Valmiuspäällikkö Sakari Ahvenainen Helsingin TIVA ja joukkoviestintäpooli (JVP) Jatkuvuussuunniteluohje hvk-yrityksille Etelä-Suomen TIVA:n toimikuntien alueseminaari 10.11.2009 Helsinki
JVP:n ohje valmiussuunnitelman laatimisesta: Perusteita 1/2 Joukkoviestintäpooli laati 2008-2009 ohjeen valmius- (jatkuvuus-)suunnitelman laatimisesta sähköisen joukkoviestinnän yrityksille (46 sivua). Kyse oli LVM:n valmiusohjeen 1/2007 2 sivuisen liitteen Valmiussuunnitelman runko laajennuksesta Ohjeesta laadittiin yleinen versio ilman viittauksia sähköiseen joukkoviestintään (38 sivua) Keskeinen lähde: Helvi Salminen: Liiketoiminnan jatkuvuussuunnittelu Uusi jatkuvuussuunnittelumenetelmä Dipoli-raportit. Master of security lopputyö, Monikko Oy Espoo 2003
JVP:n ohje valmiussuunnitelman laatimisesta: Perusteita 2/2 Valmiussuunnittelu: Laki ja varautumisvelvollisuus. Viranomainen vastaa. Erilaista valmistautumista poikkeuksellisiin tilanteisiin, äärimmillään sotaan Jatkuvuussuunnittelu: Yrityksen omaa toimintaa. Yritys vastaa. Erilaista valmistautumista poikkeuksellisiin tilanteisiin. Sota: Viranomainen Suurhäiriö (suuri myrsky, järjestelmien varmistaminen): Viranomainen + yritykset Pienhäiriö (laitevika): Yritykset
Ohje valmius-suunnitelman (vasu) laatimisesta: Sisällysluettelo 1 Valmiussuunnitelman laatimisesta 4 1.1 Johdanto 4 1.2 Valmius- vai jatkuvuussuunnitelma 4 1.3 Valmiussuunnittelun periaatteelliset kypsyystasot 4 1.4 Jatkuvuus- ja valmiussuunnitelman laatimisesta, testauksesta, ylläpidosta ja r apor toinnista 5 1.5 Valmiussuunnittelu prosessina 5 1.6 Valmiussuunnittelun periaatteita 6 1.7 Vuosittaisen jatkuvuus- tai valmiussuunnittelun tilaisuus tai har joitus yr ityksessä 7 1.8 Yritysten koon vaikutus 8 1.9 HUOVI:sta 8 1.10 Sopimuksiin perustuva varautuminen 9 2 Valmiussuunnitelman johdanto 9 2.1 Yrityksen varautumisen tavoitteet 9 2.2 Yrityksen varautumisvelvoitteet 11 2.3 Yrityksen toimintaympäristön tarkastelu 12 3 Hallinnollinen varautuminen 22 3.1 Yrityksen varautumisen yleisjärjestelyt 22 3.2 Yrityksen varautumisen avainalueet 25 3.3 Suunnitteluhierarkia 25 3.4 Yrityksen johtamistoiminta poikkeusoloissa 26 3.5 Henkilöstön käyttö poikkeusoloissa ja VAP 28 3.6 Tur vallisuusjär jestelyt 30 3.7 Pelastussuunnitelma 31 3.8 Varautumiskoulutus 32 3.9 Varautumisharjoitukset 32 4 Toiminnallinen varautuminen 33 4.1 Tietojenkäsittelyn ja tiedonsiirron turvaaminen 33 4.2 Energiansaannin turvaaminen 34 4.3 Toimitilojen ja henkilöstön suojaaminen 34 5 Materiaalinen varautuminen 35 5.1 Materiaalisen varautumisen tavoite ja osa-alueet 35 5.2 Ajoneuvojen, työkoneiden ja tilojen saannin varmistaminen 35 5.3 Ostopalvelut, alihankkijat, ulkoistus ja tuotantoketjut 35 6 Yhteistoiminta 36 6.1 Yleiset yhteistoimintajär jestelyt 36 6.2 Kohteiden vartiointi poikkeusoloissa 36 6.3 Kansainvälisten yhteyksien varmistaminen 36 6.4 Raportointi ja tarkastukset 36 6.5 Viestintäsuunnitelma er i tur vallisuustilanteisiin 36 7 Toiminta ja toimenpiteet häiriö- ja erityis- tilanteissa sekä poikkeusoloissa 37
Jatkuvuussuunnittelu prosessina Ver tailu (erot)
Jatkuvuussuunnittelun kypsyystasot 1. Toimintoketjun häiriöiden vaikutuksia ei tiedosteta. Ongelmiin ei reagoida. 2. Toimintoketjun häiriöiden vaikutukset tiedostetaan. Ongelmiin reagoidaan vasta niiden tapahduttua. 3. Jatkuvuuden hoidon perusvastuut on määritelty, ei ole kirjallista suunnitelmaa. Toimintoketjun epäjatkuvuuksia saattaa olla kokemusta ja toimialan kokemuksista tietoa. Häiriöiden vaikutuksia on kartoitettu. 4. Toimitusketjun operatiivinen toiminta häiriötilanteissa on ohjeistettu, jolloin myös johtaminen, suunnittelu ja testaus on vastuutettu. Johto tunnistaa jatkuvuuden tarpeen. 5. Toimitusketjun häiriötilanteet havaitaan "mittareilla", kriittiset tehtävät ja palvelut on varmistettu. Johdolle tuotetaan raportit jatkuvuustilanteesta. Henkilökuntaa koulutetaan. Suunnitelman ylläpito on vastuutettu. 6. Toimintaa häiriötilanteissa on testattu ja harjoiteltu. Tulokset otettu huomioon ja suunnitelmaa ylläpidetään säännöllisesti. Ulkoisten toimijoiden palvelutason säilyminen on varmistettu sopimuksin ja auditoinnein. Kriittisiä palveluja on kahdennettu. Jatkuvuussuunnittelusta ja sen kehittämisestä ja johtamisesta on useamman vuoden kokemuksia. Näiden periaatteellisten kypsyystasojen perusteella voidaan arvioida yrityksen valmiustai jatkuvuussuunnittelun sen hetkinen taso. Arviointi helpottaa myös määrittelemään ne toimenpiteet, joilla valmiussuunnittelun tasoa voidaan tarvittaessa nostaa
Jatkuvuussuunnittelun periaatteita 1. Vastuut eivät saa muuttua häiriö- ja eritystilanteissa tai poikkeusoloissa 2. Hälytys- ja muiden tiedonsiirtoyhteyksien ja yhteystietojen oltava jatkuvasti kunnossa 3. Jatkuvuussuunnittelun huomiointi jo järjestelmiä rakennettaessa on edullisinta 4. Ennaltaehkäisy on parasta 5. Henkilöstö ja sen koulutus on avainasemassa 6. Suunnitelmat on testattava ja päivitettävä 7. Vastuu on jaettu valtion ja yrityksien kesken 8. Vastuut jakautuvat myös yritysten koon mukaan 9. Pohjana on riskikartoitus ja tärkeisiin järjestelmiin keskittyminen 10. Jatkuvuussuunnittelu ja valmiussuunnittelu eivät ole kertasuoritteita, vaan yrityksen normaalitoimintaan liittyviä prosesseja 11. Käytettävissä oleviin teleyhteyksiin liittyen toiminnan pohjana on normaaliajan määritellyt vastuut, joita täydennetään suunnitelmilla ja lopulta tilanteenmukaisella toiminnalla.
Yrityksen varautumisen tavoitteet voivat olla: 1. Laissa ja asetuksissa määriteltyjen velvoitteiden täyttäminen 2. Yrityksen strategian, yrityskuvan ja arvojen toteuttaminen jatkuvuussuunnittelun keinoin ja 3. Yrityksen turvallisuuskulttuurin toteuttaminen. Keskeinen kysymys on, nähdäänkö turvallisuus vain kulueränä vai osana yhtiön strategian toteuttamista?
Valmius- tai jatkuvuussuunnittelu on yrityksille tärkeää seuraavista syistä: 1. Yrityksen toiminta voi pahimmillaan keskeytyä kokonaan jopa normaaliajan riskien toteutuessa 2. Yrityksen toiminta jatkuu myös häiriötilanteissa (vast.) ja luo siihen luotettavuutta 3. Jatkuvuussuunnittelun tuoma lisätehokkuus on (normaalija häiriötilanteissa) kilpailu- ja imagotekijä 4. Jatkuvuussuunnittelua rahoitetaan ulkopuolelta (valtakunnallisiin kohteisiin) 5. Valmiussuunnittelu on lainsäädännön edellyttämää toimintaa, yhteiskuntavastuuta ja saattaa käytännössä toteuttaa yrityksen arvoja.
Taloudellinen näkökulma: 1. Yritys, esim: 20 M tulot, 2000 h Prime-time mainosaikaa vuodessa. 2. Tunti pois = suoraan 10.000 tappiot joka tunnilta 3. Epäluotettavan toimittajan leima, 5 % siirto kilpailijoille = 1.000.000 tulojen menetys joka vuosi Johtopäätös: Välillinen menetys merkittävämpi. Oltava vähintään kilpailijoiden tasolla.
Vastuu ja asiakirjatasot yrityksessä Toimitusjohtaja vastaa kaikesta. Resurssit ja yleisperiaatteet. Yleisstrategia. Vasu-vastuuhenkilö johtoryhmässä vastaa vasu:sta ja sen integroinnista yrityksen kokonaisuuteen. Vasu-strategia. Valmiuspäällikkö tai asiantuntija vastaa vasu:sta kokonaisuutena. Yleisperiaatteet ja organisointi. Toteutuksen yleisorganisointi ja ohjeet. Liiketoimintayksikön johto vastaa vasu:n operaatiivisesta ohjeistuksesta ja toteutuksesta liiketoimintayksikössä yrityksen vasu:n yleisohjeiden mukaan. Muut johtajat ja työntekijät vastaavat vasu:n käytännön toteutuksesta omassa toiminnassa yrityksen liiketoimintayksikön ohjeiden mukaan. Vasu-asiat ko. henkilöiden työtehtävissä ja esim. vuosittaissa kehityskeskusteluissa
Uhkista Yleistä uhkista Yleistä uhkiin vastaamisesta (kypsyystasot) Sähköverkon häiriöt (kypsyystasot + erityistä ko. uhkasta yleensä) Laiteviat (kypsyystasot + erityistä ko. uhkasta yleensä) Henkilöriskit (kypsyystasot + erityistä ko. uhkasta yleensä) Terrorismi (kypsyystasot + erityistä ko. uhkasta yleensä) Tietoturvallisuuden häiriöt (kypsyystasot + erityistä ko. uhkasta yleensä) Rikollisuus (kypsyystasot + erityistä ko. uhkasta yleensä) Tulipalo tai palovahinko sekä (kypsyystasot + erityistä ko. uhkasta yleensä) Luonnosilmiöt ja pandemia (kypsyystasot + erityistä ko. uhkasta yleensä)
Yleisesti uhkista 1/2 1. Kaikki tavoitteellinen toiminta lähtee ymmärtämisestä. On ymmärrettävä ensin oman toiminnan luonne ja sitten siihen liittyvät uhkat. 2. Jatkuvuussuunnittelun avainvaihe on yrityksen kokonaistoiminnan ymmärtäminen edellisen kohdan mukaisesti, kokonaistoimintaan perustuva toimintojen priorisointi ja tärkeimpien kohteiden löytäminen. 3. Henkilöstö ja sen osaaminen on mm. uhkiin vastaamisen keskeinen, ellei keskeisin resurssi. Vain sitä voidaan osata, mistä on saatu koulutus, kokemuksia ja ymmärrystä. 4. Toimenpiteet kohdistetaan tärkeimpiin järjestelmiin ja tärkeimpiin uhkiin. Arviointia siitä, mitkä ovat tärkeimpiä järjestelmiä ja uhkia suoritetaan säännöllisesti. 5. Tärkeitä järjestelmiä tai toimintoja (vast.) ovat mm. sellaiset, joita tarvitaan kaikissa tai useissa erilaisissa uhkissa. Esim. johtaminen, tilannekuva ja tiedonsiirto.
Yleisesti uhkista 2/2 6. Uhkiin varautumiseen vaikuttavat monet tekijät mm. lainsäädäntö ja muut viranomaismääräykset, uhkien todennäköisyys ja vaikutus, yrityksen strategiset linjaukset, käytössä olevat resurssit, kilpailutilanne ja asiakkaiden vaatimukset. 7. Uhkiin varautuminen on oltava yrityksen normaalia toimintaa, josta on tiedettävä kaikkien niiden, joihin ko. uhka vaikuttaa ja jotka ko. uhkaan ja sen toteutumiseen voivat vaikuttaa. Toisaalta kaikista uhkista ei ole tarpeen, että kaikki tietävät niistä. 8. Erilaisiin todennäköisiin uhkiin varautuminen, niihin liittyvä koulutus ja harjoittelu luovat myös yleistä valmiutta ja sitä kautta mahdollisuutta kohdata muitakin uhkia. 9. On hyvä määrittää uhkaan liittyvä minimitaso, joka on huomioitava joka puolella yritystä.
Uhkiin vastaamisesta 1/2 1. Strategia, perusperiaatteet, liiketoimintayksikkö- ja työntekijäkohtaiset toteutusohjeet ovat olemassa ja integroitu henkilöstön perehdyttämiseen ja muuhun koulutukseen. Toteutumista seurataan ja niistä raportoidaan kvantitatiivisin perustein. Uhkaan liittyvä toiminta on integroitu yrityksen kokonaistoimintaan ja sitä johdetaan ja kehitetään osana yrityksen kokonaistoimintaa. Ulkopuolisten kokemukset uhkista kerätään ja hyödynnetään. Toiminnasta ja sen kehittämisestä on useamman vuoden kokemuksia. 2. Liiketoimintayksikkökohtaiset toteutusohjeet on viety yksilötasolle. Periaatteessa jokainen yrityksen työntekijä tietää, mitä hänen tehtävissä kuuluu tietää, osata ja raportoida tietystä uhkasta. 3. On laadittu liiketoimintayksikkökohtaiset toteutusohjeet. Toteutusohjeet on viestitetty koko henkilöstölle. Omat kokemukset kerätään ja analysoidaan. Kriittisimpiä järjestelmiä ja toimintoja on varmennettu. 4. Vastuuhenkilö on laatinut yhdessä yrityksen johdon kanssa yrityksen periaatteet ja peruslinjaukset. Periaatteet on viestitetty liiketoimintayksiköihin. Uhkien kannalta kriittisimmät järjestelmät on tunnistettu.
Uhkiin vastaamisesta 2/2 5. On todettu, että yritykseen tarvitaan strateginen linjaus ko. uhkaan liittyen. On määritelty vastuuhenkilö ja johtosuhteet yrityksessä ko. uhkaan liittyen. 6. On tiedostettu, että uhkalle pitää tehdä jotain. Reagointi on kertaluonteista. Kokemuksia ei kerätä. Kirjallisia ohjeita ei ole. 7. Uhkia on tiedostettu, mutta esim. uhkan pienuuden tai taloudellisten syiden takia niille ei ole tehty mitään. 8. Uhkia ei ole tiedostettu. Uhkan toteutuessa toiminta perustuu kertaluonteiseen, vain tätä tapausta koskevaan toimintaan (ad hoc) ja on kertaluonteista jokaiseen uhkaan liittyen.
Kysymyksiä, kommentteja? Kiitos mielenkiinnosta! Sakari Ahvenainen sakar i.ahvenainen@yle.fi Koko ohje löytyy HVK:n sivuilta (Etusivu - Ajankohtaista Seminaarit ja artikkelit): http://www.huoltovar muus.fi/documents/7/2009-09-24_tiva-seminaar i_rovaniemi_ahvenainen-2.pdf