikutuksena jatkuvuussuunnitteluun. Kotimaasta ja ulkomailta saatavia todellisia havaintoja on arvioitava. Harjoituksia ja testauksia on pidettävä ja kokemuksia niistä on arvioitava olevaan tavoitetilaan liittyen. Varautumistoimenpiteiden toteutus riippuu resursseista. Toimintaan kohdistettavien resurssien määrä puolestaan riippuu siitä mikä merkitys kyseiselle toimialalle ja erityisesti kyseiselle yritykselle on annettu. 1.6 Valmiussuunnittelun periaatteita Suomen lainsäädäntö määrittää valmiussuunnittelulle lainsäädännöllä tietyt perusteet. Näiden lisäksi yritys määrittää itse omat perusteet omalle jatkuvuussuunnittelulle. Vastuut jakautuvat myös yritysten koon mukaan. Viranomaisten vaatimuksissa lähdetään liikkeelle siitä, että pohjaksi määritellään varautumisen eritysvaatimukset suurille toimijoille. Näistä tehdään poikkeukset keskisuurille ja pienille toimijoille. Varautumisen vastuu on jaettu valtion ja yrityksien kesken. Periaatteellisina tasoina voidaan nähdä uhkan todennäköisyyden ja uhkan seurausten suhteen seuraava kolmijako: - suuret seuraukset pieni todennäköisyys (sota): Valtio ja viranomaiset - keskisuuret seuraukset - keskisuuri todennäköisyys (luonnonkatastrofi): Jaettu vastuu (valtio ja yritykset yhdessä) - pienet seuraukset suuri todennäköisyys (laitevika); yritykset yksin. Valmius- tai jatkuvuussuunnittelun yleisiä periaatteita ovat: - vastuut eivät saa muuttua häiriö- ja eritystilanteissa tai poikkeusoloissa - hälytys- ja muiden tiedonsiirtoyhteyksien ja yhteystietojen oltava jatkuvasti kunnossa - jatkuvuussuunnittelun huomiointi jo järjestelmiä rakennettaessa on edullisinta - ennaltaehkäisy on parasta - henkilöstö ja sen koulutus on avainasemassa - suunnitelmat on testattava ja päivitettävä - vastuu on jaettu valtion ja yrityksien kesken - vastuut jakautuvat myös yritysten koon mukaan - pohjana on riskikartoitus ja tärkeisiin järjestelmiin keskittyminen - jatkuvuussuunnittelu ja valmiussuunnittelu eivät ole kertasuoritteita, vaan yrityksen normaalitoimintaan liittyviä prosesseja - käytettävissä oleviin teleyhteyksiin liittyen toiminnan pohjana on normaaliajan määritellyt vastuut, joita täydennetään suunnitelmilla ja lopulta tilanteenmukaisella toiminnalla. Sivu 6/38

7 Valmius- tai jatkuvuussuunnittelusta vastaa yrityksen toimiva johto ja sen on oltava yrityksen normaalia, tavoitteellista ja johdettua toimintaa. Toimiva johto (toimitusjohtaja) vastaa periaatteessa ja käytännössä viimekädessä kaikesta toiminnasta yrityksessä. Yrityksessä tapahtuu ja tulee tapahtua vain sellaista toimintaa, jolla on johdon tuki. Valmiussuunnittelun kannalta tämä merkitsee, että johdon on linjattava keskeisimmät valmiussuunnittelun asiat yrityksessä ja johdolle on raportoitava valmiussuunnittelun asioista säännöllisesti. Johdon panostuksen tulee heijastella valmiussuunnittelulle annettua merkitystä ja resursseja. Vähintään yksi tilaisuus on oltava vuosittain valmiussuunnittelusta vastaavan ja hänen esimiehen välillä. Keskeisimmät asiat on raportoitava vuosittain toimitusjohtajalle. Jatkuvuus- tai valmiussuunnittelulle voidaan asettaa edelleen seuraavat vaatimukset: - sillä on oltava nimetty vastuullinen johtaja, resurssit ja raportointimenettelyt - sille asetetaan vuosittain tavoitteet - sen onnistumista verrataan tavoitteisiin - sitä johdetaan yrityksen yleisenä toimintona (toimitusjohtaja ja toimialana (jatkuvuussuunnittelusta vastaava johtaja tai päällikkö, päätoiminen tai oto)) - yrityksen osilla (liiketoimintayksiköt, henkilöstö, tekniikka, tutkimus, rahoitus ) on osavastuu jatkuvuus- tai valmiussuunnittelusta. Häiriö- ja erityistilanteiden ja poikkeusolojen johtamisessa tulee noudattaa mahdollisimman pitkälle normaaliolojen vastuita ja organisaatioita. Organisaatioita ei ole suositeltavaa muuttaa kuin poikkeustapauksessa. Organisaatiot ja johtajat vastaavat siis myös oman toiminnan varautumisesta poikkeusoloihin. Hälytys- ja muiden tiedonsiirtoyhteyksien on oltava kunnossa häiriö- ja poikkeustilanteita varten. Häiriö- ja poikkeusoloissa korostuu nopea toiminta. Häiriö- ja erityistilanteissa sekä poikkeusoloissa tulee yleensä kyetä toimimaan nopeasti. Osaava ja toimivaltainen henkilöstö on saatava nopeasti kutsutuksi paikalle ja tietoiseksi tilanteesta. Tämä koskee oman henkilöstön lisäksi usein poliisia ja palokuntaa. Päivystystehtävissä olevan henkilöstön on tiedettävä hälytettävien yhteistiedot. Myös poikkeusoloissa tarvittavat yhteistoimintaosapuolten yhteystiedot on oleva ajan tasalla. Hälytys- ja muiden tiedonsiirtoyhteyksien on ehdottomasti oltava kunnossa, jotta poikkeuksellisista tilanteissa kyetään toimimaan. Jatkuvuus- ja valmiussuunnittelun huomiointi on edullisinta, kun uusia järjestelmiä suunnitellaan ja asennetaan. Henkilöstö ja sen koulutus on erittäin tärkeää yllättävistä ja poikkeuksellisista tilanteista selviämiseksi. Niissä edellytetään myös nopeaa toimintaa ja se on saavutettavissa vain osaamisen ja harjoittelun kautta. Valmiussuunnitelmat eivät ole itsetarkoitus, vaan organisaation työväline valmiussuunnittelun johtamiseen, toteuttamiseen ja seurantaan. Valmiussuunnitelmien teko ei ole helppoa. Rahoituksen saanti ei ole helppoa. Suunnitelmien teko vaatii aikaa ja ne on tarkastettava säännöllisesti. Jollain organisaatiossa tulisi olla visio, ymmärrys tarpeellisesta ja suunnittelun johto. 1.7 Vuosittaisen jatkuvuus- tai valmiussuunnittelun tilaisuus tai harjoitus yrityksessä Yrityksessä (liiketoiminnoittain) suositellaan pidettäväksi vuosittain vähintään yksi jatkuvuus- tai valmiussuunnittelun tilaisuus. Siihen kootaan alan keskeinen henkilöstö, käydään läpi edellisen vuoden tapahtumat ja mahdolliset opittavat asiat ja määritellään seuraavan vuoden toiminta. Jatkuvuussuunnittelussa ko. tilaisuuden asioita voisivat olla: - olevan tilanteen esittely Sivu 7/38

8 - etukäteistehtävien raportointi - onnettomuus- ja läheltä piti tilanteet ja niistä saadut kokemukset - vuoden aikana yrityksessä tehtyjen muutosten vaikutuksen arviointi - muualta saatujen havaintojen vaikutus (oman toimialan yritykset kotimaassa ja ulkomailla) - yrityksen seuraavan vuoden muiden toimialojen suunnitelmien vaikutus jatkuvuuteen - jatkuvuussuunnittelun tapahtumat (edellinen + seuraava vuosi) - yhteystietojen tarkastus (soittaminen ym.) (etukäteen ko. tilaisuuteen) - yhteyshenkilöiden tarkastaminen (etukäteen ko. tilaisuuteen) - varavoiman testaus, varayhteyksien testaus (etukäteen ko. tilaisuuteen) - jatkuvuussuunnitelman (osan) päivittäminen - yhden yhteistoimintaosapuolen suunnitelmien esittely tarvittavassa ja yhteistoiminnan edellyttämässä laajuudessa (resurssit, yhteystiedot, toimintamenetelmät, priorisointi jne.) - edellisen vuoden tehtävien raportointi ja tuloksista tiedottaminen - havainnot priorisoinnista omassa yrityksessä (toimipaikat, järjestelmät ja prosessit ym.). Mukana tilaisuudessa ovat jatkuvuussuunnittelun esimies, jatkuvuussuunnittelusta vastaavat ja tärkeimmät yhteistyökumppanit. Jatkuvuussuunnittelun esimies voi osallistua vain tilaisuuden lopputarkasteluun. Tilaisuuden yhteenveto on osa alan raportointia yrityksen johdolle. 1.8 Yritysten koon vaikutus 1.9 HUOVI:sta 7 Varautumiseen liittyvät velvoitteet on yleensä linjattu kolmeen ryhmään yritysten koon perusteella. Suurilla yrityksillä, joiden toiminta vaikuttaa koko yhteiskuntaa, on yleensä suurimmat velvollisuudet. Tässä ohjeessa on lähdetty liikkeelle suurten yritysten velvollisuuksista. Keskisuurien yritysten velvollisuudet ovat yleensä pienemmät kuin suurilla yrityksillä. Pienillä yrityksillä ei ole mahdollisuutta käyttää kaikkia tässä esitettyjä menettelytapoja ja keinoja. Näissä yrityksissä tulee arvioida, mitkä esitetyt toimenpiteet ovat hyödyllisiä ja kannattavia myös omassa yrityksessä. Huoltovarmuuskeskuksen HUOVI-portaalin suunnitellut palvelut ovat: - opastava työkalu jatkuvuus- ja valmiussuunnitteluun - itsearviointi- ja benchmarking- työkalu - tiedonvälityskanava - kypsyysanalyysi varautumistason arviointiin ja kehittämiseen. HUOVI-portaalin suunniteltuja palvelujen käyttäjiä ovat: - huoltovarmuuskriittiset yritykset (johto + asiantuntijat) - poolien valmiuspäälliköt ja toimikuntien jäsenet - Huoltovarmuuskeskus. 7 Aiheesta löytyy lisää mm. projektisuunnittelija Gilbert Appelgrenin esityksestä Huoltovarmuusorganisaatio ja sen toimijat : Sivu 8/38

9 1.10 Sopimuksiin perustuva varautuminen Sopimuksiin perustuva varautuminen - projekti 8 (Sopiva) on Huoltovarmuuskeskuksen tietoyhteiskuntasektorin kolmen poolin projekti vuosina Siinä on päädytty suositukseen, jonka perustella koko Suomen yrityselämän jatkuvuussuunnittelun tasoa pyritään nostamaan keskinäisin ja yhtenäisin sopimusmenettelyin vuosina Sopiva-projektin jatko merkittävä osa koko Suomen verkottuneen huoltovarmuuden kehittämistä ja jatkuvuussuunnittelua. 2 Valmiussuunnitelman johdanto 2.1 Yrityksen varautumisen tavoitteet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään jatkuvuussuunnittelun laajuus, keskeiset periaatteet ja tavoitteet. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Yrityksen varautumisen tavoitteet voivat olla: - laissa ja asetuksissa määriteltyjen velvoitteiden täyttäminen - yrityksen strategian, yrityskuvan ja arvojen toteuttaminen jatkuvuussuunnittelun keinoin ja - yrityksen turvallisuuskulttuurin toteuttaminen. Keskeinen kysymys on, nähdäänkö turvallisuus vain kulueränä vai osana yhtiön strategian toteuttamista? Yrityksen varautumisella tarkoitetaan kaikkia niitä toimenpiteitä, joilla varmistetaan tehtävien mahdollisimman häiriötön hoitaminen kaikissa turvallisuustilanteissa. Näitä toimenpiteitä ovat muun muassa valmiussuunnittelu, etukäteisvalmistelut sekä valmiusharjoitukset. Varautuminen on osa organisaation normaalia toimintaa. Varautumisessa noudatetaan voimassa olevaa lainsäädäntöä ja myös valmiussuunnitelmissa esitettyjen toimenpiteiden tulee perustua lainsäädännössä säänneltyihin toimivaltuuksiin. 9 Varautuminen on siis viranomaisten vaatimuksesta ja valvonnassa tapahtuvaa toimintaa, jolla viranomainen haluaa varmistaa yrityksen tarjoamien palveluiden saatavuuden. Yrityksen varautumisen tavoitteena on luoda ja ylläpitää organisaation riittävä valmius normaaliolojen häiriötilanteiden ja poikkeusolojen varalta. Vaatimuksia varautumiselle asettavat viranomaiset, yritys itse, kilpailutilanne ja asiakkaat. Varautumiseen käytetään yrityksen ja muiden osapuolten resursseja. Yrityksen liiketoiminnan jatkuvuuden varmistaminen on luonnollisesti myös yhtiön oman intressin mukaista. Liiketoiminnan jatkuvuus (business continuity) terminä tarkoittaa kaikkea sitä toimintaa, jolla yritys pyrkii: - parantamaan yhtiön kykyä reagoida ja toipua liiketoiminnan jatkuvuutta uhkaavista tilanteista - lisätä kriittisten tekijöiden ja riskien tuntemusta sekä näiden ymmärrystä yhtiössä - laatia toimintamalli liiketoiminnan jatkuvuuden varmistamiseksi. 8 Sopiva = Sopimuksiin perustuva varautuminen tietoyhteiskuntasektorilla. Ks. tarkemmin: 9 LVM:n valmiusohje 1/2007 s. 17 Sivu 9/38

10 Jatkuvuussuunnittelun tarkoitus on liiketoiminnan jatkuvuuden varmistaminen. Näin ollen jatkuvuussuunnittelu kattaa liiketoiminnat kokonaisuutena - ei yksinomaan tietoteknisiä järjestelmiä. 10 Yrityksen johto määrittelee jatkuvuussuunnittelun tarkoituksen, laajuuden ja tavoitteet. 11 Valmius- tai jatkuvuussuunnittelu on yrityksille tärkeää seuraavista syistä: - yrityksen toiminta voi pahimmillaan keskeytyä kokonaan jopa normaaliajan riskien toteutuessa - yrityksen toiminta jatkuu myös häiriötilanteissa (vast.) ja luo siihen luotettavuutta - jatkuvuussuunnittelun tuoma lisätehokkuus on (normaali- ja häiriötilanteissa) kilpailu- ja imagotekijä - jatkuvuussuunnittelua rahoitetaan ulkopuolelta (valtakunnallisiin kohteisiin) - valmiussuunnittelu on lainsäädännön edellyttämää toimintaa, yhteiskuntavastuuta ja saattaa käytännössä toteuttaa yrityksen arvoja. Seuraavana em. kohtia on käsitelty tarkemmin. Yrityksen toiminta voi pahimmillaan keskeytyä kokonaan jopa normaaliajan riskien toteutuessa: New Yorkin terroristihyökkäysten jälkeen muutamien yrityksien toiminta keskeytyi kokonaan koska niiden keskeiset henkilöstö-, tieto- tai tietotekniikkaresurssit tuhoutuivat. Toiminta jatkuu myös häiriötilanteissa (vast.) ja luo siihen luotettavuutta: Jatkuvuussuunnitteluna varautuminen tähtää yrityksen toiminnan jatkumiseen häiriötekijöistä huolimatta. Ääritapauksessa ( ) yrityksen olemassaolo päättyi pian onnettomuuden jälkeen sen menettäessä avainhenkilönsä ja avaintietonsa. Jatkuvuussuunnittelun tuoma lisätehokkuus on (normaali- ja häiriötilanteissa) kilpailu- ja imagotekijä: Taloudellisia vaikutuksia voidaan arvioida karkeasti esim. seuraavasti: Yrityksen (esim. TV-yhtiö) mainos-tulot ovat esim euroa tunnilta 12 prime-time aikana. Yksi kymmenen tunnin katkos tai kymmenen yhden tunnin katkosta (lähetys-)toiminnassa vuoden aikana merkitsee suoraan euron tulojen menetystä vuodessa. Useasti sattuessaan katkokset uhkaavat yrityksen uskottavuutta alan palveluiden luotettavana tarjoajana ja seurauksena voi olla asiakkaiden rahavirtojen siirtyminen kilpailijoille. Vastaavasti asiakkaiden kokema positiivinen toiminta (lähetysten jatkuminen) esim. yleisemmässä sähkökatkoksessa, jossa kilpailijoiden palvelut eivät toimi, saattaa tuoda uusia asiakkaita. Em. laskelmilla viiden prosentin liikevaihdon kasvu olisi euroa vuodessa, jokaisena häiriötilannetta seuraavana vuotena. Jatkuvuus- tai valmiussuunnittelua rahoitetaan ulkopuolelta: Jatkuvuussuunnittelua rahoittaa mm. Huoltovarmuuskeskus huoltovarmuusrahastosta. Varautumista edistävät ratkaisut edistävät usein yrityksen muutakin toimintavarmuutta. Tästä syystä myös vastuu saattaa olla jaettu, esim. (60% HVK, 40% yritys). On kyse siis HVK:n edusta (kansallinen huoltovarmuus) ja yrityksen edusta (yrityksen imago ja jatkuvuussuunnittelu). Kyse on pohjimmiltaan verkottuneen toiminnan etujen käyttämisestä, yrityksen kokonaisvaltaisesta toiminnasta ja sen johtamisesta. HVK:n rahoitus koskee lähinnä tärkeimpiä, valtakunnallisia kohteita. 10 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s n. 400 päivää a 5 tuntia parasta katselu tai kuunteluaikaa = 20 miljoonan tulot + esim. 20 miljoonaa muusta ajasta. Sivu 10/38

11 Varautuminen on yhteiskuntavastuuta, lainsäädännön edellyttämää toimintaa ja saattaa käytännössä toteuttaa yrityksen arvoja: Lainsäädäntö edellyttää tiettyjä toimia yhteiskunnan kannalta huoltovarmuuskriittisiltä yrityksiltä. Yrityksen asiakkaat ovat yhä tietoisempia ja kiinnostuneempia yritysten yhteiskuntavastuiden tai mm. ympäristöasioiden hoidosta. Tämäkin voi olla aluksi kilpailutekijä ja lopuksi toimintaa, jota on tehtävä, koska asiakkaat ja kilpailijoiden toiminta sitä edellyttävät. Yhteiskuntavastuu voi liittyä myös yrityksen arvoihin ja sitä kautta valmiussuunnittelu on keino toteuttaa tätä arvoa käytännössä. Myös muu lainsäädäntö, mm. pelastuslaki edellyttää yrityksiltä toimenpiteitä. 2.2 Yrityksen varautumisvelvoitteet Yleiset perusteet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään jatkuvuussuunnittelun yleiset perusteet, joita noudatetaan tai jotka sitovat yritystä esim. lainsäädännön osalta. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Teksti kuvaa tilannetta vuoden 2009 alussa. Yrityksille asettavat vaatimuksia seuraavat asiakirjat (vast.): - lain ja asetukset - valtioneuvoston päätökset - vastuuministeriöiden valmiusohjeet ja - keskusvirastojen, esim. Viestintäviraston määräykset sekä - muut yrityksen omat sisäiset ja ulkoiset tekijät. Em. kohtia on käsitelty tarkemmin seuraavana Lait ja asetukset Eri yrityksiä koskee vuoden 2009 alussa seuraava lainsäädäntö: - viestintämarkkinalaki (laki 393/2003) - laki televisio- ja radiotoiminasta (744/1998) - laki viranomaisten toiminnan julkisuudesta (621/1999) - laki Yleisradio Oy:stä (1380/1993) - radiolaki 2001 (1015/2001) - laki televisio- ja radiotoiminasta annetun lain muuttamisesta: velvollisuus varautua poikkeusoloihin ja välittää viranomaistiedotuksia (395/2003) - valmiuslaki (1080/1991) - perustuslaki, 23 (poikkeukset perusoikeuksiin) - sähköisen viestinnän tietosuojalaki laki huoltovarmuuden turvaamisesta (1390/1992) Seuraavat valtioneuvoston päätökset linjaavat mm. varautumista: - valtioneuvoston periaatepäätös : Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, valtioneuvoston päätös : Uudet huoltovarmuuden tavoitteet Viestintävirasto määräys 54/2008 M ( ) koskee viestintäverkkojen ja - palvelujen varmistamisesta. Määräys koskee yleisten viestintäverkkojen ja viranomaisverkkojen sekä niissä tarjottavien viestintäpalveluiden - tärkeysluokittelua - laitteistovarmistuksia ja varatiejärjestelyitä - tehonsyöttöä ja tehonsyötön varmistamista - fyysistä suojaamista. Sivu 11/38

12 2.2.3 Muut huomioitavat sisäiset ja ulkoiset asiat Edellä esitettyjen velvoittavien asioiden lisäksi yritysten varautumiseen ja jatkuvuus- tai valmiussuunnitteluun voidaan katsoa vaikuttavan: - erilaiset suositukset, esim. HVK:n poolien projektien tuloksina - sisäiset asiat kuten yrityksen strategia, arvot, sopimukset ja resurssit - ulkoiset asiat kuten esim. alihankkijat, kilpailutilanne, asiakkaat, vakuutusyhtiöt ja media - uhkat ja niiden todennäköisyys sekä vaikutus - työtapaturmat ovat myös merkittävä kustannustekijä, Suomessa 1 2 miljardia euroa vuodessa. Niihin voidaan vaikuttaa osin myös jatkuvuussuunnittelun menetelmin. 2.3 Yrityksen toimintaympäristön tarkastelu Toimintaympäristön tarkastelu ja riskiarvio Uhkat Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä kohdassa kuvataan liiketoiminnot, niiden keskinäiset riippuvuudet, niiden tarvitsemat resurssit, uhkat ja muu toimintaympäristö (sidosryhmät, asiakkaat jne.) jatkuvuussuunnittelun vaatimalla tarkkuudella yrityksen omana näkemyksenä. Liiketoimintojen kuvaaminen on osa yrityksen yleistä toiminnan hallintaa, eikä näitä kuvauksia tehdä yksinomaan jatkuvuussuunnittelun vuoksi. Jatkuvuussuunnittelutoiminto hyödyntää olemassa olevia liiketoimintojen kuvauksia tuoden niihin oman näkökulmansa ja asettaen omat vaatimuksensa kuvausten sisällölle. Jatkuvuuden varmistamisen näkökulma edellyttää, että liiketoimintojen kuvauksissa määritellään riittävällä tarkkuudella tarvittavat resurssit ja toimintojen keskinäiset riippuvuudet. 13 Jos yrityksen liiketoimintojen kuvaukset puuttuvat kokonaan tai ovat sisällöltään riittämättömiä, jatkuvuussuunnitelmien laatimisen edellytykset ovat huonot. Tällaisessa tilanteessa jatkuvuussuunnitteluvastaavan on välittömästi syytä informoida jatkuvuussuunnittelun ohjausryhmää, joka päättää suunnittelun etenemisestä. Mahdollisia toimintatapoja ovat esimerkiksi seuraavat: - liiketoimintojen kuvaukset täydennetään ennen kuin suunnittelua jatketaan - jatkuvuussuunnittelussa edetään niiden toimintojen osalta, joiden kuvaukset ovat jatkuvuussuunnittelun kannalta riittävät - suunnittelua jatketaan monille liiketoiminnoille yhteisten resurssien osalta. Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä osassa tarkastellaan yritykseen ja sen toimintaan liittyviä merkittäviä yleisiä 14 uhkia: - sähköverkon häiriöt - laiteviat - henkilöriskit - terrorismi - tietoturvallisuuden häiriöt - rikollisuus - tulipalo tai palovahinko sekä - luonnosilmiöt ja pandemia. Ohjeen mukaan uhkia on arvioitava ja/tai niihin on varauduttava riskianalyysin, jatkuvuus- tai valmiussuunnittelun tai laajemman valmiussuunnitelman mukaisina 13 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Joukkoviestintäpoolin vastaavassa ohjeessa on lisäksi käsitelty tietoliikennehäiriöt ohjelmantuotannossa, informaatiosodankäynti ja jakeluverkon häiriöt. Sivu 12/38

13 yrityskohtaisina toimenpiteinä. Luettelo ei voi olla täysin kattava eikä välttämättä yksityiskohtainen. Näihin uhkiin vastaamista on käsitelty tarkemmin alla, ensin yleisesti ja sitten uhkakohtaisesti. Yritys arvioi uhkat omalta kannaltaan ja varautuu niihin oman riskianalyysin ja omien resurssien mukaisesti. Valmius- ja jatkuvuussuunnittelu keskeinen lähtökohta on uhkien ja riskien tunnistaminen, eli mihin varaudutaan. On tärkeää myös ymmärtää, että mihin ei siis olla varauduttu. Toisaalta varautumissuunnittelun perusperiaate on kuitenkin, että järjestelyt ovat sellaisia, että voidaan varautua kaikkiin, yllättäviinkin uhkiin. Uhkia kartoitettaessa ja riskiä arvioitaessa voidaan todeta, että hyvinkin erilaisten uhkien toteutuminen aiheuttaa samanlaisia vaikutuksia. Esimerkkinä todettakoon pommiuhkauksen toteuttaminen ja toisaalta tulipalo voivat kumpikin aiheuttaa samanasteisen tuotantotilojen tms. tuhoutumisen. Arvioinnissa uhkien toteutumisen todennäköisyys on kuitenkin aivan erilainen, samoin kuin varautuminen uhkaan. Varautumisessa tulee myös ottaa huomioon mahdollisen menetyksen taloudelliset vaikutukset. Tuleeko ylivoimaisen kalliiksi varautua tiettyjen järjestelmien ja/toimintojen jatkamiseen varapaikassa, jonka ylläpito on kallista ja hankalaa. Onko tarkoituksenmukaisempaa ottaa riski liiketoiminnan keskeytymisestä erityisesti, jos kyseessä on pienehkö yritys. Samoin arvioitaessa uhkaa ja varautumista yrityksen lakisääteiset velvoitteet jatkaa toimintaa tai ylläpitää korkeaa luotettavuutta toiminnan jatkuvuudessa tulee ottaa huomioon. Yrityksen koosta, sijainnista maantieteellisestä kattavuudesta ja liiketoiminnan järjestelyistä johtuen saattaa olla tarkoituksenmukaista tarkastella myös seuraavanlaisia uhkia, jotka on riskianalyysissä koottu yhteen esimerkiksi henkilöriskiksi: - osa yrityksen toimitiloista tuhoutuu tai niihin pääsy estyy - kriittisen henkilöstön pysyvä tai tilapäinen menetys - kriittisten toimittajien, alihankkijoiden tai partnereiden toiminnan keskeytyminen, - tärkeän infrastruktuurin palvelut eivät ole käytettävissä - vähittäinen kumuloituva vahinko - esimerkiksi tietojärjestelmän tietosisällön vähittäinen korruptoituminen - toimitiloihin, tietojärjestelmiin tai muuhun yrityksen omaisuuteen kohdistuva sabotaasi - yritysvakoilu tai muu rikollinen toiminta - äkillinen tietoturvallisuusongelma, jonka vaikutukset näkyvät yrityksen ulkopuolelle - esimerkiksi laajamittainen virustartunta, tietomurto, tietovuoto tai yrityksen järjestelmiin kohdistuva palvelunestohyökkäys Yleistä uhkista Valmius- ja jatkuvuussuunnittelu keskeinen lähtökohta on uhkien ja riskien 16 tunnistaminen, eli mihin varaudutaan. On tärkeää myös ymmärtää, että mihin ei siis olla varauduttu. Tässä alaluvussa on esitetty miten yritys voi varautua eräisiin yleisempiin uhkiin, periaatteessa ja yksityiskohdissakin. Varautumissuunnittelun perusperiaate on kuitenkin, että järjestelyt ovat sellaisia, että voidaan varautua kaikkiin, yllättäviinkin uhkiin. 15 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 21 Sivu 13/38

14 Yllättäviinkin uhkiin voidaan varautua mm. seuraavilla periaatteilla: - on varauduttu koulutuksilla ja harjoituksilla useisiin erilaisiin uhkiin. Tällöin on luotu esim. osaamiselementtejä, jotka ovat käyttökelpoisia yllättävissäkin uhkissa - tuntemalla oman toimintaympäristön eri toimijat, heidän kapasiteetit ja toimintatavat - yrityksen henkilöstö muodostuu luovista, syvästi alansa tuntevista ihmisistä. Ruotsissa on todettu, että vaikka suuren palon ja internet-, teleliikenne- ja sähkökatkoksen seuraukset ovat samankokoiset, yritykset panostavat kuitenkin perinteisiin uhkiin, eli palontorjuntaan. Yli puolet (media-alan) yrityksistä on Ruotsissa (vuonna 2006) panostamassa lisää varautumiseen, erityisesti internetiin Yleistä uhkiin vastaamisesta Yleisesti uhkiin vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan 17 : 1. Yrityksen tiettyyn uhkaan liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset uhkista kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Yrityksen tiettyyn uhkaan liittyvä strategia ja siihen liittyvät periaatteet sekä liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. 3. Yrityksen periaatteet ja peruslinjaukset tiettyyn uhkaan liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Kriittisimpiä järjestelmiä ja toimintoja on varmennettu. 4. Vastuuhenkilö on laatinut yrityksen strategiasta tiettyyn uhkaan liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Uhkien kannalta kriittisimmät järjestelmät on tunnistettu. 5. On todettu, että yritykseen tarvitaan strateginen linjaus ko. uhkaan liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä ko. uhkaan liittyen. 6. On tiedostettu, että uhkalle pitää tehdä jotain. Reagointi on kertaluonteista. Kokemuksia ei kerätä. Kirjallisia ohjeita ei ole. 7. Uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu kertaluonteiseen, vain tätä tapausta koskevaan toimintaan (ad hoc) ja on kertaluonteista jokaiseen uhkaan liittyen. Muuten yleisesti uhkista: 1. Kaikki tavoitteellinen toiminta lähtee ymmärtämisestä. On ymmärrettävä ensin oman toiminnan luonne ja sitten siihen liittyvät uhkat. 2. Jatkuvuussuunnittelun avainvaihe on yrityksen kokonaistoiminnan ymmärtäminen edellisen kohdan mukaisesti, kokonaistoimintaan perustuva toimintojen priorisointi ja tärkeimpien kohteiden löytäminen. 17 Lista on periaatteellinen. Yleisperiaatteena on, että alemmat toimenpiteet (vast.) ovat toteutuneet kun siirrytään ylempään. Sivu 14/38

15 3. Henkilöstö ja sen osaaminen on mm. uhkiin vastaamisen keskeinen, ellei keskeisin resurssi. Vain sitä voidaan osata, mistä on saatu koulutus, kokemuksia ja ymmärrystä. 4. Toimenpiteet kohdistetaan tärkeimpiin järjestelmiin ja tärkeimpiin uhkiin. Arviointia siitä, mitkä ovat tärkeimpiä järjestelmiä ja uhkia suoritetaan säännöllisesti. 5. Tärkeitä järjestelmiä tai toimintoja (vast.) ovat mm. sellaiset, joita tarvitaan kaikissa tai useissa erilaisissa uhkissa. 6. Uhkiin varautumiseen vaikuttavat monet tekijät mm. lainsäädäntö ja muut viranomaismääräykset, uhkien todennäköisyys ja vaikutus, yrityksen strategiset linjaukset, käytössä olevat resurssit, kilpailutilanne ja asiakkaiden vaatimukset. 7. Uhkiin varautuminen on oltava yrityksen normaalia toimintaa, josta on tiedettävä kaikkien niiden, joihin ko. uhka vaikuttaa ja jotka ko. uhkaan ja sen toteutumiseen voivat vaikuttaa. Toisaalta kaikista uhkista ei ole tarpeen, että kaikki tietävät niistä. 8. Erilaisiin todennäköisiin uhkiin varautuminen, niihin liittyvä koulutus ja harjoittelu luovat myös yleistä valmiutta ja sitä kautta mahdollisuutta kohdata muitakin uhkia. 9. On hyvä määrittää uhkaan liittyvä minimitaso, joka on huomioitava joka puolella yritystä. Alla on esitetty tarkemmin uhkakohtaisesti eräisiin yleisempiin uhkiin varautumista Sähköverkon häiriöt Toteutusperiaatteita jatkuvuussuunnittelulle koskien sähköverkon häiriöitä vaativimmasta vaatimattomimpaan: 1. Yrityksen sähköverkon häiriöihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Strategiaa ja ohjeita päivitetään säännöllisesti. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset sähköverkon häiriöistä kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Yrityksellä on koko rakennuksen, lähetinaseman tai vastaavan kaiken sähkönkulutuksen kattava keskeytyksettömän virransyötön takaava varavoimalaitteisto. Sitä testaan säännöllisesti. 2. Yrityksen sähköverkon häiriöihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. Yrityksellä on varavoimalaitteisto tai akusto, joka kattaa vain osan rakennuksen, lähetinaseman tai vastaavan sähkönkulutuksesta. Säännöstely on suunniteltava erikseen ja sitä varten on tehty suunnitelma. 3. Yrityksen periaatteet ja peruslinjaukset sähköverkon häiriöihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Yrityksellä on olemassa vain kriittisimmän laitteiston kattava erillinen virransyöttöverkko ja siihen varavoima tai akusto. 4. Edellinen ilman omaa voimakonetta, mutta sen liitäntämahdollisuudella. Varavoima ja akusto kattaa vain kriittisimmän laitteiston hallitun alasajon. 5. Sähkön syötön varmennus kahdesta eri suunnasta ja eri syötöstä. Sivu 15/38

16 6. Vastuuhenkilö on laatinut yrityksen strategiasta sähköverkon häiriöihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. 7. On todettu, että yritykseen tarvitaan strateginen linjaus sähköverkon häiriöihin liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä sähköverkon häiriöihin liittyen. Sähköverkon häiriöiden kannalta kriittisimmät järjestelmät on tunnistettu. 8. Normaali akkukäyttöisyyteen perustuva varmennus joillekin kriittisimmille laitteille ihmishenkien pelastamiseksi tai suurien aineellisten tuhojen estämiseksi (kannettava, kännykkä). On saatu havaintoja sähkösyötön häiriöiden vaikutuksesta liiketoimintaan. 9. On ajateltu em. häiriöitä ja pohdittu toimintavaihtoehtoja. Valmius on vain ajatuksellista. Kirjallisia ohjeita ei ole sähköverkon häiriötilanteiden varalle. 10.Sähköverkon häiriötilanteita on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 11.Sähköverkon häiriöihin liittyviä uhkia ei ole tiedostettu. Mitään erityisiä omia toimenpiteitä ei ole. Tilanteet otetaan sellaisena kuin ne tulevat. Ei ennakkopohdintoja tai valmisteluja. Ei havaintoja sähkösyötön häiriöiden vaikutuksesta liiketoimintaan. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Oli jatkuvuussuunnittelun sovellutustaso sähköverkon varmistamiseksi mikä tahansa, niin aina on: 1. ymmärrettävä, että sähkön loppuessa monen yrityksen toiminta käytännössä loppuu ko. ajaksi. 2. oltava selvillä miten sähkökatko vaikuttaa laitteisiin ja järjestelmiin, jotta riskit ovat hallinnassa. 3. oltava suunnitelma ja perustoimintaohjeet omasta toiminnasta, vaikka varmentavia ratkaisuja ei olisi tehty ollenkaan. 4. Henkilöstö on koulutettu olevien ratkaisujen käyttöön. 5. Olevat ratkaisut on testattava säännöllisesti ja pidettävä kunnossa. Varavoimakoneille on oltava polttoainetta ainakin muutamaksi vuorokaudeksi ja on tiedettävä mistä ja miten polttoainetta saa lisää poikkeusoloissa Sähköverkon häiriöt voivat syntyä montaa kautta, mm. vikaantumisen, luonnonilmiön, onnettomuuden, tulipalon tai inhimillisen erehdyksen seurauksena. Muutamia yleisiä huomioita Ruotsin suuresta sähkökatkoksesta 2003: 1. Sähköisen joukkoviestinnän osalta merkittävin johtopäätös Ruotsista oli, että sähköhäiriö lopettaa eri syistä toimitustyön. 2. Varavoima ja akustot eivät vielä takaa keskeytyksetöntä sähkönsyöttöä. Tarvitaan mm. säännöllisiä testejä ja osaavaa henkilöstöä. 3. Verkkovirran palattua sitä ei kannata kytkeä heti päälle, koska se saattaa olla vielä epästabiilia. 4. Varavoiman polttoaineen saanti on tärkeää pidemmissä katkoksissa. 5. Tulisi olla menettely, jolla henkilöstö saa tiedon varavoimaan siirtymisestä. 6. Luotettaessa yhä enemmän elektronisiin tietojärjestelmiin voi sähkökatkon seurauksena olla se, että toiminnalle tärkeää ja välttämätöntä tietoa, esim. elektronisia puhelinluetteloja, ei ole käytössä. Tämä voi vaikeuttaa kriisin hallintaa Yksittäisten toimijoiden kriisissä selviämiseen vaikuttavat suuresti ne resurssit ja reservimahdollisuudet, joita on rakennettu, samoin mentaaliset ja käytännön toimintakyvyt, joita organisaatiossa on ennen kriisiä. 8. Sähkö on aivan keskeinen resurssi ja sen puute vaikuttaa yllättävissäkin paikoissa. 18 Siis esim. kun huoltoasemien sähköllä toimivat pumput eivät toimi. 19 Em. syystä koko rakennuksen (vast.) kattava varavoima on yksi perusratkaisu, jos todella halutaan toiminnan jatkuvan myös poikkeusoloissa. Sivu 16/38

17 Laiteviat Toteutusperiaatteita jatkuvuussuunnittelulle koskien laitevikoja vaativimmasta vaatimattomimpaan: 1. Yrityksen laitevikoihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten ja laitevalmistajien kokemukset laitevioista kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Yrityksen laitteet ja järjestelmät on kahdennettu tai N+1 varmennettu ja yrityksellä on oma huoltokyky ja vähintään kuuden kuukauden varaosavarasto. 2. Yrityksen laitevikoihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida laitevioista. Yrityksen kaikki tärkeimmät laitteet ja järjestelmät on kahdennettu tai N+1 varmennettu ja yrityksellä on ulkoistettu huoltokyky ja varaosavarasto. 3. Yrityksen periaatteet ja peruslinjaukset laitteistovikoihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Kriittisimmät järjestelmät tai laitteet on varmennettu. 4. Vastuuhenkilö on laatinut yrityksen strategiasta laitteistovikoihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Laitteistovikojen kannalta kriittisimmät järjestelmät on tunnistettu. 5. On todettu, että yritykseen tarvitaan strateginen linjaus laitteistovikoihin liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä laitteistovikoihin liittyen. 6. On tiedostettu, että laitteistovioille pitää tehdä jotain. Reagointi on kertaluonteista. Kokemuksia ei kerätä. Kirjallisia ohjeita ei ole. 7. Laitteistovikoihin liittyviä uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Laitteistovikoihin liittyviä uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen Henkilöriskit Toteutusperiaatteita jatkuvuussuunnittelulle koskien henkilöstöriskejä vaativimmasta vaatimattomimpaan: 1. Yrityksen henkilöstöriskeihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset henkilöstöriskeistä kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Jokaiselle henkilölle on määritelty sijainen ja hänet on koulutettu ko. tehtävään. Sijaisuutta harjoitellaan säännöllisesti. Jokaisen tehtävä koulutustarvetta arvioidaan säännöllisesti ja tarvittava koulutus toteutetaan. 2. Yrityksen henkilöstöriskeihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida henkilöstöriskeihin liittyen. Jokaiselle Sivu 17/38

18 Terrorismi avainhenkilölle on määritelty sijainen ja hänet on koulutettu ko. tehtävään. Sijaisuutta harjoitellaan säännöllisesti. Avainhenkilöiden tehtäviin liittyvää koulutustarvetta arvioidaan säännöllisesti ja tarvittava koulutus toteutetaan. 3. Yrityksen periaatteet ja peruslinjaukset henkilöstöriskeihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Yrityksen henkilöriskeihin liittyvä strategia on jalkautettu yrityksen liiketoimintayksiköihin ja henkilöriskeistä raportoidaan normaalin johtamistoiminnan osana. 4. Vastuuhenkilö on laatinut yrityksen strategiasta henkilöstöriskeihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Henkilöstöä jatkokoulutetaan tarpeen mukaan tehtäviinsä. 5. Yrityksen avainhenkilöt on kartoitettu ja erityisesti heistä pidetään huolta. Henkilöstöriskien toteutumista seurataan ja siitä raportoidaan. 6. Yrityksellä on henkilöstöriskeihin liittyvä yleinen strategia, jota toteutetaan. Vuosittain pidetään kehityskeskustelut, joissa arvioidaan mm. koulutustarvetta, uusia tai poistuneita tehtäviä, saavutettuja tuloksia, palkkaa ja seuraavan vuoden tehtäviä. 7. Poikkeusoloissa tarvittavan henkilöstön VAP-anomukset on tehty ja niitä päivitetään vuosittain 8. Henkilöstöön liittyviä riskejä on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään 9. Henkilöstöön liittyvät riskit toteutuvat yllättäen eikä niitä varten ole olemassa mitään suunnitelmia tai yrityksen linjauksia. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Oli jatkuvuussuunnittelun sovellutustaso henkilöstöriskeihin mikä tahansa, niin aina: 1. On ymmärrettävä, että henkilöstö ja sen osaaminen on yleisesti ja erityisesti jatkuvuussuunnitteluun liittyen yrityksen tärkein voimavara 2. Edelliseen liittyen usean elintärkeän tai prosentuaalisesti suuren henkilöstömäärän yhtäaikainen menetys voi toteutuneiden tapausten mukaan jopa tuhota koko yrityksen 3. Henkilöstö osaa vain sitä mihin se on saanut koulutuksen ja mitä se on harjoitellut (mistä sillä on kokemuksia). Tämä korostuu häiriö- ja onnettomuustilanteissa sekä jatkuvuussuunnitteluun liittyvissä tilanteissa. Valtiojohdolla ja poliisilla on päävastuu terrorismiin varautumisessa. Todennäköisillä kohteilla, eli suurimmilla ja tärkeimmillä yrityksillä on velvollisuus seurata terrorismiuhkan kehittymistä yhdessä valtiojohdon ja poliisin kanssa Tietoturvallisuuden häiriöt Yleisesti tietoturvallisuuden uhkiin vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen tietoturvaan liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Yrityksellä on tietoturvaa 24/7 valvova yksikkö, joka pystyy puuttumaan verkon toimintaan välittömästi. 2. Yrityksen tietoturvauhkaan liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Sivu 18/38

19 Rikollisuus Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida uhkasta. Yrityksellä on omaa tai ostettua valvontaa verkoissaan. 3. Yrityksen periaatteet ja peruslinjaukset tietoturvauhkaan liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Yrityksen tietojärjestelmät ja laitteet on standardoitu ja niitä ylläpidetään keskitetysti. Yritys on huoltovarmuuskriittisille yrityksille tarkoitettujen CERT-FI palveluiden käyttäjä. Yrityksellä on salasanapolitiikka, jota toteutetaan ja valvotaan. 4. Tietoturvapäällikkö on laatinut yrityksen strategiasta tietoturvauhkaan liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Yrityksellä on käytössä automaattisesti päivittyvä virusturva, palomuurit ja ohjelmistopäivitykset. 5. On todettu, että yritykseen tarvitaan strateginen linjaus tietoturvauhkaan liittyen. On määritelty vastuuhenkilö, tietoturvapäällikkö uhkaan liittyen. 6. On tiedostettu, että tietoturvauhkalle pitää tehdä jotain. Reagointi on kertaluonteista. 7. Uhka on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Uhkaa ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Muuten yleisesti tietoturvan häiriöistä: 1. Yritykset ovat kasvavasti riippuvaisempi tiedosta. Tietoturvan hoitamisessa ei globaalissa maailmassa ole muuta keinoa kuin ammattimaisuus ja riittävät resurssit. 2. Yritys saattaa olla myös tietoturvahyökkäysten kohde, jopa Suomessa. Yleisesti rikollisuuteen vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen rikollisuuteen liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset rikollisuudesta kerätään ja analysoidaan. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Yrityksen rikollisuuteen liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida rikollisuuteen liittyen. 3. Yrityksen periaatteet ja peruslinjaukset rikollisuuteen liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset rikollisuudesta kerätään ja analysoidaan. 4. Vastuuhenkilö on laatinut yrityksen strategiasta rikollisuuteen liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Rikollisuuden kannalta kriittisimmät järjestelmät, palvelut tai tilanteet on tunnistettu. 5. On todettu, että yritykseen tarvitaan strateginen linjaus rikollisuuteen liittyen. On määritelty vastuuhenkilö, tyypillisesti turvallisuuspäällikkö rikollisuuteen liittyen. 6. On tiedostettu, että rikollisuudelle pitää tehdä jotain. Reagointi on kertaluonteista. Sivu 19/38

20 7. Rikollisuuden uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Rikollisuuden uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Muuten uhkista rikollisuuden uhkasta: 1. Rikollisuus aiheuttaa yritykselle monenlaisia uhkia. Tällaisia ovat esimerkiksi varkaudet, petokset, ryöstöt, murrot, tuhopoltot, pommiuhkaukset, yritysvakoilu, työntekijöiden murhat, sieppaukset ja ahdistelut sekä muut vahingonteko. 2. Varautumista helpottaa, että samankaltaisilla toimenpiteillä voidaan pienentää monien eri uhkien todennäköisyyttä ja vaikutusta. Vartiointi, kulunvalvonta, lukitukset, kameravalvonta henkilöiden identifiointi ja vastaavat toimenpiteet ovat keskeisiä näitä uhkia torjuttaessa Tulipalo tai palovahinko Yleisesti tulipaloihin varautumisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen tulipaloihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Ulkopuolisten kokemukset tulipaloista tai niiden uhkista kerätään ja analysoidaan. Yrityksellä on päätoimisesti paloturvallisuusasioita hoitava henkilö ja oma koulutettu palokunta tai sammutusryhmä. 2. Yrityksen tulipaloihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tulipaloihin liittyen. Yrityksellä on sivutoimisesti paloturvallisuusasioita hoitava henkilö sekä koulutettu ja toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu ja ajantasaiset. Kaikki tärkeimmät ja haavoittuvimmat kohteet on suojattu omaehtoisesti automaattisilla sammutusjärjestelmillä, muissa toimitiloissa on kattava automaattinen paloilmoitinjärjestelmä. Alkusammutuskalustoa on riittävästi ja ne huolletaan ja tarkastetaan säännöllisesti. 3. Yrityksen periaatteet ja peruslinjaukset tulipaloihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Yrityksellä on oman toimen ohessa paloturvallisuusasioita hoitava henkilö sekä koulutettu ja toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu ja ajantasaiset. Kriittisimmät kohteet on suojattu omaehtoisesti automaattisilla sammutusjärjestelmillä, muissa toimitiloissa on kattava automaattinen paloilmoitinjärjestelmä. 4. Yrityksessä on laadittu yrityksen strategiasta tulipaloihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Yrityksellä on oman toimen ohessa turvallisuusasioita (ml. paloturvallisuusasioita) hoitava henkilö sekä koulutettu ja toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu ja ajantasaiset. Osa tärkeimmistä ja haavoittuvimmista kohteista on suojattu omaehtoisesti automaattisilla sammutusjärjestelmillä, muissa toimitiloissa on kattava automaattinen paloilmoitinjärjestelmä. 5. On todettu, että yritykseen tarvitaan strateginen linjaus tulipaloihin liittyen. On määritelty turvallisuusasioista vastaava henkilö. Yrityksellä on oman toimen Sivu 20/38