تحليل الأثر على الأعمال

التعريف

يطلب البند 8.2.2 من ISO 22301 تحديد أنواع الأثر، وتقييمها بمرور الوقت، وتحديد الأنشطة التي تدعم المنتجات والخدمات ذات الأولوية، وتحديد الإطار الزمني الذي يجب أن يُستأنف فيه كل منها.

يتبع معيار NIST SP 800-34 ثلاث خطوات: تحديد العمليات وأهمية تعافيها، وتحديد الموارد التي تحتاجها، وتحديد أولويات التعافي.

لماذا يهم

دون تحليل الأثر، تميل ميزانيات التعافي إلى اتباع من يرفع صوته أكثر. ومعه يذهب المال إلى ما سيؤلم فعلاً.

كل هدف تعافٍ في كل خطة لاحقة يأتي من هذا العمل.

كيف يعمل

أدرج الأنشطة مع المسؤولين عنها، واختر أنواع الأثر التي تهمك: مالي، والعملاء، وقانوني، والسمعة، وسلامة الأشخاص.

قدّر لكل نشاط الأثر عند مراحل مثل 4 ساعات، ويوم، و3 أيام، وأسبوع. ومن هذا المنحنى تقرأ النقطة التي يصبح عندها الضرر غير مقبول، ثم تحدد هدف زمن التعافي (RTO) وهدف نقطة التعافي (RPO).

دوّن ما يحتاجه كل نشاط ليعمل: الأشخاص، والأنظمة، والبيانات، والمورّدون، والمواقع. ثم تعتمد الإدارة النتائج، لأنها تحدد الأولويات بين الأقسام.

حالة تطبيقية

الفوترة لدى تاجر جملة: لا أثر لمدة يومين، وتأخر في المدفوعات من اليوم الثالث، ومشكلة سيولة بعد اليوم السابع. تستطيع الشركة تحمّل 5 أيام كحد أقصى، فتحدد هدف تعافٍ من 3 أيام.

أما استلام الطلبات فمختلف تماماً، إذ تُفقد مبيعات بقيمة 40,000 يورو يومياً منذ الساعة الأولى. فهو يتحمل 8 ساعات ويحصل على هدف من 4، مما يضعه في المقدمة في ميزانية التعافي.

ممارسات جيدة

• قابل الأشخاص الذين يديرون كل نشاط. فهم يعرفون الحلول البديلة التي لم يكتبها أحد.
• استخدم أرقام القسم المالي كلما أمكن.
• خذ فترات الذروة في الحسبان: فالتعطل في أسبوع الإقفال الشهري حدث مختلف تماماً.
• سجّل الاعتماديات على المورّدين وعلى الأقسام الأخرى.

أخطاء شائعة

• تصنيف كل نشاط بأنه حيوي. فالمسؤولون يدافعون عن فرقهم، والنتيجة لا تعطي أولوية لشيء.
• بناء الأهداف على ما تستطيعه تقنية المعلومات اليوم، بينما الغاية معرفة ما تحتاجه الأعمال.
• الخلط بين تحليل الأثر وتقييم المخاطر. فهو ينظر في العواقب، أياً كان السبب.
• ترك شخص واحد يخمّن الآثار لكل الأقسام.

أسئلة

ما الفرق بين تحليل الأثر وتقييم المخاطر؟

يسأل تحليل الأثر ماذا يحدث إذا توقف نشاط ما. ويسأل تقييم المخاطر ما الذي قد يوقفه وما احتمال ذلك.

ما الحد الأقصى المقبول لفترة التعطل؟

الزمن الذي يصبح بعده أثر عدم الاستئناف غير مقبول. ويطلب البند 8.2.2 من ISO 22301 هذا الإطار الزمني، ويُحدد هدف زمن التعافي ضمنه.

من يعتمد تحليل الأثر؟

الإدارة العليا، لأنه يحدد الأولويات والتمويل بين الأقسام.

كم مرحلة زمنية ينبغي أن يستخدم تحليل الأثر؟

عادة من أربع إلى ست، أكثر تقارباً في البداية، حيث يتغير الأثر بأسرع ما يكون.

هل يمكن إجراء تحليل الأثر دون ورش عمل؟

يمكن لاستبيان أن يجمع الإجابات الأولى، لكن الآثار تحتاج مع ذلك إلى نقاش مع المسؤولين ومقارنة بين الأقسام.