Jak wdrożyć ISO 22301?
Praktyczne omówienie wymagań normy
Norma ISO 22301 określa wymagania dotyczące systemu zarządzania ciągłością działania (Business Continuity Management System – BCMS). Jej celem jest przygotowanie organizacji do skutecznego reagowania na sytuacje kryzysowe oraz zapewnienie możliwości kontynuowania kluczowych procesów po wystąpieniu zakłóceń. Norma nie narzuca gotowych rozwiązań – organizacja sama określa sposób zarządzania ciągłością działania, uwzględniając charakter swojej działalności i poziom ryzyka.
Poniżej przedstawiamy praktyczne omówienie najważniejszych rozdziałów normy ISO 22301. Wyjaśniamy, czego dotyczą poszczególne wymagania, na co zwracają uwagę audytorzy oraz jakie błędy najczęściej pojawiają się podczas wdrażania systemu zarządzania ciągłością działania.
Rozdział 4
Kontekst organizacji
Organizacja powinna określić czynniki wewnętrzne i zewnętrzne mogące wpływać na ciągłość działania oraz zidentyfikować potrzeby stron zainteresowanych. Ważnym elementem jest określenie procesów krytycznych oraz zakresu systemu zarządzania ciągłością działania.
Przykład
Firma logistyczna identyfikuje transport i obsługę magazynu jako procesy krytyczne oraz analizuje skutki ich ewentualnego zatrzymania.
Na co audytor zwraca uwagę?
- określenie procesów krytycznych,
- analizę kontekstu organizacji,
- potrzeby stron zainteresowanych,
- zakres systemu.
Najczęstszy błąd
Nieuwzględnienie wszystkich procesów mających wpływ na ciągłość działania organizacji.
Rozdział 5
Przywództwo
Najwyższe kierownictwo odpowiada za ustanowienie polityki ciągłości działania, zapewnienie zasobów oraz wspieranie funkcjonowania systemu. Zaangażowanie kierownictwa ma kluczowe znaczenie podczas planowania działań na wypadek sytuacji kryzysowych.
Przykład
Zarząd regularnie analizuje poziom przygotowania organizacji do awarii oraz zatwierdza plany ciągłości działania.
Na co audytor zwraca uwagę?
- zaangażowanie kierownictwa,
- politykę ciągłości działania,
- odpowiedzialności,
- dostępność zasobów.
Najczęstszy błąd
Traktowanie planów ciągłości działania jako dokumentów, które nie są aktualizowane ani testowane.
niewykorzystywanie jej podczas zarządzania organizacją.
Rozdział 6
Planowanie
Planowanie obejmuje identyfikację ryzyk, analizę wpływu zakłóceń na działalność (Business Impact Analysis – BIA), określenie celów oraz zaplanowanie działań ograniczających skutki incydentów.
Przykład
Centrum danych analizuje maksymalny dopuszczalny czas niedostępności systemów i określa procedury ich odtworzenia.
Na co audytor zwraca uwagę?
- analizę BIA,
- ocenę ryzyka,
- cele systemu,
- planowanie działań.
Najczęstszy błąd
Brak powiązania analizy ryzyka z planami ciągłości działania.
Rozdział 7
Wsparcie
Organizacja zapewnia odpowiednie zasoby, kompetencje pracowników oraz skuteczną komunikację. Pracownicy powinni znać swoje zadania podczas sytuacji awaryjnych.
Przykład
Firma organizuje szkolenia z postępowania podczas awarii systemów informatycznych oraz ewakuacji budynku.
Na co audytor zwraca uwagę?
- kompetencje pracowników,
- szkolenia,
- komunikację,
- nadzór nad dokumentacją.
Najczęstszy błąd
Brak szkoleń i ćwiczeń praktycznych dotyczących planów ciągłości działania.
Rozdział 8
Działania operacyjne
Organizacja opracowuje, wdraża i testuje procedury zapewniające utrzymanie lub szybkie odtworzenie kluczowych procesów po wystąpieniu zakłóceń. Ważnym elementem są regularne testy planów ciągłości działania.
Przykład
Firma przeprowadza coroczne testy odtworzenia kopii zapasowych oraz symulacje awarii serwerowni.
Na co audytor zwraca uwagę?
- plany ciągłości działania,
- testowanie procedur,
- gotowość organizacji,
- reagowanie na incydenty.
Najczęstszy błąd
Opracowanie planów, które nigdy nie zostały sprawdzone w praktyce.
Rozdział 9
Ocena wyników działalności
Organizacja monitoruje skuteczność systemu, analizuje wyniki testów, przeprowadza audyty wewnętrzne oraz przeglądy zarządzania. Uzyskane informacje pozwalają ocenić gotowość organizacji do działania w sytuacjach kryzysowych.
Przykład
Po przeprowadzeniu ćwiczeń ewakuacyjnych organizacja analizuje przebieg działań i wprowadza usprawnienia do planów awaryjnych.
Na co audytor zwraca uwagę?
- wyniki testów,
- realizację audytów,
- przegląd zarządzania,
- monitorowanie skuteczności.
Najczęstszy błąd
Brak analizy wyników przeprowadzonych ćwiczeń i testów.
Rozdział 10
Doskonalenie
System zarządzania ciągłością działania powinien być stale doskonalony. Organizacja analizuje przyczyny niezgodności, aktualizuje plany oraz uwzględnia doświadczenia wynikające z rzeczywistych incydentów i przeprowadzonych ćwiczeń.
Przykład
Po awarii zasilania firma aktualizuje procedury awaryjne i inwestuje w dodatkowe źródło zasilania.
Na co audytor zwraca uwagę?
- działania korygujące,
- aktualizację planów,
- analizę przyczyn,
- ciągłe doskonalenie.
Najczęstszy błąd
Brak aktualizacji planów po zmianach organizacyjnych lub technologicznych.
Najczęściej zadawane pytania
Czy ISO 22301 jest przeznaczona tylko dla dużych organizacji?
Nie. Norma może być stosowana przez organizacje każdej wielkości.
Czy analiza BIA jest obowiązkowa?
Tak. Analiza wpływu na działalność jest jednym z kluczowych elementów systemu zarządzania ciągłością działania.
Czy plany ciągłości działania trzeba testować?
Tak. Regularne testy pozwalają potwierdzić ich skuteczność i przygotowanie organizacji do sytuacji kryzysowych.
Czy system można zintegrować z ISO 9001 lub ISO/IEC 27001?
Tak. Wszystkie normy mają wspólną strukturę i mogą funkcjonować jako zintegrowany system zarządzania.
Jak często należy przeprowadzać audyt wewnętrzny?
Organizacja sama określa częstotliwość audytów, uwzględniając poziom ryzyka oraz znaczenie procesów.
Certyfikacja ISO 22301 – jak wygląda proces uzyskania certyfikatu?
Certyfikacja ISO 22301 potwierdza, że organizacja skutecznie zarządza ciągłością działania i jest przygotowana do reagowania na sytuacje kryzysowe. Audyt prowadzony przez niezależną jednostkę certyfikującą obejmuje ocenę dokumentacji, analiz ryzyka, planów ciągłości działania oraz ich funkcjonowania w praktyce.
Na czym polega certyfikacja ISO 22301?
Certyfikacja polega na niezależnej ocenie systemu zarządzania ciągłością działania. Audytor sprawdza, czy organizacja potrafi utrzymać realizację kluczowych procesów lub szybko je odtworzyć po wystąpieniu zakłóceń.
Warto pamiętać, że certyfikat nie jest przyznawany za posiadanie dokumentacji, lecz za skutecznie funkcjonujący system zarządzania. Dlatego podczas audytu analizowane są zarówno zapisy i procedury, jak i sposób realizacji procesów, rozmowy z pracownikami oraz obserwacje prowadzone bezpośrednio w miejscu wykonywania działalności.
Przykład
Podczas audytu audytor analizuje plan ciągłości działania dla systemów informatycznych oraz sposób jego testowania.
Na co audytor zwraca uwagę?
- zgodność systemu z wymaganiami normy,
- analizę BIA,
- zarządzanie ryzykiem,
- skuteczność planów ciągłości działania.
Najczęstszy błąd
Opracowanie planów awaryjnych bez ich praktycznego sprawdzenia.
Jak wybrać jednostkę certyfikującą?
Jednostka certyfikująca powinna posiadać odpowiednią akredytację oraz doświadczenie w branży, w której działa organizacja. Przed podjęciem decyzji warto zwrócić uwagę nie tylko na cenę usługi, ale również na kompetencje audytorów, zakres akredytacji oraz sposób prowadzenia procesu certyfikacji.
W praktyce wszystkie akredytowane jednostki oceniają zgodność z tą samą normą, jednak mogą różnić się organizacją audytu, doświadczeniem audytorów czy terminami realizacji.
Przykład
Instytucja finansowa wybiera jednostkę posiadającą doświadczenie w ocenie organizacji świadczących usługi o wysokim poziomie dostępności.
Na co audytor zwraca uwagę?
- zakres certyfikacji,
- gotowość organizacji,
- kompletność dokumentacji.
Najczęstszy błąd
Wybór jednostki wyłącznie na podstawie ceny.
Jak wdrożyć ISO 22301?
Praktyczne omówienie wymagań normy
Norma ISO 22301 określa wymagania dotyczące systemu zarządzania ciągłością działania (Business Continuity Management System – BCMS). Jej celem jest przygotowanie organizacji do skutecznego reagowania na sytuacje kryzysowe oraz zapewnienie możliwości kontynuowania kluczowych procesów po wystąpieniu zakłóceń. Norma nie narzuca gotowych rozwiązań – organizacja sama określa sposób zarządzania ciągłością działania, uwzględniając charakter swojej działalności i poziom ryzyka.
Poniżej przedstawiamy praktyczne omówienie najważniejszych rozdziałów normy ISO 22301. Wyjaśniamy, czego dotyczą poszczególne wymagania, na co zwracają uwagę audytorzy oraz jakie błędy najczęściej pojawiają się podczas wdrażania systemu zarządzania ciągłością działania.
Rozdział 4
Kontekst organizacji
Organizacja powinna określić czynniki wewnętrzne i zewnętrzne mogące wpływać na ciągłość działania oraz zidentyfikować potrzeby stron zainteresowanych. Ważnym elementem jest określenie procesów krytycznych oraz zakresu systemu zarządzania ciągłością działania.
Przykład
Firma logistyczna identyfikuje transport i obsługę magazynu jako procesy krytyczne oraz analizuje skutki ich ewentualnego zatrzymania.
Na co audytor zwraca uwagę?
- określenie procesów krytycznych,
- analizę kontekstu organizacji,
- potrzeby stron zainteresowanych,
- zakres systemu.
Najczęstszy błąd
Nieuwzględnienie wszystkich procesów mających wpływ na ciągłość działania organizacji.
Rozdział 5
Przywództwo
Najwyższe kierownictwo odpowiada za ustanowienie polityki ciągłości działania, zapewnienie zasobów oraz wspieranie funkcjonowania systemu. Zaangażowanie kierownictwa ma kluczowe znaczenie podczas planowania działań na wypadek sytuacji kryzysowych.
Przykład
Zarząd regularnie analizuje poziom przygotowania organizacji do awarii oraz zatwierdza plany ciągłości działania.
Na co audytor zwraca uwagę?
- zaangażowanie kierownictwa,
- politykę ciągłości działania,
- odpowiedzialności,
- dostępność zasobów.
Najczęstszy błąd
Traktowanie planów ciągłości działania jako dokumentów, które nie są aktualizowane ani testowane.
Rozdział 6
Planowanie
Planowanie obejmuje identyfikację ryzyk, analizę wpływu zakłóceń na działalność (Business Impact Analysis – BIA), określenie celów oraz zaplanowanie działań ograniczających skutki incydentów.
Przykład
Centrum danych analizuje maksymalny dopuszczalny czas niedostępności systemów i określa procedury ich odtworzenia.
Na co audytor zwraca uwagę?
- analizę BIA,
- ocenę ryzyka,
- cele systemu,
- planowanie działań.
Najczęstszy błąd
Brak powiązania analizy ryzyka z planami ciągłości działania.
Rozdział 7
Wsparcie
Organizacja zapewnia odpowiednie zasoby, kompetencje pracowników oraz skuteczną komunikację. Pracownicy powinni znać swoje zadania podczas sytuacji awaryjnych.
Przykład
Firma organizuje szkolenia z postępowania podczas awarii systemów informatycznych oraz ewakuacji budynku.
Na co audytor zwraca uwagę?
- kompetencje pracowników,
- szkolenia,
- komunikację,
- nadzór nad dokumentacją.
Najczęstszy błąd
Brak szkoleń i ćwiczeń praktycznych dotyczących planów ciągłości działania.
Rozdział 8
Działania operacyjne
Organizacja opracowuje, wdraża i testuje procedury zapewniające utrzymanie lub szybkie odtworzenie kluczowych procesów po wystąpieniu zakłóceń. Ważnym elementem są regularne testy planów ciągłości działania.
Przykład
Firma przeprowadza coroczne testy odtworzenia kopii zapasowych oraz symulacje awarii serwerowni.
Na co audytor zwraca uwagę?
- plany ciągłości działania,
- testowanie procedur,
- gotowość organizacji,
- reagowanie na incydenty.
Najczęstszy błąd
Opracowanie planów, które nigdy nie zostały sprawdzone w praktyce.
Rozdział 9
Ocena wyników działalności
Organizacja monitoruje skuteczność systemu, analizuje wyniki testów, przeprowadza audyty wewnętrzne oraz przeglądy zarządzania. Uzyskane informacje pozwalają ocenić gotowość organizacji do działania w sytuacjach kryzysowych.
Przykład
Po przeprowadzeniu ćwiczeń ewakuacyjnych organizacja analizuje przebieg działań i wprowadza usprawnienia do planów awaryjnych.
Na co audytor zwraca uwagę?
- wyniki testów,
- realizację audytów,
- przegląd zarządzania,
- monitorowanie skuteczności.
Najczęstszy błąd
Brak analizy wyników przeprowadzonych ćwiczeń i testów.
Rozdział 10
Doskonalenie
System zarządzania ciągłością działania powinien być stale doskonalony. Organizacja analizuje przyczyny niezgodności, aktualizuje plany oraz uwzględnia doświadczenia wynikające z rzeczywistych incydentów i przeprowadzonych ćwiczeń.
Przykład
Po awarii zasilania firma aktualizuje procedury awaryjne i inwestuje w dodatkowe źródło zasilania.
Na co audytor zwraca uwagę?
- działania korygujące,
- aktualizację planów,
- analizę przyczyn,
- ciągłe doskonalenie.
Najczęstszy błąd
Brak aktualizacji planów po zmianach organizacyjnych lub technologicznych.
Najczęściej zadawane pytania
Czy ISO 22301 jest przeznaczona tylko dla dużych organizacji?
Nie. Norma może być stosowana przez organizacje każdej wielkości.
Czy analiza BIA jest obowiązkowa?
Tak. Analiza wpływu na działalność jest jednym z kluczowych elementów systemu zarządzania ciągłością działania.
Czy plany ciągłości działania trzeba testować?
Tak. Regularne testy pozwalają potwierdzić ich skuteczność i przygotowanie organizacji do sytuacji kryzysowych.
Czy system można zintegrować z ISO 9001 lub ISO/IEC 27001?
Tak. Wszystkie normy mają wspólną strukturę i mogą funkcjonować jako zintegrowany system zarządzania.
Jak często należy przeprowadzać audyt wewnętrzny?
Organizacja sama określa częstotliwość audytów, uwzględniając poziom ryzyka oraz znaczenie procesów.
Certyfikacja ISO 22301 – jak wygląda proces uzyskania certyfikatu?
Certyfikacja ISO 22301 potwierdza, że organizacja skutecznie zarządza ciągłością działania i jest przygotowana do reagowania na sytuacje kryzysowe. Audyt prowadzony przez niezależną jednostkę certyfikującą obejmuje ocenę dokumentacji, analiz ryzyka, planów ciągłości działania oraz ich funkcjonowania w praktyce.
Na czym polega certyfikacja ISO 22301?
Certyfikacja polega na niezależnej ocenie systemu zarządzania ciągłością działania. Audytor sprawdza, czy organizacja potrafi utrzymać realizację kluczowych procesów lub szybko je odtworzyć po wystąpieniu zakłóceń.
Warto pamiętać, że certyfikat nie jest przyznawany za posiadanie dokumentacji, lecz za skutecznie funkcjonujący system zarządzania. Dlatego podczas audytu analizowane są zarówno zapisy i procedury, jak i sposób realizacji procesów, rozmowy z pracownikami oraz obserwacje prowadzone bezpośrednio w miejscu wykonywania działalności.
Przykład
Podczas audytu audytor analizuje plan ciągłości działania dla systemów informatycznych oraz sposób jego testowania.
Na co audytor zwraca uwagę?
- zgodność systemu z wymaganiami normy,
- analizę BIA,
- zarządzanie ryzykiem,
- skuteczność planów ciągłości działania.
Najczęstszy błąd
Opracowanie planów awaryjnych bez ich praktycznego sprawdzenia.
Jak wybrać jednostkę certyfikującą?
Jednostka certyfikująca powinna posiadać odpowiednią akredytację oraz doświadczenie w branży, w której działa organizacja. Przed podjęciem decyzji warto zwrócić uwagę nie tylko na cenę usługi, ale również na kompetencje audytorów, zakres akredytacji oraz sposób prowadzenia procesu certyfikacji.
W praktyce wszystkie akredytowane jednostki oceniają zgodność z tą samą normą, jednak mogą różnić się organizacją audytu, doświadczeniem audytorów czy terminami realizacji.
Przykład
Instytucja finansowa wybiera jednostkę posiadającą doświadczenie w ocenie organizacji świadczących usługi o wysokim poziomie dostępności.
Na co audytor zwraca uwagę?
- zakres certyfikacji,
- gotowość organizacji,
- kompletność dokumentacji.
Najczęstszy błąd
Wybór jednostki wyłącznie na podstawie ceny.
Jak wdrożyć ISO 22301?
Praktyczne omówienie wymagań normy
Norma ISO 22301 określa wymagania dotyczące systemu zarządzania ciągłością działania (Business Continuity Management System – BCMS). Jej celem jest przygotowanie organizacji do skutecznego reagowania na sytuacje kryzysowe oraz zapewnienie możliwości kontynuowania kluczowych procesów po wystąpieniu zakłóceń. Norma nie narzuca gotowych rozwiązań – organizacja sama określa sposób zarządzania ciągłością działania, uwzględniając charakter swojej działalności i poziom ryzyka.
Poniżej przedstawiamy praktyczne omówienie najważniejszych rozdziałów normy ISO 22301. Wyjaśniamy, czego dotyczą poszczególne wymagania, na co zwracają uwagę audytorzy oraz jakie błędy najczęściej pojawiają się podczas wdrażania systemu zarządzania ciągłością działania.
Rozdział 4
Kontekst organizacji
Organizacja powinna określić czynniki wewnętrzne i zewnętrzne mogące wpływać na ciągłość działania oraz zidentyfikować potrzeby stron zainteresowanych. Ważnym elementem jest określenie procesów krytycznych oraz zakresu systemu zarządzania ciągłością działania.
Przykład
Firma logistyczna identyfikuje transport i obsługę magazynu jako procesy krytyczne oraz analizuje skutki ich ewentualnego zatrzymania.
Na co audytor zwraca uwagę?
- określenie procesów krytycznych,
- analizę kontekstu organizacji,
- potrzeby stron zainteresowanych,
- zakres systemu.
Najczęstszy błąd
Nieuwzględnienie wszystkich procesów mających wpływ na ciągłość działania organizacji.
Rozdział 5
Przywództwo
Najwyższe kierownictwo odpowiada za ustanowienie polityki ciągłości działania, zapewnienie zasobów oraz wspieranie funkcjonowania systemu. Zaangażowanie kierownictwa ma kluczowe znaczenie podczas planowania działań na wypadek sytuacji kryzysowych.
Przykład
Zarząd regularnie analizuje poziom przygotowania organizacji do awarii oraz zatwierdza plany ciągłości działania.
Na co audytor zwraca uwagę?
- zaangażowanie kierownictwa,
- politykę ciągłości działania,
- odpowiedzialności,
- dostępność zasobów.
Najczęstszy błąd
Traktowanie planów ciągłości działania jako dokumentów, które nie są aktualizowane ani testowane.
niewykorzystywanie jej podczas zarządzania organizacją.
Rozdział 6
Planowanie
Planowanie obejmuje identyfikację ryzyk, analizę wpływu zakłóceń na działalność (Business Impact Analysis – BIA), określenie celów oraz zaplanowanie działań ograniczających skutki incydentów.
Przykład
Centrum danych analizuje maksymalny dopuszczalny czas niedostępności systemów i określa procedury ich odtworzenia.
Na co audytor zwraca uwagę?
- analizę BIA,
- ocenę ryzyka,
- cele systemu,
- planowanie działań.
Najczęstszy błąd
Brak powiązania analizy ryzyka z planami ciągłości działania.
Rozdział 7
Wsparcie
Organizacja zapewnia odpowiednie zasoby, kompetencje pracowników oraz skuteczną komunikację. Pracownicy powinni znać swoje zadania podczas sytuacji awaryjnych.
Przykład
Firma organizuje szkolenia z postępowania podczas awarii systemów informatycznych oraz ewakuacji budynku.
Na co audytor zwraca uwagę?
- kompetencje pracowników,
- szkolenia,
- komunikację,
- nadzór nad dokumentacją.
Najczęstszy błąd
Brak szkoleń i ćwiczeń praktycznych dotyczących planów ciągłości działania.
Rozdział 8
Działania operacyjne
Organizacja opracowuje, wdraża i testuje procedury zapewniające utrzymanie lub szybkie odtworzenie kluczowych procesów po wystąpieniu zakłóceń. Ważnym elementem są regularne testy planów ciągłości działania.
Przykład
Firma przeprowadza coroczne testy odtworzenia kopii zapasowych oraz symulacje awarii serwerowni.
Na co audytor zwraca uwagę?
- plany ciągłości działania,
- testowanie procedur,
- gotowość organizacji,
- reagowanie na incydenty.
Najczęstszy błąd
Opracowanie planów, które nigdy nie zostały sprawdzone w praktyce.
Rozdział 9
Ocena wyników działalności
Organizacja monitoruje skuteczność systemu, analizuje wyniki testów, przeprowadza audyty wewnętrzne oraz przeglądy zarządzania. Uzyskane informacje pozwalają ocenić gotowość organizacji do działania w sytuacjach kryzysowych.
Przykład
Po przeprowadzeniu ćwiczeń ewakuacyjnych organizacja analizuje przebieg działań i wprowadza usprawnienia do planów awaryjnych.
Na co audytor zwraca uwagę?
- wyniki testów,
- realizację audytów,
- przegląd zarządzania,
- monitorowanie skuteczności.
Najczęstszy błąd
Brak analizy wyników przeprowadzonych ćwiczeń i testów.
Rozdział 10
Doskonalenie
System zarządzania ciągłością działania powinien być stale doskonalony. Organizacja analizuje przyczyny niezgodności, aktualizuje plany oraz uwzględnia doświadczenia wynikające z rzeczywistych incydentów i przeprowadzonych ćwiczeń.
Przykład
Po awarii zasilania firma aktualizuje procedury awaryjne i inwestuje w dodatkowe źródło zasilania.
Na co audytor zwraca uwagę?
- działania korygujące,
- aktualizację planów,
- analizę przyczyn,
- ciągłe doskonalenie.
Najczęstszy błąd
Brak aktualizacji planów po zmianach organizacyjnych lub technologicznych.
Najczęściej zadawane pytania
Czy ISO 22301 jest przeznaczona tylko dla dużych organizacji?
Nie. Norma może być stosowana przez organizacje każdej wielkości.
Czy analiza BIA jest obowiązkowa?
Tak. Analiza wpływu na działalność jest jednym z kluczowych elementów systemu zarządzania ciągłością działania.
Czy plany ciągłości działania trzeba testować?
Tak. Regularne testy pozwalają potwierdzić ich skuteczność i przygotowanie organizacji do sytuacji kryzysowych.
Czy system można zintegrować z ISO 9001 lub ISO/IEC 27001?
Tak. Wszystkie normy mają wspólną strukturę i mogą funkcjonować jako zintegrowany system zarządzania.
Jak często należy przeprowadzać audyt wewnętrzny?
Organizacja sama określa częstotliwość audytów, uwzględniając poziom ryzyka oraz znaczenie procesów.
Certyfikacja ISO 22301 – jak wygląda proces uzyskania certyfikatu?
Certyfikacja ISO 22301 potwierdza, że organizacja skutecznie zarządza ciągłością działania i jest przygotowana do reagowania na sytuacje kryzysowe. Audyt prowadzony przez niezależną jednostkę certyfikującą obejmuje ocenę dokumentacji, analiz ryzyka, planów ciągłości działania oraz ich funkcjonowania w praktyce.
Na czym polega certyfikacja ISO 22301?
Certyfikacja polega na niezależnej ocenie systemu zarządzania ciągłością działania. Audytor sprawdza, czy organizacja potrafi utrzymać realizację kluczowych procesów lub szybko je odtworzyć po wystąpieniu zakłóceń.
Warto pamiętać, że certyfikat nie jest przyznawany za posiadanie dokumentacji, lecz za skutecznie funkcjonujący system zarządzania. Dlatego podczas audytu analizowane są zarówno zapisy i procedury, jak i sposób realizacji procesów, rozmowy z pracownikami oraz obserwacje prowadzone bezpośrednio w miejscu wykonywania działalności.
Przykład
Podczas audytu audytor analizuje plan ciągłości działania dla systemów informatycznych oraz sposób jego testowania.
Na co audytor zwraca uwagę?
- zgodność systemu z wymaganiami normy,
- analizę BIA,
- zarządzanie ryzykiem,
- skuteczność planów ciągłości działania.
Najczęstszy błąd
Opracowanie planów awaryjnych bez ich praktycznego sprawdzenia.
Jak wybrać jednostkę certyfikującą?
Jednostka certyfikująca powinna posiadać odpowiednią akredytację oraz doświadczenie w branży, w której działa organizacja. Przed podjęciem decyzji warto zwrócić uwagę nie tylko na cenę usługi, ale również na kompetencje audytorów, zakres akredytacji oraz sposób prowadzenia procesu certyfikacji.
W praktyce wszystkie akredytowane jednostki oceniają zgodność z tą samą normą, jednak mogą różnić się organizacją audytu, doświadczeniem audytorów czy terminami realizacji.
Przykład
Instytucja finansowa wybiera jednostkę posiadającą doświadczenie w ocenie organizacji świadczących usługi o wysokim poziomie dostępności.
Na co audytor zwraca uwagę?
- zakres certyfikacji,
- gotowość organizacji,
- kompletność dokumentacji.
Najczęstszy błąd
Wybór jednostki wyłącznie na podstawie ceny.