OHJE VALMIUSSUUNNITELMA LAATIMISESTA

Transkriptio

1 OHJE VALMIUSSUUNNITELMA LAATIMISESTA (Versio , Yleinen 1 ) 1 Tämä versio on HVK:n joukkoviestintäpoolin projektin 1/2008 Ohje valmiussuunnitelman laatimisesta sähköisen joukkoviestinnän yritykselle tuloksesta tehty riisuttu versio, josta on poistettu vain sähköisen joukkoviestinnän yritykseen liittyvät osat ja viittaukset.

2 VALMIUSSUUNNITELMAN SISÄLLYSLUETTELO 1 Valmiussuunnitelman laatimisesta Johdanto Valmius- vai jatkuvuussuunnitelma Valmiussuunnittelun periaatteelliset kypsyystasot Jatkuvuus- ja valmiussuunnitelman laatimisesta, testauksesta, ylläpidosta ja raportoinnista Valmiussuunnittelu prosessina Valmiussuunnittelun periaatteita Vuosittaisen jatkuvuus- tai valmiussuunnittelun tilaisuus tai harjoitus yrityksessä Yritysten koon vaikutus HUOVI:sta Sopimuksiin perustuva varautuminen Valmiussuunnitelman johdanto Yrityksen varautumisen tavoitteet Yrityksen varautumisvelvoitteet Yleiset perusteet Lait ja asetukset Muut huomioitavat sisäiset ja ulkoiset asiat Yrityksen toimintaympäristön tarkastelu Toimintaympäristön tarkastelu ja riskiarvio Uhkat Keskeytysriskien liiketoimintavaikutusten analyysi Hallinnollinen varautuminen Yrityksen varautumisen yleisjärjestelyt Varautumisen organisointi ja sen tehtävät yleensä Toimitusjohtaja Yrityksen valmiussuunnittelun vastuuhenkilö Valmiuspäällikkö tai -asiantuntija Liiketoimintayksiköiden johto ja työntekijät Yrityksen varautumisen avainalueet Suunnitteluhierarkia Yrityksen johtamistoiminta poikkeusoloissa Yleistä Kriisijohtamisesta Kriisitilanteiden johtamiseen liittyvistä resurssitarpeista Henkilöstön käyttö poikkeusoloissa ja VAP Turvallisuusjärjestelyt Pysyvät turvatoimet Porrastetut turvatoimet Pelastussuunnitelma Varautumiskoulutus Varautumisharjoitukset Toiminnallinen varautuminen Tietojenkäsittelyn ja tiedonsiirron turvaaminen Energiansaannin turvaaminen Toimitilojen ja henkilöstön suojaaminen Materiaalinen varautuminen Materiaalisen varautumisen tavoite ja osa-alueet Ajoneuvojen, työkoneiden ja tilojen saannin varmistaminen Ostopalvelut, alihankkijat, ulkoistus ja tuotantoketjut Sivu 2/38

3 6 Yhteistoiminta Yleiset yhteistoimintajärjestelyt Kohteiden vartiointi poikkeusoloissa Kansainvälisten yhteyksien varmistaminen Raportointi ja tarkastukset Viestintäsuunnitelma eri turvallisuustilanteisiin Toiminta ja toimenpiteet häiriö- ja erityistilanteissa sekä poikkeusoloissa Liite: Käytetyt lyhenteet Sivu 3/38

4 1 Valmiussuunnitelman laatimisesta 1.1 Johdanto Tämän ohjeen pohjalla on joukkoviestintäpoolin projektin 1/2008 Ohje valmiussuunnitelman laatimisesta sähköisen joukkoviestinnän yritykselle tuloksena syntynyt ohje, josta on poistettu vain sähköisen joukkoviestinnän yritykseen liittyvät asiat ja viittaukset. Tätä ohjetta käyttäviä pyydetään kommentoimaan ohjeen käyttökelpoisuudesta, muutostarpeita ym. joukkoviestintäpoolin sihteeriä Päivitetystä aineistosta informoidaan vuosittain niitä, jotka ovat suunnitelmaa kommentoineet tai ovat muuten ilmoittautuneet joukkoviestintäpoolin sihteerin vastaavalle jakelulistalle. Tässä ohjeessa esitetään valmius- tai jatkuvuussuunnitelman laatimisen perusteita huoltovarmuuskriittisille yrityksille. Ohje soveltuu pitkälti myös kaikkien yritysten jatkuvuussuunnittelun apuvälineeksi. 1.2 Valmius- vai jatkuvuussuunnitelma Perinteisesti yhteiskunnan varautuminen poikkeusoloihin, pahimmillaan sotaan, on valtiovallan koordinoimaa toimintaa. Yhteiskunnan infrastruktuurin teknisten järjestelmien merkityksen kasvaessa, ko. järjestelmistä on tullut yhä tärkeämpiä jo normaalioloissa. Tämä kehitys näkyy mm. valtioneuvoston päätöksenä Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, joka on laadittu ensimmäisen kerran vuonna 2003 ja toisen kerran vuonna Nykyaikainen yritys ei voi toimia ilman tietoa, tietoteknisiä - ja sähköjärjestelmiä. Näiden järjestelmien toiminta on varmistettava. Jatkuvuussuunnittelun avulla varmistetaan, että järjestelmät toimivat ja yritys kykenee toipumaan häiriötilanteista ja jatkamaan toimintaansa. Valmiussuunnittelun avulla pyritään varmistamaan yrityksen toimintakyky normaaliolojen häiriö- ja erityistilanteissa sekä poikkeusoloissa. Valmiussuunnittelu ja jatkuvuussuunnittelu ovat tavoitteistaan johtuen käytännössä sama asia. Valmiussuunnittelu on lainsäädännön ja viranomaisten käyttämä termi hallinnon ja sen virastojen, liikelaitosten ja yhtiöiden varautumisesta ja jatkuvuussuunnittelu yritysten toimintaa. Valmiussuunnittelu eroaa merkittävimmin jatkuvuussuunnittelusta siinä, että se sisältää varautumisen kaikkein vakavimpiin olosuhteisiin kuten sodanuhka ja sota. Valmiussuunnittelu jatkuu siitä, mihin jatkuvuussuunnittelu päättyy, kohti yhä vaikeampia turvallisuustilanteita. 1.3 Valmiussuunnittelun periaatteelliset kypsyystasot Valmiussuunnittelun periaatteelliset kypsyystasot ovat alimmasta ylimpään: 1. Toimintoketjun häiriöiden vaikutuksia ei tiedosteta. Ongelmiin ei reagoida. 2. Toimintoketjun häiriöiden vaikutukset tiedostetaan. Ongelmiin reagoidaan vasta niiden tapahduttua. 3. Jatkuvuuden hoidon perusvastuut on määritelty, ei ole kirjallista suunnitelmaa. Toimintoketjun epäjatkuvuuksia saattaa olla kokemusta ja toimialan kokemuksista tietoa. Häiriöiden vaikutuksia on kartoitettu. 4. Toimitusketjun operatiivinen toiminta häiriötilanteissa on ohjeistettu, jolloin myös johtaminen, suunnittelu ja testaus on vastuutettu. Johto tunnistaa jatkuvuuden tarpeen. Sivu 4/38

5 5. Toimitusketjun häiriötilanteet havaitaan "mittareilla", kriittiset tehtävät ja palvelut on varmistettu. Johdolle tuotetaan raportit jatkuvuustilanteesta. Henkilökuntaa koulutetaan. Suunnitelman ylläpito on vastuutettu. 6. Toimintaa häiriötilanteissa on testattu ja harjoiteltu. Tulokset otettu huomioon ja suunnitelmaa ylläpidetään säännöllisesti. Ulkoisten toimijoiden palvelutason säilyminen on varmistettu sopimuksin ja auditoinnein. Kriittisiä palveluja on kahdennettu. Jatkuvuussuunnittelusta ja sen kehittämisestä ja johtamisesta on useamman vuoden kokemuksia. Näiden periaatteellisten kypsyystasojen perusteella voidaan arvioida yrityksen valmius- tai jatkuvuussuunnittelun sen hetkinen taso. Arviointi helpottaa myös määrittelemään ne toimenpiteet, joilla valmiussuunnittelun tasoa voidaan tarvittaessa nostaa Jatkuvuus- ja valmiussuunnitelman laatimisesta, testauksesta, ylläpidosta ja raportoinnista Jos yrityksellä ei ole ajanmukaisia jatkuvuussuunnitelmia, suunnitelmien ensimmäinen versio on suositeltavaa tehdä projektina. Jotta jatkuvuussuunnittelu juurtuisi pysyväksi toimintamalliksi, projektissa kannattaa käyttää samoja resursseja, jotka jatkossa vastaavat jatkuvuussuunnittelutoiminnoista. Projektipäällikkönä toimii tällöin henkilö, joka jatkossa saa hoitaakseen jatkuvuussuunnitteluvastaavan tehtäviä. 3 Valmiussuunnittelu voidaan myös toteuttaa projektina. Suunnitelmaa on kuitenkin täydennettävä ja päivitettävä jatkuvasti, jotta se pysyy käyttökelpoisena. Projektiryhmään tarvitaan valmiuspäällikön lisäksi esimerkiksi henkilöt seuraavilta aloilta: - johto - tärkeiden tuotantoyksiköiden edustajat - henkilöstöhallinto - IT-toiminnot - logistiikka, viestintä ja kunnossapito - muut erikoisalat kuten yritysturvallisuus. 4 Valmiussuunnitelmien ylläpidon tarkoituksena on varmistaa suunnitelmien ajanmukaisuus. Suunnitelmien ylläpito on tarpeen myös silloin, kun tapahtuu muutoksia niissä liiketoimintaprosesseissa, joille on tehty valmiussuunnitelmat. 5 Valmiussuunnitelmat on testattava, jotta niiden toimivuus voidaan varmistaa. Riippuen yrityksen koosta ja suunnitelmien laajuudesta testaus voidaan tehdä osina eri Valmiussuunnitteluun kuuluu myös ko. alan asioiden raportointi yrityksen sisällä. Lisäksi valmiussuunnitelmista ja niiden testauksista on raportoitava ydinasioiden osalta säännöllisesti yrityksen johdolle. 1.5 Valmiussuunnittelu prosessina Valmiussuunnittelu on oltava tavoitteellista ja johdettua toimintaa. Sille asetetaan tavoitetila 6, jota verrataan olevaan tilaan. Tavoitetilan ja nykytilan eroista 2 Esim. tasolla 1 oltaessa seuraavana on määriteltävä vastuut ja laadittava kirjallinen suunnitelma. 3 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Tieto-VASU 5 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Vrt. esim. valmiussuunnittelun periaatteelliset kypsyystasot yllä (luku 1.3.) Sivu 5/38

6 johdetaan toteutettavat toimenpiteet, joilla päästään tavoitetilaan. Toteutettavia toimenpiteitä verrataan käytössä oleviin resursseihin ja vertailun perusteella valitaan toteuttavat toimenpiteet ja tarvittaessa muutetaan tavoitetilaa. Osa toimenpiteitä on sellaisia, joihin ei ole käytettävissä omia tai Huoltovarmuuskeskuksen resursseja. Näihin toteuttamattomiin toimenpiteisiin liittyvät jäännösriskit on tiedostettava ja yrityksen johdon on otettava vastuulleen niiden toteuttamatta jättämiseen liittyvä riski. Nykytilan arviointiin kuluu muun muassa henkilöstön määrän ja osaamisen arviointi ja yrityksen tekniset resurssit. Valmiuden nykytilaa seurataan harjoituksilla, raporteilla sekä omilla ja muiden havainnoilla. Valmiuden nykytilaa voidaan muuttaa esimerkiksi lisäämällä henkilöstöä, koulutuksella, teknisillä parannuksilla. Varautumisen tilaa on arvioitava vuosittain mm. muutoksina yrityksen toiminnassa, järjestelmissä ja ulkoisessa toimintaympäristössä ja niiden vaikutuksena jatkuvuussuunnitteluun. Kotimaasta ja ulkomailta saatavia todellisia havaintoja on arvioitava. Harjoituksia ja testauksia on pidettävä ja kokemuksia niistä on arvioitava olevaan tavoitetilaan liittyen. Varautumistoimenpiteiden toteutus riippuu resursseista. Toimintaan kohdistettavien resurssien määrä puolestaan riippuu siitä mikä merkitys kyseiselle toimialalle ja erityisesti kyseiselle yritykselle on annettu. 1.6 Valmiussuunnittelun periaatteita Suomen lainsäädäntö määrittää valmiussuunnittelulle lainsäädännöllä tietyt perusteet. Näiden lisäksi yritys määrittää itse omat perusteet omalle jatkuvuussuunnittelulle. Vastuut jakautuvat myös yritysten koon mukaan. Viranomaisten vaatimuksissa lähdetään liikkeelle siitä, että pohjaksi määritellään varautumisen eritysvaatimukset suurille toimijoille. Näistä tehdään poikkeukset keskisuurille ja pienille toimijoille. Varautumisen vastuu on jaettu valtion ja yrityksien kesken. Periaatteellisina tasoina voidaan nähdä uhkan todennäköisyyden ja uhkan seurausten suhteen seuraava kolmijako: - suuret seuraukset pieni todennäköisyys (sota): Valtio ja viranomaiset - keskisuuret seuraukset - keskisuuri todennäköisyys (luonnonkatastrofi): Jaettu vastuu (valtio ja yritykset yhdessä) - pienet seuraukset suuri todennäköisyys (laitevika); yritykset yksin. Valmius- tai jatkuvuussuunnittelun yleisiä periaatteita ovat: - vastuut eivät saa muuttua häiriö- ja eritystilanteissa tai poikkeusoloissa - hälytys- ja muiden tiedonsiirtoyhteyksien ja yhteystietojen oltava jatkuvasti kunnossa - jatkuvuussuunnittelun huomiointi jo järjestelmiä rakennettaessa on edullisinta - ennaltaehkäisy on parasta - henkilöstö ja sen koulutus on avainasemassa - suunnitelmat on testattava ja päivitettävä - vastuu on jaettu valtion ja yrityksien kesken - vastuut jakautuvat myös yritysten koon mukaan - pohjana on riskikartoitus ja tärkeisiin järjestelmiin keskittyminen - jatkuvuussuunnittelu ja valmiussuunnittelu eivät ole kertasuoritteita, vaan yrityksen normaalitoimintaan liittyviä prosesseja - käytettävissä oleviin teleyhteyksiin liittyen toiminnan pohjana on normaaliajan määritellyt vastuut, joita täydennetään suunnitelmilla ja lopulta tilanteenmukaisella toiminnalla. Sivu 6/38

7 Valmius- tai jatkuvuussuunnittelusta vastaa yrityksen toimiva johto ja sen on oltava yrityksen normaalia, tavoitteellista ja johdettua toimintaa. Toimiva johto (toimitusjohtaja) vastaa periaatteessa ja käytännössä viimekädessä kaikesta toiminnasta yrityksessä. Yrityksessä tapahtuu ja tulee tapahtua vain sellaista toimintaa, jolla on johdon tuki. Valmiussuunnittelun kannalta tämä merkitsee, että johdon on linjattava keskeisimmät valmiussuunnittelun asiat yrityksessä ja johdolle on raportoitava valmiussuunnittelun asioista säännöllisesti. Johdon panostuksen tulee heijastella valmiussuunnittelulle annettua merkitystä ja resursseja. Vähintään yksi tilaisuus on oltava vuosittain valmiussuunnittelusta vastaavan ja hänen esimiehen välillä. Keskeisimmät asiat on raportoitava vuosittain toimitusjohtajalle. Jatkuvuus- tai valmiussuunnittelulle voidaan asettaa edelleen seuraavat vaatimukset: - sillä on oltava nimetty vastuullinen johtaja, resurssit ja raportointimenettelyt - sille asetetaan vuosittain tavoitteet - sen onnistumista verrataan tavoitteisiin - sitä johdetaan yrityksen yleisenä toimintona (toimitusjohtaja ja toimialana (jatkuvuussuunnittelusta vastaava johtaja tai päällikkö, päätoiminen tai oto)) - yrityksen osilla (liiketoimintayksiköt, henkilöstö, tekniikka, tutkimus, rahoitus ) on osavastuu jatkuvuus- tai valmiussuunnittelusta. Häiriö- ja erityistilanteiden ja poikkeusolojen johtamisessa tulee noudattaa mahdollisimman pitkälle normaaliolojen vastuita ja organisaatioita. Organisaatioita ei ole suositeltavaa muuttaa kuin poikkeustapauksessa. Organisaatiot ja johtajat vastaavat siis myös oman toiminnan varautumisesta poikkeusoloihin. Hälytys- ja muiden tiedonsiirtoyhteyksien on oltava kunnossa häiriö- ja poikkeustilanteita varten. Häiriö- ja poikkeusoloissa korostuu nopea toiminta. Häiriö- ja erityistilanteissa sekä poikkeusoloissa tulee yleensä kyetä toimimaan nopeasti. Osaava ja toimivaltainen henkilöstö on saatava nopeasti kutsutuksi paikalle ja tietoiseksi tilanteesta. Tämä koskee oman henkilöstön lisäksi usein poliisia ja palokuntaa. Päivystystehtävissä olevan henkilöstön on tiedettävä hälytettävien yhteistiedot. Myös poikkeusoloissa tarvittavat yhteistoimintaosapuolten yhteystiedot on oleva ajan tasalla. Hälytys- ja muiden tiedonsiirtoyhteyksien on ehdottomasti oltava kunnossa, jotta poikkeuksellisista tilanteissa kyetään toimimaan. Jatkuvuus- ja valmiussuunnittelun huomiointi on edullisinta, kun uusia järjestelmiä suunnitellaan ja asennetaan. Henkilöstö ja sen koulutus on erittäin tärkeää yllättävistä ja poikkeuksellisista tilanteista selviämiseksi. Niissä edellytetään myös nopeaa toimintaa ja se on saavutettavissa vain osaamisen ja harjoittelun kautta. Valmiussuunnitelmat eivät ole itsetarkoitus, vaan organisaation työväline valmiussuunnittelun johtamiseen, toteuttamiseen ja seurantaan. Valmiussuunnitelmien teko ei ole helppoa. Rahoituksen saanti ei ole helppoa. Suunnitelmien teko vaatii aikaa ja ne on tarkastettava säännöllisesti. Jollain organisaatiossa tulisi olla visio, ymmärrys tarpeellisesta ja suunnittelun johto. 1.7 Vuosittaisen jatkuvuus- tai valmiussuunnittelun tilaisuus tai harjoitus yrityksessä Yrityksessä (liiketoiminnoittain) suositellaan pidettäväksi vuosittain vähintään yksi jatkuvuus- tai valmiussuunnittelun tilaisuus. Siihen kootaan alan keskeinen henkilöstö, käydään läpi edellisen vuoden tapahtumat ja mahdolliset opittavat asiat ja määritellään seuraavan vuoden toiminta. Jatkuvuussuunnittelussa ko. tilaisuuden asioita voisivat olla: - olevan tilanteen esittely Sivu 7/38

8 - etukäteistehtävien raportointi - onnettomuus- ja läheltä piti tilanteet ja niistä saadut kokemukset - vuoden aikana yrityksessä tehtyjen muutosten vaikutuksen arviointi - muualta saatujen havaintojen vaikutus (oman toimialan yritykset kotimaassa ja ulkomailla) - yrityksen seuraavan vuoden muiden toimialojen suunnitelmien vaikutus jatkuvuuteen - jatkuvuussuunnittelun tapahtumat (edellinen + seuraava vuosi) - yhteystietojen tarkastus (soittaminen ym.) (etukäteen ko. tilaisuuteen) - yhteyshenkilöiden tarkastaminen (etukäteen ko. tilaisuuteen) - varavoiman testaus, varayhteyksien testaus (etukäteen ko. tilaisuuteen) - jatkuvuussuunnitelman (osan) päivittäminen - yhden yhteistoimintaosapuolen suunnitelmien esittely tarvittavassa ja yhteistoiminnan edellyttämässä laajuudessa (resurssit, yhteystiedot, toimintamenetelmät, priorisointi jne.) - edellisen vuoden tehtävien raportointi ja tuloksista tiedottaminen - havainnot priorisoinnista omassa yrityksessä (toimipaikat, järjestelmät ja prosessit ym.). Mukana tilaisuudessa ovat jatkuvuussuunnittelun esimies, jatkuvuussuunnittelusta vastaavat ja tärkeimmät yhteistyökumppanit. Jatkuvuussuunnittelun esimies voi osallistua vain tilaisuuden lopputarkasteluun. Tilaisuuden yhteenveto on osa alan raportointia yrityksen johdolle. 1.8 Yritysten koon vaikutus 1.9 HUOVI:sta 7 Varautumiseen liittyvät velvoitteet on yleensä linjattu kolmeen ryhmään yritysten koon perusteella. Suurilla yrityksillä, joiden toiminta vaikuttaa koko yhteiskuntaa, on yleensä suurimmat velvollisuudet. Tässä ohjeessa on lähdetty liikkeelle suurten yritysten velvollisuuksista. Keskisuurien yritysten velvollisuudet ovat yleensä pienemmät kuin suurilla yrityksillä. Pienillä yrityksillä ei ole mahdollisuutta käyttää kaikkia tässä esitettyjä menettelytapoja ja keinoja. Näissä yrityksissä tulee arvioida, mitkä esitetyt toimenpiteet ovat hyödyllisiä ja kannattavia myös omassa yrityksessä. Huoltovarmuuskeskuksen HUOVI-portaalin suunnitellut palvelut ovat: - opastava työkalu jatkuvuus- ja valmiussuunnitteluun - itsearviointi- ja benchmarking- työkalu - tiedonvälityskanava - kypsyysanalyysi varautumistason arviointiin ja kehittämiseen. HUOVI-portaalin suunniteltuja palvelujen käyttäjiä ovat: - huoltovarmuuskriittiset yritykset (johto + asiantuntijat) - poolien valmiuspäälliköt ja toimikuntien jäsenet - Huoltovarmuuskeskus. 7 Aiheesta löytyy lisää mm. projektisuunnittelija Gilbert Appelgrenin esityksestä Huoltovarmuusorganisaatio ja sen toimijat : Sivu 8/38

9 1.10 Sopimuksiin perustuva varautuminen Sopimuksiin perustuva varautuminen - projekti 8 (Sopiva) on Huoltovarmuuskeskuksen tietoyhteiskuntasektorin kolmen poolin projekti vuosina Siinä on päädytty suositukseen, jonka perustella koko Suomen yrityselämän jatkuvuussuunnittelun tasoa pyritään nostamaan keskinäisin ja yhtenäisin sopimusmenettelyin vuosina Sopiva-projektin jatko merkittävä osa koko Suomen verkottuneen huoltovarmuuden kehittämistä ja jatkuvuussuunnittelua. 2 Valmiussuunnitelman johdanto 2.1 Yrityksen varautumisen tavoitteet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään jatkuvuussuunnittelun laajuus, keskeiset periaatteet ja tavoitteet. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Yrityksen varautumisen tavoitteet voivat olla: - laissa ja asetuksissa määriteltyjen velvoitteiden täyttäminen - yrityksen strategian, yrityskuvan ja arvojen toteuttaminen jatkuvuussuunnittelun keinoin ja - yrityksen turvallisuuskulttuurin toteuttaminen. Keskeinen kysymys on, nähdäänkö turvallisuus vain kulueränä vai osana yhtiön strategian toteuttamista? Yrityksen varautumisella tarkoitetaan kaikkia niitä toimenpiteitä, joilla varmistetaan tehtävien mahdollisimman häiriötön hoitaminen kaikissa turvallisuustilanteissa. Näitä toimenpiteitä ovat muun muassa valmiussuunnittelu, etukäteisvalmistelut sekä valmiusharjoitukset. Varautuminen on osa organisaation normaalia toimintaa. Varautumisessa noudatetaan voimassa olevaa lainsäädäntöä ja myös valmiussuunnitelmissa esitettyjen toimenpiteiden tulee perustua lainsäädännössä säänneltyihin toimivaltuuksiin. 9 Varautuminen on siis viranomaisten vaatimuksesta ja valvonnassa tapahtuvaa toimintaa, jolla viranomainen haluaa varmistaa yrityksen tarjoamien palveluiden saatavuuden. Yrityksen varautumisen tavoitteena on luoda ja ylläpitää organisaation riittävä valmius normaaliolojen häiriötilanteiden ja poikkeusolojen varalta. Vaatimuksia varautumiselle asettavat viranomaiset, yritys itse, kilpailutilanne ja asiakkaat. Varautumiseen käytetään yrityksen ja muiden osapuolten resursseja. Yrityksen liiketoiminnan jatkuvuuden varmistaminen on luonnollisesti myös yhtiön oman intressin mukaista. Liiketoiminnan jatkuvuus (business continuity) terminä tarkoittaa kaikkea sitä toimintaa, jolla yritys pyrkii: - parantamaan yhtiön kykyä reagoida ja toipua liiketoiminnan jatkuvuutta uhkaavista tilanteista - lisätä kriittisten tekijöiden ja riskien tuntemusta sekä näiden ymmärrystä yhtiössä - laatia toimintamalli liiketoiminnan jatkuvuuden varmistamiseksi. 8 Sopiva = Sopimuksiin perustuva varautuminen tietoyhteiskuntasektorilla. Ks. tarkemmin: 9 LVM:n valmiusohje 1/2007 s. 17 Sivu 9/38

10 Jatkuvuussuunnittelun tarkoitus on liiketoiminnan jatkuvuuden varmistaminen. Näin ollen jatkuvuussuunnittelu kattaa liiketoiminnat kokonaisuutena - ei yksinomaan tietoteknisiä järjestelmiä. 10 Yrityksen johto määrittelee jatkuvuussuunnittelun tarkoituksen, laajuuden ja tavoitteet. 11 Valmius- tai jatkuvuussuunnittelu on yrityksille tärkeää seuraavista syistä: - yrityksen toiminta voi pahimmillaan keskeytyä kokonaan jopa normaaliajan riskien toteutuessa - yrityksen toiminta jatkuu myös häiriötilanteissa (vast.) ja luo siihen luotettavuutta - jatkuvuussuunnittelun tuoma lisätehokkuus on (normaali- ja häiriötilanteissa) kilpailu- ja imagotekijä - jatkuvuussuunnittelua rahoitetaan ulkopuolelta (valtakunnallisiin kohteisiin) - valmiussuunnittelu on lainsäädännön edellyttämää toimintaa, yhteiskuntavastuuta ja saattaa käytännössä toteuttaa yrityksen arvoja. Seuraavana em. kohtia on käsitelty tarkemmin. Yrityksen toiminta voi pahimmillaan keskeytyä kokonaan jopa normaaliajan riskien toteutuessa: New Yorkin terroristihyökkäysten jälkeen muutamien yrityksien toiminta keskeytyi kokonaan koska niiden keskeiset henkilöstö-, tieto- tai tietotekniikkaresurssit tuhoutuivat. Toiminta jatkuu myös häiriötilanteissa (vast.) ja luo siihen luotettavuutta: Jatkuvuussuunnitteluna varautuminen tähtää yrityksen toiminnan jatkumiseen häiriötekijöistä huolimatta. Ääritapauksessa ( ) yrityksen olemassaolo päättyi pian onnettomuuden jälkeen sen menettäessä avainhenkilönsä ja avaintietonsa. Jatkuvuussuunnittelun tuoma lisätehokkuus on (normaali- ja häiriötilanteissa) kilpailu- ja imagotekijä: Taloudellisia vaikutuksia voidaan arvioida karkeasti esim. seuraavasti: Yrityksen (esim. TV-yhtiö) mainos-tulot ovat esim euroa tunnilta 12 prime-time aikana. Yksi kymmenen tunnin katkos tai kymmenen yhden tunnin katkosta (lähetys-)toiminnassa vuoden aikana merkitsee suoraan euron tulojen menetystä vuodessa. Useasti sattuessaan katkokset uhkaavat yrityksen uskottavuutta alan palveluiden luotettavana tarjoajana ja seurauksena voi olla asiakkaiden rahavirtojen siirtyminen kilpailijoille. Vastaavasti asiakkaiden kokema positiivinen toiminta (lähetysten jatkuminen) esim. yleisemmässä sähkökatkoksessa, jossa kilpailijoiden palvelut eivät toimi, saattaa tuoda uusia asiakkaita. Em. laskelmilla viiden prosentin liikevaihdon kasvu olisi euroa vuodessa, jokaisena häiriötilannetta seuraavana vuotena. Jatkuvuus- tai valmiussuunnittelua rahoitetaan ulkopuolelta: Jatkuvuussuunnittelua rahoittaa mm. Huoltovarmuuskeskus huoltovarmuusrahastosta. Varautumista edistävät ratkaisut edistävät usein yrityksen muutakin toimintavarmuutta. Tästä syystä myös vastuu saattaa olla jaettu, esim. (60% HVK, 40% yritys). On kyse siis HVK:n edusta (kansallinen huoltovarmuus) ja yrityksen edusta (yrityksen imago ja jatkuvuussuunnittelu). Kyse on pohjimmiltaan verkottuneen toiminnan etujen käyttämisestä, yrityksen kokonaisvaltaisesta toiminnasta ja sen johtamisesta. HVK:n rahoitus koskee lähinnä tärkeimpiä, valtakunnallisia kohteita. 10 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s n. 400 päivää a 5 tuntia parasta katselu tai kuunteluaikaa = 20 miljoonan tulot + esim. 20 miljoonaa muusta ajasta. Sivu 10/38

11 Varautuminen on yhteiskuntavastuuta, lainsäädännön edellyttämää toimintaa ja saattaa käytännössä toteuttaa yrityksen arvoja: Lainsäädäntö edellyttää tiettyjä toimia yhteiskunnan kannalta huoltovarmuuskriittisiltä yrityksiltä. Yrityksen asiakkaat ovat yhä tietoisempia ja kiinnostuneempia yritysten yhteiskuntavastuiden tai mm. ympäristöasioiden hoidosta. Tämäkin voi olla aluksi kilpailutekijä ja lopuksi toimintaa, jota on tehtävä, koska asiakkaat ja kilpailijoiden toiminta sitä edellyttävät. Yhteiskuntavastuu voi liittyä myös yrityksen arvoihin ja sitä kautta valmiussuunnittelu on keino toteuttaa tätä arvoa käytännössä. Myös muu lainsäädäntö, mm. pelastuslaki edellyttää yrityksiltä toimenpiteitä. 2.2 Yrityksen varautumisvelvoitteet Yleiset perusteet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään jatkuvuussuunnittelun yleiset perusteet, joita noudatetaan tai jotka sitovat yritystä esim. lainsäädännön osalta. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Teksti kuvaa tilannetta vuoden 2009 alussa. Yrityksille asettavat vaatimuksia seuraavat asiakirjat (vast.): - lain ja asetukset - valtioneuvoston päätökset - vastuuministeriöiden valmiusohjeet ja - keskusvirastojen, esim. Viestintäviraston määräykset sekä - muut yrityksen omat sisäiset ja ulkoiset tekijät. Em. kohtia on käsitelty tarkemmin seuraavana Lait ja asetukset Eri yrityksiä koskee vuoden 2009 alussa seuraava lainsäädäntö: - viestintämarkkinalaki (laki 393/2003) - laki televisio- ja radiotoiminasta (744/1998) - laki viranomaisten toiminnan julkisuudesta (621/1999) - laki Yleisradio Oy:stä (1380/1993) - radiolaki 2001 (1015/2001) - laki televisio- ja radiotoiminasta annetun lain muuttamisesta: velvollisuus varautua poikkeusoloihin ja välittää viranomaistiedotuksia (395/2003) - valmiuslaki (1080/1991) - perustuslaki, 23 (poikkeukset perusoikeuksiin) - sähköisen viestinnän tietosuojalaki laki huoltovarmuuden turvaamisesta (1390/1992) Seuraavat valtioneuvoston päätökset linjaavat mm. varautumista: - valtioneuvoston periaatepäätös : Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, valtioneuvoston päätös : Uudet huoltovarmuuden tavoitteet Viestintävirasto määräys 54/2008 M ( ) koskee viestintäverkkojen ja - palvelujen varmistamisesta. Määräys koskee yleisten viestintäverkkojen ja viranomaisverkkojen sekä niissä tarjottavien viestintäpalveluiden - tärkeysluokittelua - laitteistovarmistuksia ja varatiejärjestelyitä - tehonsyöttöä ja tehonsyötön varmistamista - fyysistä suojaamista. Sivu 11/38

12 2.2.3 Muut huomioitavat sisäiset ja ulkoiset asiat Edellä esitettyjen velvoittavien asioiden lisäksi yritysten varautumiseen ja jatkuvuus- tai valmiussuunnitteluun voidaan katsoa vaikuttavan: - erilaiset suositukset, esim. HVK:n poolien projektien tuloksina - sisäiset asiat kuten yrityksen strategia, arvot, sopimukset ja resurssit - ulkoiset asiat kuten esim. alihankkijat, kilpailutilanne, asiakkaat, vakuutusyhtiöt ja media - uhkat ja niiden todennäköisyys sekä vaikutus - työtapaturmat ovat myös merkittävä kustannustekijä, Suomessa 1 2 miljardia euroa vuodessa. Niihin voidaan vaikuttaa osin myös jatkuvuussuunnittelun menetelmin. 2.3 Yrityksen toimintaympäristön tarkastelu Toimintaympäristön tarkastelu ja riskiarvio Uhkat Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä kohdassa kuvataan liiketoiminnot, niiden keskinäiset riippuvuudet, niiden tarvitsemat resurssit, uhkat ja muu toimintaympäristö (sidosryhmät, asiakkaat jne.) jatkuvuussuunnittelun vaatimalla tarkkuudella yrityksen omana näkemyksenä. Liiketoimintojen kuvaaminen on osa yrityksen yleistä toiminnan hallintaa, eikä näitä kuvauksia tehdä yksinomaan jatkuvuussuunnittelun vuoksi. Jatkuvuussuunnittelutoiminto hyödyntää olemassa olevia liiketoimintojen kuvauksia tuoden niihin oman näkökulmansa ja asettaen omat vaatimuksensa kuvausten sisällölle. Jatkuvuuden varmistamisen näkökulma edellyttää, että liiketoimintojen kuvauksissa määritellään riittävällä tarkkuudella tarvittavat resurssit ja toimintojen keskinäiset riippuvuudet. 13 Jos yrityksen liiketoimintojen kuvaukset puuttuvat kokonaan tai ovat sisällöltään riittämättömiä, jatkuvuussuunnitelmien laatimisen edellytykset ovat huonot. Tällaisessa tilanteessa jatkuvuussuunnitteluvastaavan on välittömästi syytä informoida jatkuvuussuunnittelun ohjausryhmää, joka päättää suunnittelun etenemisestä. Mahdollisia toimintatapoja ovat esimerkiksi seuraavat: - liiketoimintojen kuvaukset täydennetään ennen kuin suunnittelua jatketaan - jatkuvuussuunnittelussa edetään niiden toimintojen osalta, joiden kuvaukset ovat jatkuvuussuunnittelun kannalta riittävät - suunnittelua jatketaan monille liiketoiminnoille yhteisten resurssien osalta. Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä osassa tarkastellaan yritykseen ja sen toimintaan liittyviä merkittäviä yleisiä 14 uhkia: - sähköverkon häiriöt - laiteviat - henkilöriskit - terrorismi - tietoturvallisuuden häiriöt - rikollisuus - tulipalo tai palovahinko sekä - luonnosilmiöt ja pandemia. Ohjeen mukaan uhkia on arvioitava ja/tai niihin on varauduttava riskianalyysin, jatkuvuus- tai valmiussuunnittelun tai laajemman valmiussuunnitelman mukaisina 13 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Joukkoviestintäpoolin vastaavassa ohjeessa on lisäksi käsitelty tietoliikennehäiriöt ohjelmantuotannossa, informaatiosodankäynti ja jakeluverkon häiriöt. Sivu 12/38

13 yrityskohtaisina toimenpiteinä. Luettelo ei voi olla täysin kattava eikä välttämättä yksityiskohtainen. Näihin uhkiin vastaamista on käsitelty tarkemmin alla, ensin yleisesti ja sitten uhkakohtaisesti. Yritys arvioi uhkat omalta kannaltaan ja varautuu niihin oman riskianalyysin ja omien resurssien mukaisesti. Valmius- ja jatkuvuussuunnittelu keskeinen lähtökohta on uhkien ja riskien tunnistaminen, eli mihin varaudutaan. On tärkeää myös ymmärtää, että mihin ei siis olla varauduttu. Toisaalta varautumissuunnittelun perusperiaate on kuitenkin, että järjestelyt ovat sellaisia, että voidaan varautua kaikkiin, yllättäviinkin uhkiin. Uhkia kartoitettaessa ja riskiä arvioitaessa voidaan todeta, että hyvinkin erilaisten uhkien toteutuminen aiheuttaa samanlaisia vaikutuksia. Esimerkkinä todettakoon pommiuhkauksen toteuttaminen ja toisaalta tulipalo voivat kumpikin aiheuttaa samanasteisen tuotantotilojen tms. tuhoutumisen. Arvioinnissa uhkien toteutumisen todennäköisyys on kuitenkin aivan erilainen, samoin kuin varautuminen uhkaan. Varautumisessa tulee myös ottaa huomioon mahdollisen menetyksen taloudelliset vaikutukset. Tuleeko ylivoimaisen kalliiksi varautua tiettyjen järjestelmien ja/toimintojen jatkamiseen varapaikassa, jonka ylläpito on kallista ja hankalaa. Onko tarkoituksenmukaisempaa ottaa riski liiketoiminnan keskeytymisestä erityisesti, jos kyseessä on pienehkö yritys. Samoin arvioitaessa uhkaa ja varautumista yrityksen lakisääteiset velvoitteet jatkaa toimintaa tai ylläpitää korkeaa luotettavuutta toiminnan jatkuvuudessa tulee ottaa huomioon. Yrityksen koosta, sijainnista maantieteellisestä kattavuudesta ja liiketoiminnan järjestelyistä johtuen saattaa olla tarkoituksenmukaista tarkastella myös seuraavanlaisia uhkia, jotka on riskianalyysissä koottu yhteen esimerkiksi henkilöriskiksi: - osa yrityksen toimitiloista tuhoutuu tai niihin pääsy estyy - kriittisen henkilöstön pysyvä tai tilapäinen menetys - kriittisten toimittajien, alihankkijoiden tai partnereiden toiminnan keskeytyminen, - tärkeän infrastruktuurin palvelut eivät ole käytettävissä - vähittäinen kumuloituva vahinko - esimerkiksi tietojärjestelmän tietosisällön vähittäinen korruptoituminen - toimitiloihin, tietojärjestelmiin tai muuhun yrityksen omaisuuteen kohdistuva sabotaasi - yritysvakoilu tai muu rikollinen toiminta - äkillinen tietoturvallisuusongelma, jonka vaikutukset näkyvät yrityksen ulkopuolelle - esimerkiksi laajamittainen virustartunta, tietomurto, tietovuoto tai yrityksen järjestelmiin kohdistuva palvelunestohyökkäys Yleistä uhkista Valmius- ja jatkuvuussuunnittelu keskeinen lähtökohta on uhkien ja riskien 16 tunnistaminen, eli mihin varaudutaan. On tärkeää myös ymmärtää, että mihin ei siis olla varauduttu. Tässä alaluvussa on esitetty miten yritys voi varautua eräisiin yleisempiin uhkiin, periaatteessa ja yksityiskohdissakin. Varautumissuunnittelun perusperiaate on kuitenkin, että järjestelyt ovat sellaisia, että voidaan varautua kaikkiin, yllättäviinkin uhkiin. 15 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 21 Sivu 13/38

14 Yllättäviinkin uhkiin voidaan varautua mm. seuraavilla periaatteilla: - on varauduttu koulutuksilla ja harjoituksilla useisiin erilaisiin uhkiin. Tällöin on luotu esim. osaamiselementtejä, jotka ovat käyttökelpoisia yllättävissäkin uhkissa - tuntemalla oman toimintaympäristön eri toimijat, heidän kapasiteetit ja toimintatavat - yrityksen henkilöstö muodostuu luovista, syvästi alansa tuntevista ihmisistä. Ruotsissa on todettu, että vaikka suuren palon ja internet-, teleliikenne- ja sähkökatkoksen seuraukset ovat samankokoiset, yritykset panostavat kuitenkin perinteisiin uhkiin, eli palontorjuntaan. Yli puolet (media-alan) yrityksistä on Ruotsissa (vuonna 2006) panostamassa lisää varautumiseen, erityisesti internetiin Yleistä uhkiin vastaamisesta Yleisesti uhkiin vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan 17 : 1. Yrityksen tiettyyn uhkaan liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset uhkista kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Yrityksen tiettyyn uhkaan liittyvä strategia ja siihen liittyvät periaatteet sekä liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. 3. Yrityksen periaatteet ja peruslinjaukset tiettyyn uhkaan liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Kriittisimpiä järjestelmiä ja toimintoja on varmennettu. 4. Vastuuhenkilö on laatinut yrityksen strategiasta tiettyyn uhkaan liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Uhkien kannalta kriittisimmät järjestelmät on tunnistettu. 5. On todettu, että yritykseen tarvitaan strateginen linjaus ko. uhkaan liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä ko. uhkaan liittyen. 6. On tiedostettu, että uhkalle pitää tehdä jotain. Reagointi on kertaluonteista. Kokemuksia ei kerätä. Kirjallisia ohjeita ei ole. 7. Uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu kertaluonteiseen, vain tätä tapausta koskevaan toimintaan (ad hoc) ja on kertaluonteista jokaiseen uhkaan liittyen. Muuten yleisesti uhkista: 1. Kaikki tavoitteellinen toiminta lähtee ymmärtämisestä. On ymmärrettävä ensin oman toiminnan luonne ja sitten siihen liittyvät uhkat. 2. Jatkuvuussuunnittelun avainvaihe on yrityksen kokonaistoiminnan ymmärtäminen edellisen kohdan mukaisesti, kokonaistoimintaan perustuva toimintojen priorisointi ja tärkeimpien kohteiden löytäminen. 17 Lista on periaatteellinen. Yleisperiaatteena on, että alemmat toimenpiteet (vast.) ovat toteutuneet kun siirrytään ylempään. Sivu 14/38

15 3. Henkilöstö ja sen osaaminen on mm. uhkiin vastaamisen keskeinen, ellei keskeisin resurssi. Vain sitä voidaan osata, mistä on saatu koulutus, kokemuksia ja ymmärrystä. 4. Toimenpiteet kohdistetaan tärkeimpiin järjestelmiin ja tärkeimpiin uhkiin. Arviointia siitä, mitkä ovat tärkeimpiä järjestelmiä ja uhkia suoritetaan säännöllisesti. 5. Tärkeitä järjestelmiä tai toimintoja (vast.) ovat mm. sellaiset, joita tarvitaan kaikissa tai useissa erilaisissa uhkissa. 6. Uhkiin varautumiseen vaikuttavat monet tekijät mm. lainsäädäntö ja muut viranomaismääräykset, uhkien todennäköisyys ja vaikutus, yrityksen strategiset linjaukset, käytössä olevat resurssit, kilpailutilanne ja asiakkaiden vaatimukset. 7. Uhkiin varautuminen on oltava yrityksen normaalia toimintaa, josta on tiedettävä kaikkien niiden, joihin ko. uhka vaikuttaa ja jotka ko. uhkaan ja sen toteutumiseen voivat vaikuttaa. Toisaalta kaikista uhkista ei ole tarpeen, että kaikki tietävät niistä. 8. Erilaisiin todennäköisiin uhkiin varautuminen, niihin liittyvä koulutus ja harjoittelu luovat myös yleistä valmiutta ja sitä kautta mahdollisuutta kohdata muitakin uhkia. 9. On hyvä määrittää uhkaan liittyvä minimitaso, joka on huomioitava joka puolella yritystä. Alla on esitetty tarkemmin uhkakohtaisesti eräisiin yleisempiin uhkiin varautumista Sähköverkon häiriöt Toteutusperiaatteita jatkuvuussuunnittelulle koskien sähköverkon häiriöitä vaativimmasta vaatimattomimpaan: 1. Yrityksen sähköverkon häiriöihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Strategiaa ja ohjeita päivitetään säännöllisesti. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset sähköverkon häiriöistä kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Yrityksellä on koko rakennuksen, lähetinaseman tai vastaavan kaiken sähkönkulutuksen kattava keskeytyksettömän virransyötön takaava varavoimalaitteisto. Sitä testaan säännöllisesti. 2. Yrityksen sähköverkon häiriöihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. Yrityksellä on varavoimalaitteisto tai akusto, joka kattaa vain osan rakennuksen, lähetinaseman tai vastaavan sähkönkulutuksesta. Säännöstely on suunniteltava erikseen ja sitä varten on tehty suunnitelma. 3. Yrityksen periaatteet ja peruslinjaukset sähköverkon häiriöihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Yrityksellä on olemassa vain kriittisimmän laitteiston kattava erillinen virransyöttöverkko ja siihen varavoima tai akusto. 4. Edellinen ilman omaa voimakonetta, mutta sen liitäntämahdollisuudella. Varavoima ja akusto kattaa vain kriittisimmän laitteiston hallitun alasajon. 5. Sähkön syötön varmennus kahdesta eri suunnasta ja eri syötöstä. Sivu 15/38

16 6. Vastuuhenkilö on laatinut yrityksen strategiasta sähköverkon häiriöihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. 7. On todettu, että yritykseen tarvitaan strateginen linjaus sähköverkon häiriöihin liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä sähköverkon häiriöihin liittyen. Sähköverkon häiriöiden kannalta kriittisimmät järjestelmät on tunnistettu. 8. Normaali akkukäyttöisyyteen perustuva varmennus joillekin kriittisimmille laitteille ihmishenkien pelastamiseksi tai suurien aineellisten tuhojen estämiseksi (kannettava, kännykkä). On saatu havaintoja sähkösyötön häiriöiden vaikutuksesta liiketoimintaan. 9. On ajateltu em. häiriöitä ja pohdittu toimintavaihtoehtoja. Valmius on vain ajatuksellista. Kirjallisia ohjeita ei ole sähköverkon häiriötilanteiden varalle. 10.Sähköverkon häiriötilanteita on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 11.Sähköverkon häiriöihin liittyviä uhkia ei ole tiedostettu. Mitään erityisiä omia toimenpiteitä ei ole. Tilanteet otetaan sellaisena kuin ne tulevat. Ei ennakkopohdintoja tai valmisteluja. Ei havaintoja sähkösyötön häiriöiden vaikutuksesta liiketoimintaan. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Oli jatkuvuussuunnittelun sovellutustaso sähköverkon varmistamiseksi mikä tahansa, niin aina on: 1. ymmärrettävä, että sähkön loppuessa monen yrityksen toiminta käytännössä loppuu ko. ajaksi. 2. oltava selvillä miten sähkökatko vaikuttaa laitteisiin ja järjestelmiin, jotta riskit ovat hallinnassa. 3. oltava suunnitelma ja perustoimintaohjeet omasta toiminnasta, vaikka varmentavia ratkaisuja ei olisi tehty ollenkaan. 4. Henkilöstö on koulutettu olevien ratkaisujen käyttöön. 5. Olevat ratkaisut on testattava säännöllisesti ja pidettävä kunnossa. Varavoimakoneille on oltava polttoainetta ainakin muutamaksi vuorokaudeksi ja on tiedettävä mistä ja miten polttoainetta saa lisää poikkeusoloissa Sähköverkon häiriöt voivat syntyä montaa kautta, mm. vikaantumisen, luonnonilmiön, onnettomuuden, tulipalon tai inhimillisen erehdyksen seurauksena. Muutamia yleisiä huomioita Ruotsin suuresta sähkökatkoksesta 2003: 1. Sähköisen joukkoviestinnän osalta merkittävin johtopäätös Ruotsista oli, että sähköhäiriö lopettaa eri syistä toimitustyön. 2. Varavoima ja akustot eivät vielä takaa keskeytyksetöntä sähkönsyöttöä. Tarvitaan mm. säännöllisiä testejä ja osaavaa henkilöstöä. 3. Verkkovirran palattua sitä ei kannata kytkeä heti päälle, koska se saattaa olla vielä epästabiilia. 4. Varavoiman polttoaineen saanti on tärkeää pidemmissä katkoksissa. 5. Tulisi olla menettely, jolla henkilöstö saa tiedon varavoimaan siirtymisestä. 6. Luotettaessa yhä enemmän elektronisiin tietojärjestelmiin voi sähkökatkon seurauksena olla se, että toiminnalle tärkeää ja välttämätöntä tietoa, esim. elektronisia puhelinluetteloja, ei ole käytössä. Tämä voi vaikeuttaa kriisin hallintaa Yksittäisten toimijoiden kriisissä selviämiseen vaikuttavat suuresti ne resurssit ja reservimahdollisuudet, joita on rakennettu, samoin mentaaliset ja käytännön toimintakyvyt, joita organisaatiossa on ennen kriisiä. 8. Sähkö on aivan keskeinen resurssi ja sen puute vaikuttaa yllättävissäkin paikoissa. 18 Siis esim. kun huoltoasemien sähköllä toimivat pumput eivät toimi. 19 Em. syystä koko rakennuksen (vast.) kattava varavoima on yksi perusratkaisu, jos todella halutaan toiminnan jatkuvan myös poikkeusoloissa. Sivu 16/38

17 Laiteviat Toteutusperiaatteita jatkuvuussuunnittelulle koskien laitevikoja vaativimmasta vaatimattomimpaan: 1. Yrityksen laitevikoihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten ja laitevalmistajien kokemukset laitevioista kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Yrityksen laitteet ja järjestelmät on kahdennettu tai N+1 varmennettu ja yrityksellä on oma huoltokyky ja vähintään kuuden kuukauden varaosavarasto. 2. Yrityksen laitevikoihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida laitevioista. Yrityksen kaikki tärkeimmät laitteet ja järjestelmät on kahdennettu tai N+1 varmennettu ja yrityksellä on ulkoistettu huoltokyky ja varaosavarasto. 3. Yrityksen periaatteet ja peruslinjaukset laitteistovikoihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Kriittisimmät järjestelmät tai laitteet on varmennettu. 4. Vastuuhenkilö on laatinut yrityksen strategiasta laitteistovikoihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Laitteistovikojen kannalta kriittisimmät järjestelmät on tunnistettu. 5. On todettu, että yritykseen tarvitaan strateginen linjaus laitteistovikoihin liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä laitteistovikoihin liittyen. 6. On tiedostettu, että laitteistovioille pitää tehdä jotain. Reagointi on kertaluonteista. Kokemuksia ei kerätä. Kirjallisia ohjeita ei ole. 7. Laitteistovikoihin liittyviä uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Laitteistovikoihin liittyviä uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen Henkilöriskit Toteutusperiaatteita jatkuvuussuunnittelulle koskien henkilöstöriskejä vaativimmasta vaatimattomimpaan: 1. Yrityksen henkilöstöriskeihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset henkilöstöriskeistä kerätään ja hyödynnetään omassa toiminnassa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Jokaiselle henkilölle on määritelty sijainen ja hänet on koulutettu ko. tehtävään. Sijaisuutta harjoitellaan säännöllisesti. Jokaisen tehtävä koulutustarvetta arvioidaan säännöllisesti ja tarvittava koulutus toteutetaan. 2. Yrityksen henkilöstöriskeihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida henkilöstöriskeihin liittyen. Jokaiselle Sivu 17/38

18 Terrorismi avainhenkilölle on määritelty sijainen ja hänet on koulutettu ko. tehtävään. Sijaisuutta harjoitellaan säännöllisesti. Avainhenkilöiden tehtäviin liittyvää koulutustarvetta arvioidaan säännöllisesti ja tarvittava koulutus toteutetaan. 3. Yrityksen periaatteet ja peruslinjaukset henkilöstöriskeihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Yrityksen henkilöriskeihin liittyvä strategia on jalkautettu yrityksen liiketoimintayksiköihin ja henkilöriskeistä raportoidaan normaalin johtamistoiminnan osana. 4. Vastuuhenkilö on laatinut yrityksen strategiasta henkilöstöriskeihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Henkilöstöä jatkokoulutetaan tarpeen mukaan tehtäviinsä. 5. Yrityksen avainhenkilöt on kartoitettu ja erityisesti heistä pidetään huolta. Henkilöstöriskien toteutumista seurataan ja siitä raportoidaan. 6. Yrityksellä on henkilöstöriskeihin liittyvä yleinen strategia, jota toteutetaan. Vuosittain pidetään kehityskeskustelut, joissa arvioidaan mm. koulutustarvetta, uusia tai poistuneita tehtäviä, saavutettuja tuloksia, palkkaa ja seuraavan vuoden tehtäviä. 7. Poikkeusoloissa tarvittavan henkilöstön VAP-anomukset on tehty ja niitä päivitetään vuosittain 8. Henkilöstöön liittyviä riskejä on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään 9. Henkilöstöön liittyvät riskit toteutuvat yllättäen eikä niitä varten ole olemassa mitään suunnitelmia tai yrityksen linjauksia. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Oli jatkuvuussuunnittelun sovellutustaso henkilöstöriskeihin mikä tahansa, niin aina: 1. On ymmärrettävä, että henkilöstö ja sen osaaminen on yleisesti ja erityisesti jatkuvuussuunnitteluun liittyen yrityksen tärkein voimavara 2. Edelliseen liittyen usean elintärkeän tai prosentuaalisesti suuren henkilöstömäärän yhtäaikainen menetys voi toteutuneiden tapausten mukaan jopa tuhota koko yrityksen 3. Henkilöstö osaa vain sitä mihin se on saanut koulutuksen ja mitä se on harjoitellut (mistä sillä on kokemuksia). Tämä korostuu häiriö- ja onnettomuustilanteissa sekä jatkuvuussuunnitteluun liittyvissä tilanteissa. Valtiojohdolla ja poliisilla on päävastuu terrorismiin varautumisessa. Todennäköisillä kohteilla, eli suurimmilla ja tärkeimmillä yrityksillä on velvollisuus seurata terrorismiuhkan kehittymistä yhdessä valtiojohdon ja poliisin kanssa Tietoturvallisuuden häiriöt Yleisesti tietoturvallisuuden uhkiin vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen tietoturvaan liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Yrityksellä on tietoturvaa 24/7 valvova yksikkö, joka pystyy puuttumaan verkon toimintaan välittömästi. 2. Yrityksen tietoturvauhkaan liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Sivu 18/38

19 Rikollisuus Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida uhkasta. Yrityksellä on omaa tai ostettua valvontaa verkoissaan. 3. Yrityksen periaatteet ja peruslinjaukset tietoturvauhkaan liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Yrityksen tietojärjestelmät ja laitteet on standardoitu ja niitä ylläpidetään keskitetysti. Yritys on huoltovarmuuskriittisille yrityksille tarkoitettujen CERT-FI palveluiden käyttäjä. Yrityksellä on salasanapolitiikka, jota toteutetaan ja valvotaan. 4. Tietoturvapäällikkö on laatinut yrityksen strategiasta tietoturvauhkaan liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Yrityksellä on käytössä automaattisesti päivittyvä virusturva, palomuurit ja ohjelmistopäivitykset. 5. On todettu, että yritykseen tarvitaan strateginen linjaus tietoturvauhkaan liittyen. On määritelty vastuuhenkilö, tietoturvapäällikkö uhkaan liittyen. 6. On tiedostettu, että tietoturvauhkalle pitää tehdä jotain. Reagointi on kertaluonteista. 7. Uhka on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Uhkaa ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Muuten yleisesti tietoturvan häiriöistä: 1. Yritykset ovat kasvavasti riippuvaisempi tiedosta. Tietoturvan hoitamisessa ei globaalissa maailmassa ole muuta keinoa kuin ammattimaisuus ja riittävät resurssit. 2. Yritys saattaa olla myös tietoturvahyökkäysten kohde, jopa Suomessa. Yleisesti rikollisuuteen vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen rikollisuuteen liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset rikollisuudesta kerätään ja analysoidaan. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Yrityksen rikollisuuteen liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida rikollisuuteen liittyen. 3. Yrityksen periaatteet ja peruslinjaukset rikollisuuteen liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset rikollisuudesta kerätään ja analysoidaan. 4. Vastuuhenkilö on laatinut yrityksen strategiasta rikollisuuteen liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Rikollisuuden kannalta kriittisimmät järjestelmät, palvelut tai tilanteet on tunnistettu. 5. On todettu, että yritykseen tarvitaan strateginen linjaus rikollisuuteen liittyen. On määritelty vastuuhenkilö, tyypillisesti turvallisuuspäällikkö rikollisuuteen liittyen. 6. On tiedostettu, että rikollisuudelle pitää tehdä jotain. Reagointi on kertaluonteista. Sivu 19/38

20 7. Rikollisuuden uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Rikollisuuden uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Muuten uhkista rikollisuuden uhkasta: 1. Rikollisuus aiheuttaa yritykselle monenlaisia uhkia. Tällaisia ovat esimerkiksi varkaudet, petokset, ryöstöt, murrot, tuhopoltot, pommiuhkaukset, yritysvakoilu, työntekijöiden murhat, sieppaukset ja ahdistelut sekä muut vahingonteko. 2. Varautumista helpottaa, että samankaltaisilla toimenpiteillä voidaan pienentää monien eri uhkien todennäköisyyttä ja vaikutusta. Vartiointi, kulunvalvonta, lukitukset, kameravalvonta henkilöiden identifiointi ja vastaavat toimenpiteet ovat keskeisiä näitä uhkia torjuttaessa Tulipalo tai palovahinko Yleisesti tulipaloihin varautumisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen tulipaloihin liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. Ulkopuolisten kokemukset tulipaloista tai niiden uhkista kerätään ja analysoidaan. Yrityksellä on päätoimisesti paloturvallisuusasioita hoitava henkilö ja oma koulutettu palokunta tai sammutusryhmä. 2. Yrityksen tulipaloihin liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tulipaloihin liittyen. Yrityksellä on sivutoimisesti paloturvallisuusasioita hoitava henkilö sekä koulutettu ja toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu ja ajantasaiset. Kaikki tärkeimmät ja haavoittuvimmat kohteet on suojattu omaehtoisesti automaattisilla sammutusjärjestelmillä, muissa toimitiloissa on kattava automaattinen paloilmoitinjärjestelmä. Alkusammutuskalustoa on riittävästi ja ne huolletaan ja tarkastetaan säännöllisesti. 3. Yrityksen periaatteet ja peruslinjaukset tulipaloihin liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Yrityksellä on oman toimen ohessa paloturvallisuusasioita hoitava henkilö sekä koulutettu ja toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu ja ajantasaiset. Kriittisimmät kohteet on suojattu omaehtoisesti automaattisilla sammutusjärjestelmillä, muissa toimitiloissa on kattava automaattinen paloilmoitinjärjestelmä. 4. Yrityksessä on laadittu yrityksen strategiasta tulipaloihin liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Yrityksellä on oman toimen ohessa turvallisuusasioita (ml. paloturvallisuusasioita) hoitava henkilö sekä koulutettu ja toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu ja ajantasaiset. Osa tärkeimmistä ja haavoittuvimmista kohteista on suojattu omaehtoisesti automaattisilla sammutusjärjestelmillä, muissa toimitiloissa on kattava automaattinen paloilmoitinjärjestelmä. 5. On todettu, että yritykseen tarvitaan strateginen linjaus tulipaloihin liittyen. On määritelty turvallisuusasioista vastaava henkilö. Yrityksellä on oman toimen Sivu 20/38

21 ohessa turvallisuusasioita (ml. paloturvallisuusasioita) hoitava henkilö ja nimetty mutta puutteellisesti toimiva omatoimisen varautumisen organisaatio. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu. Omaehtoista suojausta ei ole toteutettu. 6. On tiedostettu, että tulipalojen uhkalle pitää tehdä jotain. Reagointi on kertaluonteista. Yrityksellä on nimetty omatoimisen varautumisen organisaatio, mutta koulutus on puutteellista. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat laadittu. Omat havainnot tulipalosta tai sen uhkasta kerätään ja analysoidaan. Alkusammutuskalustoa on riittävästi ja ne huolletaan ja tarkastetaan säännöllisesti. 7. Tulipalouhka on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. Yrityksessä ei ole ketään omatoimisen varautumisen velvoitteista huolehtivaa henkilöä eikä toimivaa omatoimisen varautumisen organisaatiota. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) ovat puutteelliset. Toimitilat on suojattu vain lakisääteisillä paloilmoitin- tai sammutusjärjestelmillä. Alkusammutuskalustoa on, mutta ne huolletaan ja tarkastetaan puutteellisesti. 8. Tulipalouhkaa ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen. Yrityksessä ei ole ketään omatoimisen varautumisen velvoitteista huolehtivaa henkilöä. Omatoimisen varautumisen suunnitelmat (pelastussuunnitelmat) puuttuvat tai ovat puutteelliset. Toimitiloja ei ole suojattu paloilmoitin- tai sammutusjärjestelmillä, alkusammutus-kalusto on puutteellinen tai sen huolto ja/tai määräaikaistarkastukset on laiminlyöty. Muuten yleisesti tulipalon uhkaan liittyen: 1. Monissa yrityksissä sähköpalojen riski korostuu suuren sähkölaitekannan takia. Tulipaloriskiä toimitiloissa lisäävät siellä tehdyt korjaus-, rakennus- ja asennustyöt sekä tuhopolttojen mahdollisuus. 2. Tulipaloissa toimitiloille ja irtaimistolle tapahtuvien palo-, savu- ja nokivahinkojen lisäksi on huomioitava sammutustyöstä aiheutuvat vesi- ja kosteusvahingot sekä niiden vaikutukset. Tulipalojen torjunnassa tulee keskittyä erityisesti ennaltaehkäisevään toimintaan ja suojaustoimenpiteisiin, jotta uhkien todennäköisyyttä ja vaikutusta voidaan pienentää Luonnonilmiöt ja pandemia Yleisesti luonnon ilmiöihin ja pandemiaan vastaamisessa voidaan nähdä seuraavat kypsyystasot vaativimmasta vaatimattomimpaan: 1. Yrityksen luonnonilmiöihin ja pandemiaan liittyvä strategia ja siihen liittyvät perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa, ne on integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen ja niiden toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Yrityksen luonnonilmiöihin ja pandemiaan uhkaan liittyvä strategia ja siihen liittyvät periaatteet ja liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. 3. Yrityksen periaatteet ja peruslinjaukset luonnonilmiöiden ja pandemian uhkaan liittyen on viety yrityksen liiketoimintayksiköihin ja niistä on laadittu liiketoimintayksikkö-kohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. 4. Turvallisuuspäällikkö (vast.) on laatinut yrityksen strategiasta tiettyyn uhkaan liittyen yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Sivu 21/38

22 5. On todettu, että yritykseen tarvitaan strateginen linjaus luonnonilmiöiden ja pandemian uhkaan liittyen. On määritelty vastuuhenkilö, turvallisuuspäällikkö ko. uhkaan liittyen. 6. On tiedostettu, että luonnonilmiöiden ja pandemian uhkalle pitää tehdä jotain. Reagointi on kertaluonteista. 7. Luonnonilmiöiden ja pandemian uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Luonnonilmiöiden ja pandemian uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu ad hoc periaatteeseen ja on kertaluonteista jokaiseen uhkaan liittyen Keskeytysriskien liiketoimintavaikutusten analyysi Kartoitetaan ja analysoidaan keskeytysriskit ja niiden vaikutukset liiketoimintaan. Riskianalyysi ja liiketoimintavaikutusten analyysi erotetaan jatkuvuussuunnittelua koskevassa kirjallisuudessa käsitteellisesti toisistaan. Riskianalyysin tarkoituksena on tuottaa luotettavaa tietoa siitä, millaiset uhkat kohdistuvat yrityksen liiketoimintaprosesseihin ja arvioida näiden uhkien todennäköisyyttä. Liiketoimintavaikutusten analyysi puolestaan tuottaa arvion siitä, millaisia häiriöitä riskit toteutuessaan aiheuttaisivat yrityksen liiketoimintaprosesseille. Käytännön jatkuvuussuunnittelussa nämä kaksi toimintoa yleensä yhdistyvät. Tästä yhdistetystä riskianalyysistä ja liiketoimintavaikutusten analyysistä käytetään tässä yhteydessä nimitystä keskeytysriskien liiketoimintavaikutusten analyysi. 20 Riskien liiketoimintavaikutusten analyysi tuottaa seuraavat tiedot: - riskin kuvaus - tapahtuma ja sen mahdollinen aiheuttaja - arvio tapahtuman todennäköisyydestä tai esiintymistiheydestä - arvio tapahtuman vaikutuksesta liiketoimintoihin ja niiden tarvitsemiin resursseihin - kuinka laajan vahingon ja pitkän toiminnan keskeytyksen vahinko voi aiheuttaa. Vahingot luokitellaan muutamaan, yrityksen toiminnan kannalta käyttökelpoiseen kategoriaan. 3 Hallinnollinen varautuminen Hallinnollinen varautuminen käsittää varautumiseen tähtäävät hallinnolliset keinot, kuten organisaatiojärjestelyt, tehtävien ja vastuiden määrittely sekä henkilöstön ohjeistus, koulutus ja valvonta. Valmiussuunnittelun lähtökohtana tulee olla lainsäädännöstä tai muusta vastaavasta yritystä velvoittavasta määräyksestä johtuva velvoite nimettyjen toimintojen ylläpitämisestä erilaisissa turvallisuustilanteissa. On todennäköistä, että näihin toimintoihin liittyy muita yrityksen sisäisiä toimintoja, jotka eivät itsessään välttämättä ole em. määräyksessä mainittuja tai lueteltuja ylläpidettäviä toimintoja. Yrityksen on siis tunnistettava ylläpidettäväksi määrätyt toiminnot ja näitä tukevat tai avustavat toiminnot. 3.1 Yrityksen varautumisen yleisjärjestelyt Varautumisen organisointi ja sen tehtävät yleensä Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään jatkuvuussuunnittelun johtaminen, organisaation ja vastuuhenkilöt. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen perustuen HVK:n Tieto- VASU sovellutukseen ja Helvi Salmisen tutkimukseen. 20 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 29 Sivu 22/38

23 Selkeä perusvastuiden määrittely on katastrofi- tai onnettomuustilanteissa onnistuneen toiminnan käynnistymisen minimiedellytys. Perusvastuutasot valmiussuunnittelussa ovat toimitusjohtaja, valmiussuunnittelun vastuuhenkilö tai ryhmä, varsinainen valmiuspäällikkö tai valmiussuunnittelusta vastaava asiantuntija yrityksen johdossa, yrityksen liiketoimintayksikön tai vastaavan johtaja ja liiketoimintayksikön johtajat ja työntekijät. Valmiussuunnittelun käytännön toteuttaminen yrityksessä ja sen tuotantoyksiköissä edellyttää yrityksen valmiuspäällikön ja mahdollisesti tuotantoyksiköiden valmius-päälliköiden nimeämistä sekä projektiryhmän asettamista suunnittelun tueksi. Tuotantoalasta riippuen tehtävät määritellään käytännön tarpeiden mukaan. Valmiuspäällikön tehtävien ohella on välttämätöntä määritellä muiden valmiussuunnitelman toteuttajien tehtävät ja vastuut. Valmiussuunnittelu ja siihen sisältyvät toiminnot ovat osa yrityksen operatiivista toimintaa. Vastuu sen järjestämisestä on yrityksen toimitusjohtajalla. Valmiussuunnittelua ei pidä nähdä erillisenä toimintona joka toteutetaan yrityksen vallitsevan organisaation ulkopuolella. Huoltovarmuuskeskuksen poolit järjestävät jatkuvasti valmiuspäälliköiden koulutusta. Joukkoviestintäpooli pitää joka toinen vuosi alansa valmiusseminaarin ja järjestää tarvittaessa muutakin kulutusta alalla. Pienissä yrityksissä selvitään esim. valmissuunnittelusta vastaavan asiantuntijan avulla. Tällöin on myös yhdistetty johtoryhmässä olevan valmiussuunnittelun vastuuhenkilön ja varsinaisen valmiuspäällikön tehtävät. Suurissa yrityksissä tulee olla valmius-suunnittelusta vastaava henkilö johtoryhmässä sekä valmiuspäällikkö tarvittavine apulaisineen. Suurissa yrityksissä myös liiketoimintayksiköiden johtajilla on yleensä vastuuta ja tehtäviä valmiussuunnittelussa Toimitusjohtaja Toimitusjohtaja: - vastaa valmiussuunnittelusta (vast.) - määrittelee valmiussuunnittelun resurssit ja peruslinjaukset ja vastaa niistä - tulee tuntea yritykseen kohdistuvat yleiset valmiusvaatimukset ja yrityksen valmiussuunnittelun yleinen tilanne - raportoi hallitukselle soveltuvin osin valmiussuunnittelusta - tukee käytännössä valmiussuunnittelusta vastaavaa hänen työssään. On suositeltavaa, että valmiussuunnittelua koskien toimitusjohtaja - nimeää henkilön ja hänen avukseen tarvittaessa ryhmän - joka on vastuussa valmiussuunnittelun kokonaisuudesta yrityksessä, ja antaa hänelle riittävät valtuudet suunnittelun toteuttamiseen - määrittelee kenelle johtoryhmän jäsenelle valmiusasiat kuuluvat - määrittelee suunnittelun laajuuden - seuraa ja valvoo suunnittelun toteutusta Yrityksen valmiussuunnittelun vastuuhenkilö Valmiussuunnittelun on kuuluttava jonkun yrityksen johtoryhmä jäsenen vastuulle. Hänen ei tarvitse olla valmiuspäällikkö tai varsinainen valmissuunnittelusta vastaava. Valmiussuunnittelun vastuuhenkilö (tai suunnitteluryhmä) on keskeinen henkilö valmiussuunnittelun onnistumisessa. Onnistumisen edellytykset on henkilöllä, jolla on mm. hyvä yleisnäkemys yrityksen liiketoiminnoista, hyvä jatkuvuussuunnittelun Sivu 23/38

24 menetelmäosaaminen, järjestelmällinen työskentelytapa ja hyvät viestintätaidot, kyky työskennellä paineen alaisena ja riittävät toimivaltuudet tehtävän hoitamiseksi. 21 Valmiussuunnittelun vastuuhenkilön (ja mahdollisen suunnitteluryhmän) tulee - käydä läpi tässä ohjeessa kuvatut kokonaisuudet, ja määritellä miten ne liittyvät ko. yhtiön toimintoihin - selvittää yhtiön vallitseva tilanne valmius- ja varautumistoiminnassa - tutustua voimassa olevaan lainsäädäntöön ja yhtiötä velvoittaviin muihin viranomaismääräyksiin, jotka liittyvät valmiussuunnitteluun ja varautumiseen - laatia raportti, jossa verrataan yhtiön vallitsevaa varautumistasoa lainsäädännön sekä viranomaismääräysten vaatimuksiin (puutteet ja eroavaisuudet on erityisesti syytä tuoda esiin) - raportin pohjalta määritellä yhtiön toimintatapaan ja ympäristöön sopiva valmiussuunnitteluprosessi tai malli, joka liitetään osaksi yrityksen olemassa olevia suunnittelu prosesseja Valmiuspäällikkö tai -asiantuntija Varsinainen valmispäällikkö tai valmiussuunnittelusta vastaava asiantuntija: - johtaa yrityksen valmiussuunnittelua toimitusjohtajan linjausten mukaisesti ja raportoi siitä hänelle tai asianomaiselle johtoryhmän jäsenelle - laatii tai laadituttaa yrityksen valmiussuunnittelun perusasiakirjat - tulee tuntea yrityksen valmissuunnitteluun kohdistuvat vaatimukset yksityiskohtaisesti - vastaa alan koulutuksesta ja harjoittelusta. Yrityksen/toimipaikan varsinaisen valmiuspäällikön tehtäviä ovat: - valmiussuunnitelman laatiminen, toteuttaminen ja ylläpito - poolin määrittelemien valmiustekijöiden seuraaminen - tuotannollisen valmiuden seuranta - varastojen ja kriittisten raaka-aineiden seuranta - parannus-, kehitys- ja uudistusesitysten tekeminen yrityksen johdolle, poolille ja viranomaisille tilanneseurannan pohjalta - tietotekniikan valmiuden seuranta - pelastussuunnittelun koordinointi valmiussuunnittelussa - poolin tai viranomaisten toimeenpanemien erilaisten tiedustelujen käsittely ja niiden hoitaminen sekä - valmiuskoulutuksen järjestäminen tuotantoyksiköissä ja poolin koulutukseen osallistuminen. Valmiuspäälliköksi nimetään henkilö, jolla on välitön yhteys yrityksen johtoon valtuuksien ja toiminnan puitteiden luomiseksi, laaja toiminnan tuntemus tuotannon haavoittuvuuden analysoimiseksi ja varautumisen ohjaamiseksi, johdon tuki toiminnalle ja hyvät yhteydet joukkoviestintäpooliin. Valmiuspäällikölle nimetään sijainen. Valmiuspäällikkönä voi yrityksestä riippuen olla esim. toimitusjohtaja, materiaalijohtaja/-päällikkö tai tuotantojohtaja/-päällikkö. Valmiuspäällikön nimeämisestä tulee ilmoittaa joukkoviestintäpooliin. JVP:n sihteeri välittää tiedon edelleen Huoltovarmuuskeskukselle Liiketoimintayksiköiden johto ja työntekijät Yrityksen liiketoimintayksikön tai vastaavan johtaja: 21 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 24 Sivu 24/38

25 - toteuttaa yrityksen valmissuunnittelua omassa organisaatiossa yrityksen johdon linjausten mukaisesti - tulee tuntea omaan organisaatioon kohdistuvat yrityksen valmiussuunnitteluvaatimukset ja valmiussuunnittelun tilanne - määrittää yksikköönsä tarkemmat vastuut ja laadituttaa suunnitelmat. Yrityksen liiketoimintayksikön esimiehet ja työntekijät: - tulee tuntea omaa toimintaa koskevat valmiussuunnitteluasiat - tulee toimeenpanna valmiussuunnitelman edellyttämät toimenpiteet yksikössään (vast.). Valmiussuunnitteluun liittyvät tehtävät tulee näkyä soveltuvin osin henkilöstön työjärjestyksessä, tulossopimuksissa kehityskeskusteluissa. Jatkuvuussuunnitteluvastaavan, jatkuvuussuunnitteluryhmän ja jatkuvuussuunnittelun ohjausryhmän tehtäviä on tarkemmin käsitelty Helvi Salmisen kirjassa sivuilla Yrityksen varautumisen avainalueet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään millä toimialoilla ja missä yksiköissä tehtävät poikkeusoloissa muuttuvat ja missä ovat varautumisen keskeiset alueet. Alla on esitetty perusteita tähän lukuun liittyvien asioiden suunnitteluun. Jotta voitaisiin määritellä kokonaisuudet on ensin tunnettava ja ymmärrettävä yrityksen liiketoiminta. Tämän perusteella voidaan määritellä, mitkä toiminnot tai prosessit ovat välttämättömiä, jotta keskeiset liiketoiminnot voivat jatkua minimitasolla myös erityistilanteissa ja poikkeusoloissa. On selvitettävä: - mitä liiketoimintatavoitteita yhtiöllä on - kuinka liiketoimintatavoitteet saavutetaan - millaisia palveluita yhtiö tuottaa - henkilöt tai yksiköt, jotka liittyvät em. palveluiden toteuttamiseen ja tuottamiseen (sekä yhtiön sisäiset että ulkopuoliset) - millaiset aikarajat liittyvät em. palveluiden saatavuuteen - onko lainsäädännössä tai viranomaismääräyksissä vaatimuksia palveluiden saatavuuden suhteen. Huomio on keskitettävä niihin toimintoihin, joiden kautta häiriö- ja eritystilanteet tai poikkeusolot vaikuttavat nopeimmin koko liiketoimintaan. Em. kysymyksistä kolme ensimmäistä ovat tyypillisiä liiketoiminta-analyysissä käytettäviä kysymyksiä, kun taas kolme jälkimmäistä liittyvät liiketoiminnan haavoittuvuuden arviointiin. 3.3 Suunnitteluhierarkia Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa selvitetään, kuka laatii ohjeet, suunnitelmat ja toimintamallit. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Valmiussuunnittelu toteutuu parhaiten silloin kun se on osa yhtiön normaaleja suunnitteluprosesseja. On kuitenkin syytä huomioida valmiussuunnitteluun usein liittyvä luottamuksellisuus. On määriteltävä valmiussuunnitelman ja siihen liittyvän materiaalin turvallisuusluokka yhtiössä. Suunnitelmassa on tietoa yhtiön operatiivisista heikkouksista ja yritys todennäköisesti haluaa pitää ne vain omana tietonaan. Sivu 25/38

26 Vaikka valmiussuunnitelma ei olekaan julkinen asiakirja yhtiössä, suunnittelusta ei ole syytä tehdä salatiedettä. Kuten edellä on kuvattu, siihen on otettava mukaan riittävä määrä sellaisia henkilöitä jotka joko itse tai joiden yksikkö/ryhmä liittyvät haavoittuvuusarviossa tunnistettuihin toimintoihin. Näillä henkilöillä on paras asiantuntijuus ja usein myös suurin mielenkiinto oman tehtävänsä ja toimintonsa toiminnan varmistamiseen häiriötilanteissa. Valmius- ja jatkuvuussuunnittelun asiakirjojen hierarkiana voidaan kuvata kolmen tasoisena: 1.Yrityksen yleiseen toimintaan liittyvät perusteet. Nämä tekee yritys ylin johto: - yrityksen arvot, tavoitteet, strategia - liiketoiminta-analyysi - liiketoimintariskien kartoitus ja analyysi - resurssien luonti - koulutus, ohjeistus, harjoittelu tällä tasolla. 2. Valmius- ja jatkuvuussuunnitteluun liittyvät yleiset perusteet: Nämä tekee yrityksen johto apunaan jatkuvuussuunnitteluvastaava ja jatkuvuussuunnitteluryhmä: - tähän saadaan perusteet edellisestä vaiheesta - jatkuvuussuunnittelun strategia ja tavoitteet - johtaminen ja vastuu, organisaatio: mitkä asiat tai liiketoiminta- tai tukiyksiköt vaikuttavat - resurssien jakaminen - operatiivisten asiakirjojen kartoitus ja niiden tavoite - prosessi, raportointi, mittarit - resurssien jakaminen - koulutus, ohjeistus, harjoittelu tällä tasolla. 3.Operatiiviset, toteutukseen liittyvät asiat. Nämä tekee jatkuvuussuunnitteluvastaava ja liiketoimintayksiköt - tähän saadaan perusteet edellisestä vaiheesta - operatiivisten jatkuvuussuunnitteluasiakirjojen teko, koulutus ja päivitys - yrityksen muiden operatiivisten asiakirjojen valmius- ja jatkuvuussuunnittelukohtien teko, koulutus, päivitys - liiketoimintayksikkö- ja alemman tason (yksilöt) valmius- ja jatkuvuussuunnittelun toteutusasiakirjat tarvittavassa laajuudessa - resurssien käyttö - koulutus, ohjeistus, harjoittelu tällä tasolla. Tavoite on, että valmius- tai jatkuvuussuunnittelu läpäisee koko yrityksen. Ne joilla on rooli suunnittelussa tietävät sen ja tietävät miten toiminta hoidetaan käytännössä. Suunnittelua johdetaan osana yrityksen kokonaistoimintaa ja siihen integroituna. Kokemukset omasta, kilpailijoiden ja ulkomaisesta vastaavasta toiminnasta voidaan kerätä, analysoida sekä päättää omista toimenpiteistä niiden perusteella. Toimintaa, esim. prosessi, raportointi, koulutus, tulee harjoittaa pitkäjänteisesti ja hankkia siitä vuosien kokemus. 3.4 Yrityksen johtamistoiminta poikkeusoloissa Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään miten yleiset yritystä johdetaan poikkeusoloissa. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Sivu 26/38

27 3.4.1 Yleistä Yrityksen organisaatio ja johtamisvastuut säilyvät ennallaan myös erityistilanteissa ja poikkeusoloissa. Varmin keino epäonnistua on luoda erillinen organisaatio yrityksen johtamiseen erityistilanteissa tai poikkeusoloissa. Haavoittuvuusarvio auttaa tunnistamaan yhtiön operatiivisen toiminnan kannalta keskeiset toiminnot ja henkilöt. Arvioita on syytä päivittää siten, että muutokset huomioidaan myös valmiussuunnitelmassa. Suunnittelun yhteydessä tunnistetut toiminnot ja niiden johtajat sekä esimiehet on otettava riittävällä laajuudella mukaan valmiussuunnitteluun vähintään siten, että suunnitelma koulutetaan heille, ja heidät sitoutetaan suunnitelman ylläpitoon ja tarvittaessa toteuttamiseen. Jos etukäteen arvioidaan, että poikkeusoloissa organisaatiorakennetta on muutettava, muuttaminen on valmisteltava etukäteen jo suunnitteluvaiheessa. Muuttamisen syynä saattaa olla esim. tarve keventää organisaatiota, jotta määräysvalta ja raportointi voidaan järjestää siten, että se tapahtuu suoraan ko. toiminnan operatiivisen johdon ja yhtiön toimitusjohtajan välillä. Kaikki tällaiset muutokset on kirjattava suunnitelmaan Kriisijohtamisesta Suunnitelman tässä osaa esitetään mistä johdetaan, varapaikat, yhteydet, yhteystiedot oman organisaation ja yhteistyökumppanien osalta sekä mitä välineitä ja keinoja on mitä käytössä. Ruotsin median uhkia käsitelleessä tutkimuksessa tuli esille: - noin puolet yrityksestä katsoi, että ne eivät tarvitse erityistä kriisijohtamista ja varatiloja tapahtumien jälkeen osa suurista yrityksistä on varautunut jatkuvuussuunnittelulla myös poikkeuksellisiin tapahtumiin - jotkut yritykset katsovat, että ne toimivat uutistuotannossa jatkuvassa kriisissä 22 - jos mediayritysten kyky välittää tietoja heikkenee tai loppuu kriisin yhteydessä, on sillä merkittävä vaikutus yleisön luottamukseen siitä, että yhteiskunta pystyy kriisiä hoitamaan. Kriisijohtamisessa on ns. kultaisen tunnin periaate. Tapahtuman ensimmäisen tunnin toimenpiteet ratkaisevat paljon siitä, mitä kriisistä yritykselle seuraa Kriisitilanteiden johtamiseen liittyvistä resurssitarpeista Poikkeusoloissa ja kriisitilanteissa korostuvat seuraavat neljä asiaa: 1. Tilannekuva: On (nopeasti) hahmotettava, mitä on tapahtunut ja mikä on tilanne keskeisten resurssien osalta. Mistä siis muodostuu yrityksen tilannekuva? Mitkä ovat yrityksen kannalta keskeiset resurssit ja miten niiden tilasta saadaan tieto? 2. Tiedonkäsittelykapasiteetti: Tarve tiedonkäsittelyyn kasvaa, koska tilanne on poikkeuksellinen ja epäselvä. Mitä on tapahtunut ja mitä on tehtävä? Onko yrityksellä tähän kapasiteettia? Tiukan taloudellisen tilanteen aikana organisaation henkilöstömäärä on mitoitettu normaalioloja varten. Jonkin 22 Kommentti: Tässä on merkittävä ero siinä, että valmiussuunnittelu koskee sellaista tapausta, jossa yritys itse joutuu onnettomuuden kohteeksi eikä vain raportoi siitä. Sivu 27/38

28 verran tiedonkäsittelykapasiteettia voidaan toki lisätä esim. ylitöillä. Tällöin on kuitenkin kyse lyhyestä, noin viikon toiminnasta. 3. Tiedonsiirtokapasiteetti: Tarve toimivaan tiedonsiirtokapasiteettiin korostuu em. kohtien perusteella. Tarvitaan paljon poikkeuksellista (ja nopeaa) koordinaatiota ja se edellyttää tiedonsiirtokapasiteettia. Normaalit tiedonsiirtoverkot on rakennettu normaaliaikojen tiedonsiirtotarpeita varten. Poikkeusoloissa niihin kohdistuu monessa mielessä poikkeukset kuormitukset ja vaatimukset. 4. Saatu koulutus: Toiminta perustuu olevan ja käyttöön saatavan henkilöstön osaamiseen ja siihen koulutukseen, jonka he ovat poikkeusolojen toimintaan saaneet. Nopeasti kehittyvässä ja yllättävässä kriisissä pystytään (aluksi) tekemään vain niitä asioita, joita on harjoiteltu ja joista on kokemuksia. Saatu koulutus on myös keskeinen väline tulkita, mitä on tapahtunut, miten tapahtunut vaikuttaa keskeisiin järjestelmiin ja toimintoihin ja mitä tästä voi seurata. 3.5 Henkilöstön käyttö poikkeusoloissa ja VAP Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään mm. vapauttaminen puolustusvoimien palveluksesta (VAP) ja ulkoistettujen toimintojen turvaaminen, hälytys- ja kriisihallintamenettelyt. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Keskeinen osa valmiussuunnittelua on henkilöstön toiminnan suunnittelu. Henkilöstön käytön suunnittelu on syytä ulottaa koskemaan työntekijän koko palveluksessaoloaikaa, aina uuden työntekijän rekrytoinnista siihen saakka kun työntekijä syystä tai toisesta siirtyy pois yhtiön palveluksesta. Lisäksi eläkkeelle jääneet ovat merkittävä resurssi poikkeusolojen organisaation vahvistuksena muutamien vuosien ajan eläkkeelle siirtymisen jälkeen. Tässäkin tapauksessa em. korvamerkintämenetelmä toimii hyvänä apuna. Jos esim. työntekijä siirtyy organisaation sisällä uuteen tehtävään, joka liittyy suunnitteluvaiheessa tunnistettuun keskeiseen toimintoon, on tällainen työntekijä ehkä perehdytettävä valmiussuunnitelmaan. Perehdyttämistarve riippuu luonnollisesti ko. henkilön työtehtävästä. VAP-varaukset Jotta yhtiö voi käyttää omaa henkilöstöään poikkeusoloissa on yhtiön huolehdittava siitä, että sen ehdottomasti tarvitsema osa työntekijöistä on sen käytettävissä. Tällöin on huolehdittava siitä, että nämä henkilöt saadaan ns. VAP-varauksen piiriin. VAP tarkoittaa henkilöä, joka on vapautettu sotilaallisesta palveluksesta sodan aikana. Varaus tehdään tekemällä asiasta anomus Puolustusvoimille. Lisätietoa asiasta on mm. Puolustusvoimien nettisivuilta: Ulkoistetut toiminnot Henkilöstön käyttöön liittyy keskeisesti myös ulkoistettujen toimintojen turvaaminen. Tämä edellyttää huolellisuutta ulkoistussopimuksen valmistelussa. Jos ulkoistaminen koskee toimintoa, joka haavoittuvuusarviossa on tunnistettu keskeiseksi, on tämä ehdottomasti huomioitava myös ulkoistamissopimuksessa. Ulkoistuskumppanilta on vaadittava, ja sopimukseen on kirjattava ulkoistavan yhtiön valmiussuunnitelman kannalta vähimmäistaso ko. palvelulle ja sen saatavuudelle. Hälytys- ja kriisinhallintamenettely Sivu 28/38

29 Jotta yhtiön johto voi reagoida poikkeavaan tilanteeseen, sen on sen saatava tieto siitä. Valmius- ja varautumistoiminnassa onkin laadittava menettely ja ohje siihen, miten häiriötilanteesta ilmoitetaan yhtiössä eteenpäin. On määriteltävä esim: - minkä tyyppisistä asioista ilmoitetaan - mihin teknisiin järjestelmiin liittyvistä häiriöistä ilmoitetaan - kuinka pitkistä lähetyskatkoksista ilmoitetaan - henkilöt tai henkilöryhmät joihin liittyvistä tapahtumista ilmoitetaan. Hälytysmenettelyohjeeseen on sisällytettävä myös tieto kenelle ilmoitetaan, sekä kuinka ilmoitus tehdään. Onko yhtiöllä käytössään 24/7-miehitetty valvontakeskus? Tehdäänkö ilmoitus tietystä puhelinnumerosta? Voiko ilmoituksen tehdä vaikka suoraan toimitusjohtajalle, vai tehdäänkö se aina jollekin hänen alaiselleen johtajalle, joka tarvittaessa välittää tiedon eteenpäin? Nämä ovat asioita, jotka on syytä miettiä etukäteen valmiiksi ja kouluttaa koko henkilökunnalle. Vain tällä tavalla voidaan pyrkiä varmistamaan, että yhtiön johto saa ajoissa tiedon mahdollisesti vakavasta poikkeamasta operatiivisessa toiminnassa. On myös tärkeää pyrkiä varmistamaan yhtiön käyttämien viestivälineiden ja järjestelmien toimivuus. Jos yhtiön kaikilla työntekijöillä on käytössään vain GSMpuhelimet, on suuri vaara, että laajan häiriön sattuessa GSM-verkko tukkeutuu, eikä puheluita saada läpi. Yhtiö saattaa joutua tällaiseen tilanteeseen vaikka häiriö ei kohdistuisi edes suoraan ko. yhtiöön. Puhelinvaihteen ja verkon toimivuuden varmistaminen onkin yksi valmiussuunnittelun haastavimmista osista. Yritysten valmiussuunnitelmiin voi kuulua eläkeläisten pitäminen esim. 3 6 vuotta listoilla laajoja ongelmatilanteita tai kriisiajan johtamisorganisaatioita varten ja vuosittain pudottaa yksi ikäluokka pois ja lisätä yksi ikäluokka (ko. vuonna eläkkeelle jääneet). Ko. henkilöstöä tulee myös harjoituttaa yrityksen valmiusharjoituksissa. Yhteyshenkilöiden vaihtaminen on yksi keino koordinoida eri organisaatioiden toimintaa. Voidaan esim. sijoittaa teleyrityksen yhteyshenkilö sähkölaitoksen valvomoon tai puolustusvoimien yhteyshenkilö TIVA-yksikköön. Näihin tehtäviin voidaan käyttää parin edellisen vuoden eläkeläisiä. He tarvitsevat koulutusta tai harjoittelua tehtäviinsä. Henkilöstövarautumiseen kuuluu henkilöstöön liittyvien tietoturvariskien hallinta henkilöstön soveltuvuuden, toimenkuvien, sijaisuuksien, tiedonsaanti- ja käyttöoikeuksien, suojaamisen, turvallisuuskoulutuksen ja valvonnan osalta. Vakavissa kriisitilanteissa työvoiman ohjaus ja asevelvollisuus saattavat vaikuttaa yrityksen mahdollisuuksiin käyttää asiantuntevaa, koulutettua henkilökuntaa ja työvoimaa tuotantotoiminnassa. Valtiovallan toimenpiteet vaikuttavat myös yrityksen käyttämiin palveluihin, erityisesti tietojenkäsittelyssä ja huolto- ja korjaustoiminnassa. 23 Tuotannon rakennemuutoksen seurauksena: - osa henkilöstöstä vapautuu karsittaessa perushuollon kannalta toisarvoinen tuotanto - kriisiajan tuotantoon joudutaan sijoittamaan tuotannon lisäyksen vuoksi uutta henkilöstöä - johto- ja vastuuorganisaatio on luotava uuden tuotantorakenteen mukaiseksi - tuotanto keskittyy mahdollisesti muualle kuin normaaliolojen päätuotantolaitoksiin 23 HVK:n valmiussuunnitteluohjelma Tieto-VASU Sivu 29/38

30 - osa henkilöstöstä joudutaan kouluttamaan uudestaan - henkilöstöä vapautuu myynti-, tuotekehitys- ja suunnitteluorganisaatioista - tuotantokapasiteetin lisäykset aiheuttavat työaikamuutoksia. Työvoiman käyttöön vaikuttavat lisäksi: - valtiovallan suorittama työvoiman ohjaus perushuollon kannalta - tärkeimpiin kohteisiin - huolto- ja korjauspalvelujen ohjaus, jonka seurauksena omaan huol- - toon ja korjaukseen voidaan joutua sitomaan työvoimaa - miespuolisen työvoiman kutsuminen puolustusvoimien palvelukseen - ulkomaisten asiantuntijoiden ja palvelujen käytön estyminen sekä - väestön evakuoinnit. 3.6 Turvallisuusjärjestelyt Pysyvät turvatoimet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään kaikki sellaiset turvallisuuteen liittyvät toimenpiteet, joiden tarkoituksena on havaita mahdollinen uhka, turvata yrityksen asiakkaat, palvelut, henkilökunta, toiminta ja omaisuus. Turvallisuuteen liittyy erityisen tärkeänä osana tietojärjestelmien turvallisuus. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Edellä on kerrottu kuinka valmiussuunnittelun alkuvaiheessa on kartoitettava yhtiön vallitseva tilanne valmius- ja varautumisasioissa. Yhtenä osana tätä on yhtiön turvallisuustoimintojen arvioiminen. Tällä tarkoitetaan mm. kiinteistöjen vartiointia ja kulunvalvontaa, henkilöiden kulkuoikeuksien hallinnointia, vartiointisopimuksia, turvallisuusohjeita ja kaikkia henkilöstön ja kiinteistöjen turvallisuuteen liittyviä asioita. Onko esim. henkilökorttien hallinnointi ajan tasalla? Onko sitä ohjaava prosessi ja ohjeistus kunnossa? Onko olemassa menettely, jolla henkilölle voidaan myöntää tai häneltä voidaan poistaa kulkuoikeus mihin vuorokauden aikaan tahansa? Vähintään yhtä tärkeä osa yritysturvallisuuden järjestelyjä on tietoturvallisuus. Tässä yhteydessä tarkoitetaan yhtiön tiedon turvaamista, riippumatta siitä onko kyseessä sähköisessä muodossa oleva tieto vai ei. Lähestymiskulma pitää siis sisällään myös tietoteknisen turvallisuuden. Tietoturvallisuus alkaa nykyään olla keskeisin yritysturvallisuuden osa lähes missä tahansa yrityksessä. Erityisesti tämä pitää paikkansa tietoliikenne- ja joukkoviestinnän yrityksissä, joissa koko liiketoiminta perustuu sähköisiin tietojärjestelmiin. Onko määritelty kuka hallinnoi tietojärjestelmien käyttöoikeuksia? Onko hänelle määrätty varahenkilö? Jos hallinnointi on ulkoistettu, onko sopimuksessa huomioitu palvelun saatavuus erityis- ja poikkeustilanteissa? Valmiussuunnittelun yhteydessä on arvioitava myös yhtiön tarve tehdä yhteistyötä eri viranomaisten kanssa. Tällä voi olla suuri merkitys kun yhtiössä mietitään miten sen toimintaympäristön turvallisuustilannetta voisi parhaiten seurata, millaisiin uhkakuviin tulisi varautua jne? Porrastetut turvatoimet Suunnitelman tässä osassa käsitellään ne toimenpiteet, joilla voidaan olevaa turvatasoa parantaa riskien tason perusteella. Sivu 30/38

31 On erittäin epätodennäköistä, että Suomi joutuisi poikkeusoloja vastaavaan kriisin täysin yllättäen ja vailla ennakkovaroituksia. Vakavakin kriisi kehittyy vaiheittain, mutta eri vaiheiden välinen aika saattaa vaihdella. Toisaalta yksittäinen yhtiö voi joutua tilanteeseen, joka on sille kriisi, mutta joka ei vaikuta muuhun yhteiskuntaan tai yhtiön toimintaympäristöön juuri lainkaan. Mutta tällainenkin kriisi saattaa kehittyä hitaasti, vaihe vaiheelta. Yhtiön toiminnan kannalta on tärkeää, että se pystyy tarvittaessa muuttamaan toimintamalliaan vallitsevien olosuhteiden mukaan myös erityistilanteissa. Tämä koskee myös yritysturvallisuuden järjestelyjä. Toisaalta turvallisuusjärjestelyjä voidaan joutua tiukentamaan jo ennakolta, vaikka mitään konkreettista häiriötä tai poikkeamaa ei ole vielä ilmennytkään. Jos esim. yhtiö tunnistaa tai saa tietoonsa yhtiön toimintaan liittyvän uhan (esim. tietojärjestelmiin kohdistuva uhkaus) sen on syytä arvioida ja tarvittaessa muuttaa tietoturvallisuuskäytäntöjään. Fyysisten toimipaikkojen turvallisuuteen kohdistuva uhka puolestaan saattaa aiheuttaa tarvetta tiukentaa kohteiden vartiointia. Oli kyseessä sitten tietoturvallisuus tai fyysinen turvallisuus on tärkeää, että valmiussuunnittelun yhteydessä määritellään kuka yhtiössä voi määrätä tällaisista turvallisuusjärjestelyjen muutoksista? Pitääkö päätös hyväksyttää yhtiön johdolla? Tietääkö tietojärjestelmiä hallinnoiva ulkopuolinen yhtiö kenellä on oikeus esim. työajan ulkopuolella pyytää käyttäjätunnusten sulkemista? Onko tällainen toimenpide ylipäätään mahdollista muulloin kuin normaalin työajan puitteissa? 3.7 Pelastussuunnitelma Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään pelastussuunnitelman perusteet. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Pelastussuunnitelma perustuu pelastuslakiin (468/2003) ja sen 8 pykälään omatoimisesta varautumisesta ja 9 pykälään suunnitteluvelvoitteesta. Lisäksi pelastussuunnitelman laatimisesta on määrätty sekä Valtioneuvoston asetuksessa pelastustoimesta (787/2003) ja sen 9 pykälässä velvollisuudesta laatia pelastussuunnitelma. Asetuksen 10 pykälässä on esitetty pelastussuunnitelma sisältö. Pelastussuunnitelmassa on selvitettävä: 1. Ennakoitavat vaaratilanteet ja niiden vaikutukset 2. Toimenpiteet vaaratilanteiden ehkäisemiseksi 3. Poistumis- ja suojautumismahdollisuudet sekä sammutus- ja pelastustehtävien järjestelyt 4. Turvallisuushenkilöstö, sen varaaminen ja kouluttaminen sekä muun henkilöstön tai asukkaiden perehdyttäminen suunnitelmaan 5. Tarvittava materiaali kuten alkusammutus-, pelastus- ja raivauskalusto, henkilösuojaimet ja ensiaputarvikkeet sen mukaan kuin ennakoitujen vaaratilanteiden perusteella on tarpeen 6. Ohjeet erilaisia 1 kohdan mukaisesti ennakoituja onnettomuus-, vaara- ja vahinkotilanteita varten 7. Miten suunnitelmaan sisältyvät tiedot saatetaan asianomaisten tietoon? Pelastussuunnitelma on syytä käsittää ne normaali- ja poikkeusolojen järjestelyt ja toimenpiteet joilla yhtiön toimipisteissä varaudutaan hätä- ja onnettomuustilanteiden varalle. Näitä voivat olla esim. tulipalo, korjaus-, huolto- ja muutostöiden aiheuttamat vaarat, loukkaantumis- tapaukset, tuhotyöt, pommiuhkaus, jne. Sivu 31/38

32 Toiminta voidaan ryhmittää onnettomuuksien ennaltaehkäisyyn, pelastus ja suojelutoimintaan eri tilanteissa ja väestönsuojeluun. 3.8 Varautumiskoulutus Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa käsitellään varautumiseen liittyvä koulutus sekä osallistuminen muiden järjestämiin varautumista käsitteleviin harjoituksiin yms. tilaisuuksiin. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Jatkuvuussuunnitteluun liittyvää koulutusta tarvitaan suunnittelun eri vaiheissa kaikille jatkuvuussuunnitelmien kehittämiseen osallistuville henkilöille. Myös niille henkilöille, jotka eivät osallistu suunniteluun mutta joilla on tehtäviä suunnitelmien toteuttamisessa (esimerkiksi erityistilanneorganisaatiossa), on syytä järjestää heidän tehtäviinsä liittyvää koulutusta. 24 Valmiussuunnitelmaan on syytä sisällyttää myös osio suunnitelman koulutuksesta ja sen harjoittelemisesta. Harjoittelu voidaan toteuttaa yhtiön sisäisinä harjoituksina. Toisaalta on hyödyllistä päästä vertaamaan suunnitelman toimivuutta viranomaisten näkökulmasta. Tämä onnistuu osallistumalla viranomaisten järjestämiin varautumisharjoituksiin ja tarkastuksiin. Lisätietoja saa Liikenne- ja viestintäministeriön valmiusyksiköstä. Osa jatkuvuussuunnittelun vuosittaista arviointia on koulutustarpeen arviointi. Sen pohjana on saadut havainnot toimintaympäristön muutoksista, pidetyistä harjoituksista sekä henkilöstön itse havaitsemista tarpeista. Toimintaympäristön muutoksia ovat mm. uudet lait (vast.) ja määräykset, uudet järjestelmät, uusi tekniikka, uudet organisaatiot sekä koti- ja ulkomaiset havainnot SJV:n toiminnasta. Jatkuvuussuunnittelun ja varautumisen koulutusta kotimaassa antavat: - puolustusvoimat järjestävät valtakunnallisia maanpuolustuskursseja, erikoiskursseja sekä alueellisia maanpuolustuskursseja, viimeksi mainitut paikallisen lääninhallituksen (vast.) kanssa - yleistä varautumiskoulutusta järjestävät myös Pelastusopisto, Suomen Pelastusalan Keskusliitto sekä monet vapaaehtoisen maanpuolustuksen järjestöt ja liitot, erityisesti MPK - monet Puolustustaloudellisen suunnittelukunnan poolit järjestävät varautumiseen liittyvää alakohtaista koulutusta. HVK:n poolit järjestävät oman alansa varautumiseen ja jatkuvuussuunnitteluun liittyvää yleistä koulutusta seminaareissaan. Myös toimialojen liitot (vast.) saattavat järjestää alan täsmäkoulutusta esim. omilla liittopäivilllään. Lisäksi suuret yritykset järjestävät omaa sisäistä valmiuskoulutusta. Kansainvälistä koulusta oman alan varautumiseen saattaa myös olla saatavana. 3.9 Varautumisharjoitukset Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa esitetään ne harjoitukset joihin yritys osallistuu ja mahdollisesti joita se järjestää itse, ketä harjoituksiin osallistuu ja millä tavoitteella. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Valmiusharjoituksia toimeenpannaan viranomaisten toimesta lähinnä yhteiskunnan kriisivalmiuden varmistamiseksi sekä viranomaisten ja muiden yhteisöjen yhteistoiminnan kehittämiseksi. Laajin valtionhallinnon järjestämä valmiusharjoitus 24 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 45 Sivu 32/38

33 on nelivuotiskausittain järjestettävä kaikki hallinnonalat kattava valtakunnallinen valmiusharjoitus VALHA. Joka toinen vuosi järjestetään puolustusvoimien sekä liikenne- ja viestintäministeriön toimesta sähköisten tieto- ja viestijärjestelmien toimintaa käsittelevä TIETO-harjoitus. Suppeampia valmiusharjoituksia järjestetään vuosittain lääninhallitusten ja muiden viranomaisten sekä elinkeinoelämän organisaatioiden toimesta. Koulutuksen ja harjoitusten järjestäminen on asianomaisen organisaation esim. valtakunta, lääni tai pooli - vastuulla. Yritykset osallistuvat tarpeensa mukaan yleiseen varautumiskoulutukseen ja järjestävät tarvittaessa yrityksen sisäistä varautumiskoulutusta. Kunkin organisaation tulee koulutuksen ja harjoitusten avulla varmistaa henkilöstönsä kyky huolehtia varautumiseen liittyvistä ja turvallisuustilanteiden edellyttämistä tehtävistä. 4 Toiminnallinen varautuminen 4.1 Tietojenkäsittelyn ja tiedonsiirron turvaaminen Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään tietojenkäsittelyn ja tiedonsiirron turvaamiseen liittyvät asiat. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Ohjelmistovarautuminen sisältää käyttöjärjestelmiin ja muihin ohjelmistoihin kohdistuvat toimet, kuten ohjelmistojen tunnistamis-, eristämis-, pääsynvalvontaja varmistusmenettelyt, tarkkailu- ja paljastustoimet, lokimenettelyt ja laadunvarmistus sekä ohjelmistojen ylläpitoon ja päivitykseen liittyvät toimet varautumisen parantamiseksi. 25 Käyttövarautuminen sisältää tietotekniikan käyttöön, käyttöympäristöön, tietojenkäsittelyyn ja sen jatkuvuuteen sekä tuki-, ylläpito-, kehittämis- ja huoltotoimintoihin liittyvät keinot tietoturvallisuuden parantamiseksi. 26 Puhelinyhteyksien järjestäminen - Vahinko saattaa katkaista yrityksen normaalit puhelinyhteydet, jolloin ensimmäisenä on hoidettava yrityksen puhelinvaihteen toimintojen ohjaus sovittuun palveluun. Tämän lisäksi on hyvä olla käytössä riittävä määrä matkapuhelimia, joihin vaihteeseen tulevat puhelut ohjataan. Puhelinvaihdepalvelua hoitavalle yritykselle on annettava tarkat ohjeet siitä, kenelle puheluita voidaan yhdistää. Jos vahinkotilanteen selvittelyn avainhenkilöiden puhelinnumerot ovat olleet julkisesti tiedossa, on toipumisjärjestelyihin liittyvää yrityksen sisäistä viestintää varten järkevää hankkia vain tähän tarkoitukseen rajoitetut puhelinliittymät. 27 Varajärjestelyissä käytettävien tietoliikenneyhteyksien käyttöönotto on välttämätön edellytys varajärjestelmien käyttöönotolle. Varayhteyksien on toimittava henkilöstön työtiloista tietoteknisiin varajärjestelmiin. Lisäksi yrityksen ulkoisen tietoliikenteen varayhteydet on otettava käyttöön. 28 Lähetystoiminnan, materiaalinkäsittelyn, arkiston, keskeisten tuotantoyksiköiden, uutistoiminnan yms. televisiotoiminnalle välttämättömät tietoverkot tulee eristää yrityksen muista verkoista palomuurilla asiattoman pääsyn, häiriöiden leviämisen ja esim. mahdollisten virusten tai hyökkäysten estämiseksi. On myös pidettävä 25 HVK:n valmiussuunnitteluohjelma Tieto-VASU 26 HVK:n valmiussuunnitteluohjelma Tieto-VASU 27 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 37 Sivu 33/38

34 huolta riittävistä varmuuskopioista. Televisiotoiminnan tietoverkot tulee varmistaa toiminnallisesti ja taata niistä pääsy tarvittaviin kohteisiin myös mahdollisten häiriöiden aikana. Jos tuotannonohjaus-järjestelmät sijaitsevat muulla verkkoalueella, näiltä tulee varmistaa tiedonsiirto lähetystoiminnan järjestelmiin mahdollisuuksien mukaan fyysisesti vaihtoehtoisilla reiteillä. Ulkoisten tietoliikenneyhteyksien varmentamisessa on mahdollisuuksien mukaan pyrittävä käyttämään useamman operaattorin yhteyksiä. Tietoturvallisuuden häiriöitä ja niihin vastaamista on käsitelty uhkina ja niihin vastaamisena luvussa ja tietoliikennehäiriöitä uhkina ja niihin vastaamista luvussa Energiansaannin turvaaminen Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään energiansaannin turvaamiseen liittyvät asiat. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Sähkönsyötön tulee olla varmennettu rinnakkaisilla sähköliittymillä, jos mahdollista. Varavoimajärjestelyjä (UPS, akkuvarmennus, kiinteä varageneraattori, siirrettävä varavoima) tulisi käyttää keskeisten toimintojen kriittisille yksiköille. Varmistettavat laitteet tulisi priorisoida kriittisyyden mukaan. Lähetystoiminta, siirtoyhteydet, keskeiset tuotantoyksiköt, tuotannonohjaus, myyntijärjestelmät ja näiden tarvitsema tietoverkko tulee varmistaa katkeamattomalla sähkönsyötöllä. Katkeamaton sähkönsyöttö varmistetaan tarvittaessa generaattorilla ja esim. kahdennetulla voimansyötöllä sähköyhtiöltä. Sähkögeneraattorille tulee varmistaa riittävä polttoainevarasto sekä valmistella sen täydentäminen. Laite- ja työskentelytilojen jäähdytys ja ilmastointi tulee varmistaa sähkökatkojen aikana. Ratkaisujen tulee olla sellaisia, että ne eivät vaaranna järjestelmien luotettavuutta tai esim. laske turvallisuustasoa. Sähköverkon häiriöitä ja niihin vastaamista on käsitelty uhkina ja niihin vastaamisena luvussa Toimitilojen ja henkilöstön suojaaminen Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään toimitilojen ja henkilöstön suojaamiseen liittyvät asiat. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Keskeisissä toimitiloissa, kuten studioissa, uutistoimituksissa ja vastaavissa, laitetiloissa tulee olla riittävät fyysiset turvallisuusjärjestelyt täydennettynä turvallisuushenkilö-kunnalla ja videovalvontajärjestelyillä. Keskeisten lähetystoiminnan ja tuotantoyksiköiden kulunvalvonnan tulee normaalitilanteessa tukea joustavaa toimintaa, mutta olla tarpeen mukaan nopeasti kiristettävissä tilanteen edellyttämälle tasolle. Muidenkin turvallisuusjärjestelyjen tason nostamiseen tulee olla suunnitelma ja valmistellut toimenpiteet. Sammutusjärjestelmien tulee olla sellaisia, että ne eivät vahingoita suojeltavissa tiloissa olevia järjestelmiä. Tilojen sijoittelulla, rakenteella ja asennusjärjestelyillä tulee minimoida mahdollisten vesivahinkojen vaikutukset. Keskeinen henkilöstö tulee kouluttaa hyödyntämään niitä mahdollisuuksia, joita poikkeavat tuotanto-, lähetys-, yms. tilanteet tarjoavat/edellyttävät. Koulutuksen Sivu 34/38

35 tulee olla säännöllistä ja seurata kehitystä. Henkilöstöllä tulee myös olla valmiudet tehdä ratkaisuja ja soveltaa ohjeita muuttuvissa tilanteissa. Henkilöstön tulee riittävässä määrin omata kyky hoitaa laaja-alaisesti oman toiminta-alueensa tehtäviä. Varamiesjärjestelyt tulee olla määritelty. Tulipaloja ja palovahinkoja on käsitelty uhkina ja niihin vastaamisena luvussa ja henkilöstöriskejä luvussa Materiaalinen varautuminen 5.1 Materiaalisen varautumisen tavoite ja osa-alueet Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään materiaaliseen varautumisen liittyvät asiat. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Materiaalinen varautuminen merkitsee valmistautumista materiaalien saatavuusongelmiin. Sillä pyritään ennalta turvaamaan, että kriittisiä materiaaleja on käytettävissä kaikissa oloissa. Keskeisin varautumiskeino on varastointi ja toinen useampi toisistaan riippumaton materiaalintoimittaja. Myös yhteistoiminta saman alan toimijoiden kesken on toimiva ratkaisu (Varalaite Oy). Materiaalisen varautumisen osa-alueena voidaan nähdä: - tuotanto- ja muun teknisen materiaalin saannin varmistaminen - tietojärjestelmämateriaalin varmistaminen - poltto- ja voiteluöljyjen saannin varmistaminen - ajoneuvojen ja työkoneiden saannin varmistaminen - ostopalvelut, alihankkijat ja tuotantoketjut. Alla eräitä em. osa-alueita on käsitelty tarkemmin. 5.2 Ajoneuvojen, työkoneiden ja tilojen saannin varmistaminen Henkilö- ja pakettiautoja ei varata. Varauksen hoitaa lääninhallitusten 29 KULOvirkamies. Varaus tehdään yleensä kapasiteettivarauksena, harvemmin rekisterinumerolla. Viranomaisen omistuksessa oleva kalusto on käytössä varaamatta. Työkoneiden varauksen hoitaa lääninhallitusten KULO-virkamies. Poikkeusolojen tilat varataan lääninhallitusten pelastusosaston kautta. Etelä- Suomen lääni: Ostopalvelut, alihankkijat, ulkoistus ja tuotantoketjut Ostopalveluihin, alihankintoihin, ulkoistukseen ja tuotantoketjuihin liittyvää jatkuvuussuunnittelua sopimusten näkökulmasta käsittelee HVK:n kolmen poolin Sopiva-projekti. Se keskeisiä tuloksia, sopimusmalleja jatkuvuussuunnittelun toteuttamiseen käsittelee neljännen vaiheen loppuraportti. 30 Ulkoistukseen liittyviä keskeisiä kysymyksiä ovat: Onko yrityksen liiketoimintaan liittyviä prosesseja tai niiden osia ulkoistettu? Sopimuksiin perustuva varautuminen tietoyhteiskuntasektorilla ( 31 Kari Wirman: Viestintäverkkojen ja viestintäpalveluiden varmistaminen; ohjeita käyttäjille. TIVA-seminaari, Tampere ( Sivu 35/38

36 6 Yhteistoiminta 2. Onko ulkoistus tehty yhden vai useamman kumppanin kanssa? 3. Ovatko kumppanit korvattavissa toisella palveluntarjoajalla? 4. Ovatko ulkoistetuista palveluista vastuussa olevat henkilöt entisiä työntekijöitänne? 5. Oletteko varmistaneet palveluntarjoajilta riittävät henkilöresurssit erilaisissa häiriötilanteissa? 6. Oletteko varmistuneet palveluntarjoajan henkilökunnan luotettavuudesta turvallisuusselvitysmenettelyllä? 6.1 Yleiset yhteistoimintajärjestelyt Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään yhteistoimintaan liittyvät asiat. Käsiteltäviä asioita voivat olla viranomaiset, tärkeät asiakkaat, muut teleyritykset jne. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Yhteistyökumppanin tai alihankkijan toiminnan keskeytykseen yritys voi parhaiten varautua tekemällä yhteistyötä useamman tahon kanssa. Tällöin yhden yhteistyöyrityksen vaikeudet eivät täysimääräisesti heijastu omaan toimintaan. Joskus ollaan kuitenkin kokonaan riippuvaisia yhden kumppanin tarjoamista tuotteista tai palveluista. Tällöin keinona voi olla varmistaa yritykselle kyky tuottaa itse kriittiset toiminnot rajoitetun ajan tai pitää kriittisestä materiaaleista varastoa Kohteiden vartiointi poikkeusoloissa Ministeriöt ovat kartoittaneet eri toimialojen valtakunnalliset kohteet ja niiden suojaus on poikkeusoloissa hoidettu yhteistoiminnassa poliisin ja puolustusvoimien kanssa. 6.3 Kansainvälisten yhteyksien varmistaminen Kansainvälisten runkoyhteyksien varmistaminen on valtakunnallinen ongelma. Yrityskohtaisesti voidaan varmentaa kansainvälisiä yhteyksiä esim. satelliittipuhelimilla ja suurimmissa yrityksissä myös laajakaistaisemmilla satelliittiyhteyksillä. 6.4 Raportointi ja tarkastukset Yhteistoiminnasta raportoidaan osana jatkuvuussuunnittelun muuta raportointia. Yhteistoimintakysymyksissä tarkastuksia voidaan suorittaa esim. valmius- tai jatkuvuusharjoituksiin liittyen. Tarkastettavia kohteita ovat mm.: - yhteistoimintaosapuolten vastuuhenkilöt ja heidän yhteystiedot - missä asioissa harjoitetaan yhteistoimintaa: Mitä oma yritys toimittaa yhteistoimintaosapuolille ja mitä ne omalle yritykselle? 6.5 Viestintäsuunnitelma eri turvallisuustilanteisiin Viestintäsuunnitelma on osa yrityksen valmius- ja jatkuvuussuunnitelmaa. Koska viestintä ei kuulu joukkoviestintäpoolin tehtäväalueeseen kuin välillisesti, tässä ohjeessa ei käsitellä viestintäsuunnitelmaa tarkemmin. 32 Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit MASTER OF SECURITY LOPPUTYÖ, Monikko Oy Espoo 2003 s. 34 Sivu 36/38

37 7 Toiminta ja toimenpiteet häiriö- ja erityistilanteissa sekä poikkeusoloissa Yrityksen valmius- ja/tai jatkuvuussuunnitelman tässä luvussa määritellään toiminta ja toimenpiteet häiriö- ja eritystilanteissa sekä poikkeusoloissa. Alla on esitetty perusteita tähän lukuun liittyvien asioiden tekemiseen. Normaaliolojen häiriötilanteissa toimitaan normaalin lainsäädännön puitteissa ja normaaleja toimintamalleja noudattaen. Organisaatioiden tulee varautumisen avulla luoda valmius jatkaa toimintaansa häiriötilanteissa ja, mikäli häiriötilanne estää tai vaikeuttaa toimintaa, kyetä mahdollisimman nopeasti saattamaan tilanne normaaliksi. Keskeistä häiriötilanteissa toimimisessa on yhteistoiminnan tehostaminen ja johtamisedellytysten turvaaminen. Erityisesti korostuu tilannekuvan muodostaminen, ylläpitäminen, analysoiminen ja jakaminen tarvitsijoille. Organisaatioiden tulee varautua tehokkaasti myös sellaiseen tilanteeseen, jossa erityistilanteen vaikutukset kohdistuisivat suoraan organisaation omaan rakenteeseen ja toimintakykyyn. Erityistilannevarautumisessa tulee ottaa huomioon seuraavat tarkentavat seikat. - eritystilanne saattaa syntyä teknisten järjestelmien laajan toimintahäiriön seurauksena. - erityistilanne aiheuttaa erityistoimenpiteitä mikäli valtion ylimpään johtoon tai yhteiskunnan merkittäviin instituutioihin tai yrityksiin kohdistuu vakavaa rikollisuutta tai niillä uhkaamista. - erityistilanne saattaa syntyä laajasta tarkoituksellisesta ja haitallisesta vaikuttamisesta valtion johdon päätöksentekoon tai maanpuolustustahtoon. - erityistilanne voi olla myös aseellinen välikohtaus, esimerkiksi erikoisjoukkojen toiminta. - myös sotilaallinen isku voi muodostaa erityistilanteen. Yritysten tulee tällöin ainakin: - tehostaa kulunvalvontaa, vartiointia ja muita henkilöturvallisuusjärjestelyjä - tarkastaa tietoturvallisuusjärjestelyjensä toimivuus - huolehtia polttoaineiden ja sähköenergian saannin turvaamisesta - kouluttaa henkilöstöä tilanteen mukaiseen toimintaan - tarkistaa hälytysjärjestelyt - varmistaa jatkuva johtamisvalmius ja nopea sisäinen päätöksentekovalmius. Sivu 37/38

38 Liite: Käytetyt lyhenteet ad hoc CERT-FI em. esim. HUOVI varautumis- HVK IP lat. (lat.) tätä (tarkoitusta, tehtävää) varten Computer Emergency Response Team - Finland edellä mainittu esimerkiksi Huoltovarmuuskeskuksen hanke yritysten tilanteen kartoittamiseksi. Huoltovarmuuskeskus Internet Protocol (internetin tiedonsiirtostandardi) latinaa LVM N + 1 laitetta TIETO-harjoitus Tieto-VASU TIVA Sopiva Suomen varalaite Oy VAP VALHA Liikenne- ja viestintäministeriö Laitteistovarmennusperiaate: Yksi varalaite (N:ä kohti) (Valtakunnallinen) Tietojärjestelmäalan valmiusharjoitus (pidetään yleensä joka 2. vuosi) HVK:n laatima tietokonesovellutus tietojärjestelmäalan valmiussuunnitteluun vuodelta 2006 Tietojärjestelmäalan valmius-(toimikunta) Sopimuksiin perustuva varautuminen (tietoyhteiskunta-sektorilla). Kolmen HVK:n tietoyhteiskuntasektorin poolin projekti vuosina ) Varalaitteita hallinnoiva yritys Vapauttaminen Puolustusvoimien palveluksesta Valtiohallinnon valmiusharjoitus (pidetään yleensä joka 4. vuosi) 24/7 Toiminto (esim. valvomo), jota ylläpidetään ja joka on miehitetty joka hetki, yöllä sekä vapaa- ja juhlapäivinä. Sivu 38/38