הסמכת ISO 22301 — תקן לניהול המשכיות עסקית

שריפה במחסן, מתקפת כופר שמשתקת את מערכות המידע, ספק קריטי שקורס בן לילה או הפסקת חשמל ממושכת — כל אחד מהתרחישים האלה יכול לעצור פעילות עסקית שלמה בתוך שעות ספורות. ההבדל בין ארגון שצולח שיבוש כזה וממשיך לתפקד לבין ארגון שמאבד לקוחות, הכנסות ומוניטין אינו טמון במזל, אלא במידת ההיערכות המוקדמת. תקן ISO 22301 הוא הסטנדרט הבינלאומי שמתרגם את ההיערכות הזו לשיטה מסודרת, מדידה וניתנת ליישום — כך שכשמשהו משתבש, הארגון יודע בדיוק מה לעשות, מי אחראי ותוך כמה זמן חוזרים לפעילות.

מה זה תקן לניהול המשכיות עסקית | ISO 22301 ולמה זה חשוב

ISO 22301 הוא התקן הבינלאומי לניהול מערכת המשכיות עסקית (Business Continuity Management System). הוא מגדיר מסגרת ניהולית שמטרתה להגן על הארגון מפני שיבושים משמעותיים — בין אם מקורם באירוע סייבר, אסון טבע, כשל תשתיתי, פגיעה בשרשרת האספקה או אובדן כוח אדם מהותי — ולהבטיח שהתהליכים הקריטיים ימשיכו לפעול או ישוקמו במהירות מבוקרת.

בשונה מתוכנית חירום נקודתית, התקן דורש גישה מערכתית ומחזורית: זיהוי הפעילויות הקריטיות, הבנת ההשלכות של הפסקתן, קביעת יעדי התאוששות ברורים, בניית תוכניות מגובות בנהלים, ובעיקר — בדיקה שוטפת שהתוכניות באמת עובדות. החשיבות שלו נובעת מכך שהוא הופך את ההמשכיות מהצהרת כוונות לתהליך מנוהל, מתועד ובר-מדידה, שמעניק לארגון עמידות אמיתית מול חוסר ודאות.

הדרישות והמרכיבים המרכזיים של התקן

ISO 22301 בנוי סביב מספר אבני יסוד שיחד מרכיבות מערכת המשכיות שלמה:

• ניתוח השפעה עסקית (BIA): תהליך שממפה את התהליכים הקריטיים בארגון ומכמת את הנזק הצפוי מהפסקתם לאורך זמן — כספי, תפעולי, משפטי ומוניטיני. זהו הבסיס לכל תעדוף בהמשך.
• הערכת סיכונים: זיהוי האיומים שעלולים לפגוע בפעילות, הערכת הסבירות וההשפעה שלהם, וקביעת אילו תרחישים מחייבים היערכות ייעודית.
• יעדי התאוששות (RTO ו-RPO): הגדרת פרק הזמן המרבי שבו תהליך יכול להיות מושבת (RTO) וכמות המידע המרבית שהארגון יכול להרשות לעצמו לאבד (RPO). היעדים האלה מתרגמים ציפיות עסקיות למדדים תפעוליים.
• תוכניות המשכיות והתאוששות: נהלים כתובים וברורים המפרטים מי עושה מה, באילו משאבים, ובאיזה סדר — כולל אתרים חלופיים, גיבויים ומנגנוני תקשורת בעת משבר.
• בדיקות ותרגולים: התקן מחייב לתרגל את התוכניות בפועל, לתעד את הליקויים ולשפר. תוכנית שלא נבחנה אינה נחשבת אמינה.
• מנהיגות ושיפור מתמיד: מחויבות ההנהלה, הגדרת תפקידים, ומחזוריות של בקרה, מבדקים פנימיים ותיקון פערים.

למי זה רלוונטי ומתי זה הופך להכרחי

ISO 22301 רלוונטי לכל ארגון שהשבתה שלו גוררת נזק ממשי — אך ישנם מצבים שבהם הוא הופך מיתרון להכרח:

• מכרזים ממשלתיים וארגוניים: גופים ציבוריים וחברות גדולות דורשים לא פעם הוכחת המשכיות עסקית כתנאי סף להשתתפות.
• דרישת לקוח: לקוחות אסטרטגיים, במיוחד בפיננסים, בריאות וטכנולוגיה, מתנים התקשרות בקיום מערכת המשכיות מוסמכת אצל הספק.
• ייצוא ושרשראות אספקה בינלאומיות: שותפים גלובליים מצפים לעמידה בסטנדרט מוכר שמבטיח אספקה רציפה.
• רגולציה וסיכון תפעולי: מגזרים מפוקחים נדרשים להוכיח חוסן מול שיבושים כחלק מניהול הסיכונים שלהם.

ארגונים המפעילים תשתיות קריטיות, מרכזי מחשוב, שירותי לקוחות בזמן אמת או קווי ייצור — הם מהמועמדים הטבעיים ביותר לתקן.

תהליך ההסמכה והליווי עם Certo

ב-Certo אנו מלווים את הארגון לאורך כל הדרך, בתהליך מובנה שמתאים את התקן למציאות התפעולית שלכם ולא להפך:

• מיפוי ואבחון: היכרות עם הפעילות, זיהוי התהליכים הקריטיים וביצוע ניתוח השפעה עסקית ראשוני לאיתור הפערים מול דרישות התקן.
• בניית נהלים ותיעוד: גיבוש מדיניות המשכיות, קביעת יעדי RTO ו-RPO, וכתיבת תוכניות ההמשכיות והנהלים בהתאמה מלאה לארגון.
• הדרכה והטמעה: הכשרת בעלי התפקידים, הגדרת אחריות והטמעת המודעות בקרב העובדים כדי שהתוכנית תהפוך לחלק מהשגרה.
• מבדק פנימי וסגירת פערים: ביצוע מבדק פנימי ותרגול מבוקר, איתור ליקויים ותיקונם לפני מבחן האמת.
• מבדק הסמכה וקבלת התוצאה: ליווי מלא במבדק ההסמכה מול גוף ההסמכה, כולל היערכות סופית וקבלת התעודה.

מה הארגון מרוויח

מעבר לתעודה עצמה, יישום ISO 22301 מייצר ערך עסקי מוחשי. הארגון מקטין משמעותית את זמן ההשבתה ואת הנזק הכספי בעת משבר, ומחזק את יכולתו לשמור על שירות רציף ללקוחות גם ברגעים קריטיים. התקן משפר את החוסן התפעולי, מפחית תלות באנשים בודדים בזכות נהלים מתועדים, ומעניק לארגון יתרון תחרותי במכרזים ובמגעים עסקיים. לא פחות חשוב — הוא מגביר את אמון הלקוחות, השותפים והרגולטורים, ומעביר מסר ברור של בגרות ניהולית ואחריות.

שאלות ותשובות