Valmiuspäällikkö Sakari Ahvenainen. Jatkuvuussuunniteluohje hvk-yrityksille. Helsingin TIVA ja joukkoviestintäpooli (JVP)

Transkriptio

1 Valmiuspäällikkö Sakari Ahvenainen Helsingin TIVA ja joukkoviestintäpooli (JVP) Jatkuvuussuunniteluohje hvk-yrityksille Etelä-Suomen TIVA:n toimikuntien alueseminaari Helsinki

2 JVP:n ohje valmiussuunnitelman laatimisesta: Perusteita 1/2 Joukkoviestintäpooli laati ohjeen valmius- (jatkuvuus-)suunnitelman laatimisesta sähköisen joukkoviestinnän yrityksille (46 sivua). Kyse oli LVM:n valmiusohjeen 1/ sivuisen liitteen Valmiussuunnitelman runko laajennuksesta Ohjeesta laadittiin yleinen versio ilman viittauksia sähköiseen joukkoviestintään (38 sivua) Keskeinen lähde: Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit. Master of security lopputyö, Monikko Oy Espoo 2003

3 JVP:n ohje valmiussuunnitelman laatimisesta: Perusteita 2/2 Valmiussuunnittelu: Laki ja varautumisvelvollisuus. Viranomainen vastaa. Erilaista valmistautumista poikkeuksellisiin tilanteisiin, äärimmillään sotaan Jatkuvuussuunnittelu: Yrityksen omaa toimintaa. Yritys vastaa. Erilaista valmistautumista poikkeuksellisiin tilanteisiin. Sota: Viranomainen Suurhäiriö (suuri myrsky, järjestelmien varmistaminen): Viranomainen + yritykset Pienhäiriö (laitevika): Yritykset

4 Ohje valmius-suunnitelman (vasu) laatimisesta: Sisällysluettelo 1 Valmiussuunnitelman laatimisesta Johdanto Valmius- vai jatkuvuussuunnitelma Valmiussuunnittelun periaatteelliset kypsyystasot Jatkuvuus- ja valmiussuunnitelman laatimisesta, testauksesta, ylläpidosta ja r apor toinnista Valmiussuunnittelu prosessina Valmiussuunnittelun periaatteita Vuosittaisen jatkuvuus- tai valmiussuunnittelun tilaisuus tai har joitus yr ityksessä Yritysten koon vaikutus HUOVI:sta Sopimuksiin perustuva varautuminen 9 2 Valmiussuunnitelman johdanto Yrityksen varautumisen tavoitteet Yrityksen varautumisvelvoitteet Yrityksen toimintaympäristön tarkastelu 12 3 Hallinnollinen varautuminen Yrityksen varautumisen yleisjärjestelyt Yrityksen varautumisen avainalueet Suunnitteluhierarkia Yrityksen johtamistoiminta poikkeusoloissa Henkilöstön käyttö poikkeusoloissa ja VAP Tur vallisuusjär jestelyt Pelastussuunnitelma Varautumiskoulutus Varautumisharjoitukset 32 4 Toiminnallinen varautuminen Tietojenkäsittelyn ja tiedonsiirron turvaaminen Energiansaannin turvaaminen Toimitilojen ja henkilöstön suojaaminen 34 5 Materiaalinen varautuminen Materiaalisen varautumisen tavoite ja osa-alueet Ajoneuvojen, työkoneiden ja tilojen saannin varmistaminen Ostopalvelut, alihankkijat, ulkoistus ja tuotantoketjut 35 6 Yhteistoiminta Yleiset yhteistoimintajär jestelyt Kohteiden vartiointi poikkeusoloissa Kansainvälisten yhteyksien varmistaminen Raportointi ja tarkastukset Viestintäsuunnitelma er i tur vallisuustilanteisiin 36 7 Toiminta ja toimenpiteet häiriö- ja erityis- tilanteissa sekä poikkeusoloissa 37

5 Jatkuvuussuunnittelu prosessina Ver tailu (erot)

6 Jatkuvuussuunnittelun kypsyystasot 1. Toimintoketjun häiriöiden vaikutuksia ei tiedosteta. Ongelmiin ei reagoida. 2. Toimintoketjun häiriöiden vaikutukset tiedostetaan. Ongelmiin reagoidaan vasta niiden tapahduttua. 3. Jatkuvuuden hoidon perusvastuut on määritelty, ei ole kirjallista suunnitelmaa. Toimintoketjun epäjatkuvuuksia saattaa olla kokemusta ja toimialan kokemuksista tietoa. Häiriöiden vaikutuksia on kartoitettu. 4. Toimitusketjun operatiivinen toiminta häiriötilanteissa on ohjeistettu, jolloin myös johtaminen, suunnittelu ja testaus on vastuutettu. Johto tunnistaa jatkuvuuden tarpeen. 5. Toimitusketjun häiriötilanteet havaitaan "mittareilla", kriittiset tehtävät ja palvelut on varmistettu. Johdolle tuotetaan raportit jatkuvuustilanteesta. Henkilökuntaa koulutetaan. Suunnitelman ylläpito on vastuutettu. 6. Toimintaa häiriötilanteissa on testattu ja harjoiteltu. Tulokset otettu huomioon ja suunnitelmaa ylläpidetään säännöllisesti. Ulkoisten toimijoiden palvelutason säilyminen on varmistettu sopimuksin ja auditoinnein. Kriittisiä palveluja on kahdennettu. Jatkuvuussuunnittelusta ja sen kehittämisestä ja johtamisesta on useamman vuoden kokemuksia. Näiden periaatteellisten kypsyystasojen perusteella voidaan arvioida yrityksen valmiustai jatkuvuussuunnittelun sen hetkinen taso. Arviointi helpottaa myös määrittelemään ne toimenpiteet, joilla valmiussuunnittelun tasoa voidaan tarvittaessa nostaa

7 Jatkuvuussuunnittelun periaatteita 1. Vastuut eivät saa muuttua häiriö- ja eritystilanteissa tai poikkeusoloissa 2. Hälytys- ja muiden tiedonsiirtoyhteyksien ja yhteystietojen oltava jatkuvasti kunnossa 3. Jatkuvuussuunnittelun huomiointi jo järjestelmiä rakennettaessa on edullisinta 4. Ennaltaehkäisy on parasta 5. Henkilöstö ja sen koulutus on avainasemassa 6. Suunnitelmat on testattava ja päivitettävä 7. Vastuu on jaettu valtion ja yrityksien kesken 8. Vastuut jakautuvat myös yritysten koon mukaan 9. Pohjana on riskikartoitus ja tärkeisiin järjestelmiin keskittyminen 10. Jatkuvuussuunnittelu ja valmiussuunnittelu eivät ole kertasuoritteita, vaan yrityksen normaalitoimintaan liittyviä prosesseja 11. Käytettävissä oleviin teleyhteyksiin liittyen toiminnan pohjana on normaaliajan määritellyt vastuut, joita täydennetään suunnitelmilla ja lopulta tilanteenmukaisella toiminnalla.

8 Yrityksen varautumisen tavoitteet voivat olla: 1. Laissa ja asetuksissa määriteltyjen velvoitteiden täyttäminen 2. Yrityksen strategian, yrityskuvan ja arvojen toteuttaminen jatkuvuussuunnittelun keinoin ja 3. Yrityksen turvallisuuskulttuurin toteuttaminen. Keskeinen kysymys on, nähdäänkö turvallisuus vain kulueränä vai osana yhtiön strategian toteuttamista?

9 Valmius- tai jatkuvuussuunnittelu on yrityksille tärkeää seuraavista syistä: 1. Yrityksen toiminta voi pahimmillaan keskeytyä kokonaan jopa normaaliajan riskien toteutuessa 2. Yrityksen toiminta jatkuu myös häiriötilanteissa (vast.) ja luo siihen luotettavuutta 3. Jatkuvuussuunnittelun tuoma lisätehokkuus on (normaalija häiriötilanteissa) kilpailu- ja imagotekijä 4. Jatkuvuussuunnittelua rahoitetaan ulkopuolelta (valtakunnallisiin kohteisiin) 5. Valmiussuunnittelu on lainsäädännön edellyttämää toimintaa, yhteiskuntavastuuta ja saattaa käytännössä toteuttaa yrityksen arvoja.

10 Taloudellinen näkökulma: 1. Yritys, esim: 20 M tulot, 2000 h Prime-time mainosaikaa vuodessa. 2. Tunti pois = suoraan tappiot joka tunnilta 3. Epäluotettavan toimittajan leima, 5 % siirto kilpailijoille = tulojen menetys joka vuosi Johtopäätös: Välillinen menetys merkittävämpi. Oltava vähintään kilpailijoiden tasolla.

11 Vastuu ja asiakirjatasot yrityksessä Toimitusjohtaja vastaa kaikesta. Resurssit ja yleisperiaatteet. Yleisstrategia. Vasu-vastuuhenkilö johtoryhmässä vastaa vasu:sta ja sen integroinnista yrityksen kokonaisuuteen. Vasu-strategia. Valmiuspäällikkö tai asiantuntija vastaa vasu:sta kokonaisuutena. Yleisperiaatteet ja organisointi. Toteutuksen yleisorganisointi ja ohjeet. Liiketoimintayksikön johto vastaa vasu:n operaatiivisesta ohjeistuksesta ja toteutuksesta liiketoimintayksikössä yrityksen vasu:n yleisohjeiden mukaan. Muut johtajat ja työntekijät vastaavat vasu:n käytännön toteutuksesta omassa toiminnassa yrityksen liiketoimintayksikön ohjeiden mukaan. Vasu-asiat ko. henkilöiden työtehtävissä ja esim. vuosittaissa kehityskeskusteluissa

12 Uhkista Yleistä uhkista Yleistä uhkiin vastaamisesta (kypsyystasot) Sähköverkon häiriöt (kypsyystasot + erityistä ko. uhkasta yleensä) Laiteviat (kypsyystasot + erityistä ko. uhkasta yleensä) Henkilöriskit (kypsyystasot + erityistä ko. uhkasta yleensä) Terrorismi (kypsyystasot + erityistä ko. uhkasta yleensä) Tietoturvallisuuden häiriöt (kypsyystasot + erityistä ko. uhkasta yleensä) Rikollisuus (kypsyystasot + erityistä ko. uhkasta yleensä) Tulipalo tai palovahinko sekä (kypsyystasot + erityistä ko. uhkasta yleensä) Luonnosilmiöt ja pandemia (kypsyystasot + erityistä ko. uhkasta yleensä)

13 Yleisesti uhkista 1/2 1. Kaikki tavoitteellinen toiminta lähtee ymmärtämisestä. On ymmärrettävä ensin oman toiminnan luonne ja sitten siihen liittyvät uhkat. 2. Jatkuvuussuunnittelun avainvaihe on yrityksen kokonaistoiminnan ymmärtäminen edellisen kohdan mukaisesti, kokonaistoimintaan perustuva toimintojen priorisointi ja tärkeimpien kohteiden löytäminen. 3. Henkilöstö ja sen osaaminen on mm. uhkiin vastaamisen keskeinen, ellei keskeisin resurssi. Vain sitä voidaan osata, mistä on saatu koulutus, kokemuksia ja ymmärrystä. 4. Toimenpiteet kohdistetaan tärkeimpiin järjestelmiin ja tärkeimpiin uhkiin. Arviointia siitä, mitkä ovat tärkeimpiä järjestelmiä ja uhkia suoritetaan säännöllisesti. 5. Tärkeitä järjestelmiä tai toimintoja (vast.) ovat mm. sellaiset, joita tarvitaan kaikissa tai useissa erilaisissa uhkissa. Esim. johtaminen, tilannekuva ja tiedonsiirto.

14 Yleisesti uhkista 2/2 6. Uhkiin varautumiseen vaikuttavat monet tekijät mm. lainsäädäntö ja muut viranomaismääräykset, uhkien todennäköisyys ja vaikutus, yrityksen strategiset linjaukset, käytössä olevat resurssit, kilpailutilanne ja asiakkaiden vaatimukset. 7. Uhkiin varautuminen on oltava yrityksen normaalia toimintaa, josta on tiedettävä kaikkien niiden, joihin ko. uhka vaikuttaa ja jotka ko. uhkaan ja sen toteutumiseen voivat vaikuttaa. Toisaalta kaikista uhkista ei ole tarpeen, että kaikki tietävät niistä. 8. Erilaisiin todennäköisiin uhkiin varautuminen, niihin liittyvä koulutus ja harjoittelu luovat myös yleistä valmiutta ja sitä kautta mahdollisuutta kohdata muitakin uhkia. 9. On hyvä määrittää uhkaan liittyvä minimitaso, joka on huomioitava joka puolella yritystä.

15 Uhkiin vastaamisesta 1/2 1. Strategia, perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa ja integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen. Toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Uhkaan liittyvä toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset uhkista kerätään ja hyödynnetään. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. 3. On laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Kriittisimpiä järjestelmiä ja toimintoja on varmennettu. 4. Vastuuhenkilö on laatinut yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Uhkien kannalta kriittisimmät järjestelmät on tunnistettu.

16 Uhkiin vastaamisesta 2/2 5. On todettu, että yritykseen tarvitaan strateginen linjaus ko. uhkaan liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä ko. uhkaan liittyen. 6. On tiedostettu, että uhkalle pitää tehdä jotain. Reagointi on kertaluonteista. Kokemuksia ei kerätä. Kirjallisia ohjeita ei ole. 7. Uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu kertaluonteiseen, vain tätä tapausta koskevaan toimintaan (ad hoc) ja on kertaluonteista jokaiseen uhkaan liittyen.

17 Kysymyksiä, kommentteja? Kiitos mielenkiinnosta! Sakari Ahvenainen sakar Koko ohje löytyy HVK:n sivuilta (Etusivu - Ajankohtaista Seminaarit ja artikkelit): muus.fi/documents/7/ _tiva-seminaar i_rovaniemi_ahvenainen-2.pdf