Business Continuity Plan (BCP) – czym jest plan ciągłości działania i jak go przygotować?

Business Continuity Plan (BCP), czyli plan ciągłości działania (PCD), to zbiór ustaleń, procedur i działań, które pomagają organizacji utrzymać lub możliwie szybko odtworzyć kluczowe procesy, produkty i usługi w przypadku zakłócenia działalności.

BCP jest jednym z praktycznych elementów przygotowania organizacji na sytuacje, które mogą zagrozić jej funkcjonowaniu – od awarii systemów IT i niedostępności infrastruktury, przez utratę kluczowych pracowników lub dostawcy, aż po pożar, powódź, cyberatak czy inne poważne zakłócenie.

Plan ciągłości działania nie powinien być jednak traktowany jako pojedynczy dokument przygotowany „na wszelki wypadek”. Skuteczna ciągłość działania wymaga określenia krytycznych procesów, przeanalizowania skutków ich przerwania, ustalenia sposobów reagowania i odtwarzania działalności oraz regularnego testowania przyjętych rozwiązań.

Jednym z najważniejszych standardów dotyczących tego obszaru jest ISO 22301 – Security and resilience – Business continuity management systems – Requirements, która określa wymagania dla systemu zarządzania ciągłością działania (BCMS). Aktualnym opublikowanym wydaniem jest ISO 22301:2019, uzupełnione w 2024 r. o Amendment 1 dotyczący zmian klimatycznych.

Czym jest Business Continuity Plan?

Business Continuity Plan to praktyczny plan postępowania na wypadek wystąpienia zakłócenia, które może uniemożliwić organizacji normalne wykonywanie jej najważniejszych procesów.

BCP powinien odpowiadać przede wszystkim na pytania:

jakie procesy i usługi są krytyczne dla organizacji?
jakie zakłócenia mogą wpłynąć na ich realizację?
jakie są konsekwencje przerwania tych procesów?
jak długo organizacja może funkcjonować bez danego procesu, zasobu lub usługi?
jakie zasoby są potrzebne do wznowienia działalności?
kto podejmuje decyzje w sytuacji kryzysowej?
kto odpowiada za konkretne działania?
w jaki sposób organizacja będzie komunikować się z pracownikami, klientami, dostawcami i innymi zainteresowanymi stronami?
jak i kiedy zostanie przetestowana skuteczność przyjętych rozwiązań?

Business Continuity Plan (BCP) – plan ciągłości działania

Dobrze przygotowany BCP powinien być dostosowany do rzeczywistego sposobu funkcjonowania organizacji. Nie istnieje jeden uniwersalny plan, który można zastosować w każdej firmie.

BCP a system zarządzania ciągłością działania ISO 22301

Warto rozróżnić dwa pojęcia: Business Continuity Plan (BCP) oraz Business Continuity Management System (BCMS).

BCP jest konkretnym planem reagowania i odtwarzania działalności.

BCMS, czyli system zarządzania ciągłością działania, jest natomiast szerszym systemem obejmującym m.in. ustanowienie zasad ciągłości działania, analizę kontekstu organizacji, identyfikację zagrożeń, ocenę wpływu zakłóceń, planowanie działań, przygotowanie procedur, testowanie, ocenę skuteczności oraz ciągłe doskonalenie.

ISO 22301:2019 określa wymagania dla BCMS. Norma ma zastosowanie do organizacji różnego rodzaju i wielkości, a zakres stosowania jej wymagań powinien uwzględniać charakter, skalę i złożoność organizacji.

Dlatego samo przygotowanie dokumentu BCP nie oznacza jeszcze wdrożenia ISO 22301.

Dlaczego organizacja potrzebuje planu ciągłości działania?

Zakłócenie działalności może mieć bardzo różne przyczyny. Nie zawsze jest to katastrofalne zdarzenie obejmujące całą organizację.

Problem może powstać również w wyniku:

awarii infrastruktury IT,
cyberataku lub ransomware,
niedostępności systemu informatycznego,
utraty dostępu do budynku,
awarii zasilania,
niedostępności kluczowego pracownika,
problemów z kluczowym dostawcą,
przerwania łańcucha dostaw,
awarii usług zewnętrznych,
pożaru lub zalania,
ekstremalnych zjawisk pogodowych,
innych zdarzeń wpływających na zdolność organizacji do realizacji kluczowych procesów.

Celem BCP nie jest przewidzenie każdego możliwego zdarzenia. Chodzi o przygotowanie organizacji do skutecznego reagowania na różne scenariusze zakłóceń.

Jak przygotować Business Continuity Plan?

Przygotowanie BCP powinno wynikać z analizy działalności organizacji. W praktyce proces można podzielić na kilka etapów.

Etap 1

Określenie kluczowych procesów i usług

W pierwszej kolejności należy ustalić, które procesy, produkty i usługi mają największe znaczenie dla organizacji.

Nie każdy proces będzie miał taki sam poziom krytyczności.

Przykładowo dla firmy handlowej kluczowy może być system obsługi zamówień, dla szpitala dostępność określonych usług medycznych, a dla firmy technologicznej dostępność infrastruktury i systemów umożliwiających świadczenie usług klientom.

Etap 2

Analiza wpływu zakłóceń na działalność

Kolejnym ważnym elementem jest Business Impact Analysis (BIA), czyli analiza wpływu zakłóceń na działalność.

Jej celem jest określenie, jakie skutki dla organizacji może mieć przerwanie określonego procesu oraz jakie zasoby są niezbędne do jego odtworzenia.

Analiza powinna pomóc określić m.in.:

procesy krytyczne,
skutki ich niedostępności,
wymagane zasoby,
zależności pomiędzy procesami,
wymagany poziom ciągłości działania,
priorytety odtwarzania.

Etap 3

Identyfikacja zagrożeń i ryzyk

Organizacja powinna zidentyfikować zdarzenia, które mogą doprowadzić do zakłócenia kluczowych procesów.
W zależności od organizacji mogą to być między innymi:

awarie techniczne,
cyberzagrożenia,
błędy ludzkie,
utrata kluczowego dostawcy,
niedostępność pracowników,
awarie infrastruktury,
zdarzenia losowe,
zagrożenia środowiskowe i klimatyczne.

W kontekście aktualnej wersji ISO 22301 warto zwrócić uwagę również na zmiany klimatyczne. Amendment 1:2024 wprowadził do normy zmiany związane z uwzględnianiem kwestii klimatycznych.
Nie oznacza to jednak konieczności tworzenia osobnego „planu klimatycznego”. Organizacja powinna uwzględnić znaczenie zmian klimatycznych w odpowiednim kontekście swojego systemu zarządzania i ocenie czynników, które mogą wpływać na zdolność do zapewnienia ciągłości działania.

Etap 4

Określenie strategii ciągłości działania

Po określeniu procesów krytycznych i potencjalnych zakłóceń należy ustalić, w jaki sposób organizacja będzie utrzymywać lub odtwarzać działalność.
W zależności od potrzeb może to obejmować:

pracę zdalną,
alternatywną lokalizację,
zapasowe systemy IT,
kopie zapasowe,
alternatywnych dostawców,
dodatkowe zasoby techniczne,
procedury awaryjne,
alternatywne kanały komunikacji,
rozwiązania umożliwiające odtworzenie kluczowych danych i systemów.

Strategia powinna wynikać z rzeczywistych potrzeb organizacji, a nie z gotowego szablonu.

Etap 5

Opracowanie procedur i planów reagowania

Dopiero na podstawie wcześniejszych ustaleń należy opracować właściwe procedury BCP.

Plan powinien określać przede wszystkim:

jakie działania należy podjąć po wystąpieniu zakłócenia,
kto odpowiada za poszczególne działania,
kto podejmuje decyzje,
jak uruchamiany jest plan,
jak przebiega eskalacja zdarzenia,
w jaki sposób odbywa się komunikacja,
jakie zasoby należy zabezpieczyć,
jak przebiega odtworzenie kluczowych procesów,
kiedy organizacja może powrócić do normalnego trybu działania.

Etap 6

Określenie odpowiedzialności

Sam dokument BCP nie zapewni ciągłości działania, jeżeli pracownicy nie będą wiedzieli, co mają zrobić.
Dlatego należy jednoznacznie określić:

osoby odpowiedzialne za uruchomienie planu,
osoby odpowiedzialne za konkretne procesy,
osoby zastępujące,
sposób podejmowania decyzji,
kanały komunikacji,
zakres odpowiedzialności poszczególnych osób.

Osoby wskazane w planie powinny znać swoje role i być przygotowane do działania w sytuacji zakłócenia.

Co powinien zawierać Business Continuity Plan?

Zakres BCP powinien być dostosowany do organizacji, ale w praktyce plan może obejmować między innymi:

zakres i cel planu,
kryteria uruchomienia BCP,
opis najważniejszych scenariuszy zakłóceń,
listę procesów krytycznych,
priorytety odtwarzania,
role i odpowiedzialności,
dane kontaktowe,
procedury komunikacji kryzysowej,
procedury reagowania,
procedury odtworzenia działalności,
informacje dotyczące lokalizacji alternatywnych,
wymagane zasoby,
informacje dotyczące systemów IT i danych,
zasady korzystania z dostawców alternatywnych,
wymagania dotyczące dokumentacji,
zasady testowania i aktualizacji planu.

Nie wszystkie informacje muszą znajdować się w jednym dokumencie. W większych organizacjach BCP może być częścią większego zestawu planów, procedur i instrukcji.

RTO i RPO w planowaniu ciągłości działania

W planowaniu ciągłości działania istotne znaczenie mają również parametry określające wymagany poziom odtworzenia procesów i zasobów.

RTO – Recovery Time Objective

RTO określa docelowy czas, w jakim proces, usługa lub system powinien zostać przywrócony po zakłóceniu.

Przykład:

RTO = 4 godziny oznacza, że organizacja zakłada odtworzenie określonej usługi w czasie nie dłuższym niż 4 godziny.

RPO – Recovery Point Objective

RPO określa akceptowalny punkt odtworzenia danych, czyli zakres danych, który organizacja może utracić w wyniku zakłócenia.

Przykład:

RPO = 1 godzina oznacza, że organizacja zakłada możliwość utraty danych z okresu nie dłuższego niż 1 godzina.

Wartości RTO i RPO powinny wynikać z analizy potrzeb organizacji i krytyczności procesów, a nie być przyjmowane automatycznie dla wszystkich systemów.

Testowanie Business Continuity Plan

Jednym z najczęstszych błędów jest przygotowanie BCP i pozostawienie go w dokumentacji bez sprawdzenia, czy rzeczywiście działa.

Plan powinien być odpowiednio testowany i weryfikowany.

Testy mogą obejmować m.in.:

ćwiczenia scenariuszowe,
symulacje sytuacji kryzysowych,
testy procedur komunikacji,
testy odtworzenia danych,
testy przełączenia na rozwiązania alternatywne,
ćwiczenia z udziałem kluczowych pracowników,
testy współpracy z dostawcami.

Po każdym teście warto analizować wyniki i identyfikować obszary wymagające poprawy.

BCP powinien być dokumentem żywym, aktualizowanym wraz ze zmianami organizacyjnymi, technologicznymi, procesowymi i zewnętrznymi.

Najczęstsze błędy przy tworzeniu BCP

W praktyce problemy pojawiają się szczególnie wtedy, gdy plan ciągłości działania jest traktowany wyłącznie jako dokument wymagany podczas audytu.

Do najczęstszych błędów należą:

tworzenie BCP bez analizy rzeczywistych potrzeb organizacji,
kopiowanie gotowych planów z innych organizacji,
brak określenia procesów krytycznych,
brak jednoznacznego przypisania odpowiedzialności,
nieuwzględnienie zależności od dostawców,
pominięcie systemów IT i danych,
brak alternatywnych sposobów komunikacji,
brak testów planu,
brak aktualizacji BCP po zmianach organizacyjnych,
nieuwzględnianie nowych rodzajów zagrożeń,
traktowanie BCP jako jednorazowego projektu.

Najważniejsze jest to, aby plan odpowiadał na realne potrzeby organizacji i był możliwy do zastosowania w sytuacji kryzysowej.

BCP a ISO 27001

Business Continuity Plan może być również istotnym elementem systemu zarządzania bezpieczeństwem informacji.

ISO/IEC 27001 koncentruje się na systemowym zarządzaniu bezpieczeństwem informacji, natomiast ISO 22301 dotyczy zarządzania ciągłością działania.

Oba podejścia mogą się wzajemnie uzupełniać.

W organizacji wykorzystującej zarówno ISO/IEC 27001, jak i ISO 22301 ciągłość działania może obejmować między innymi:

dostępność systemów informacyjnych,
odtworzenie danych,
kopie zapasowe,
awarie infrastruktury,
cyberataki,
niedostępność kluczowych usług,
działania dostawców,
komunikację w sytuacjach zakłóceń.

Dlatego BCP nie powinien być utożsamiany wyłącznie z bezpieczeństwem IT. Jego zakres powinien obejmować wszystkie elementy niezbędne do utrzymania lub odtworzenia kluczowej działalności organizacji.

ISO 22301:2019 i najnowsze zmiany

Aktualnie obowiązującym opublikowanym wydaniem normy dotyczącej systemu zarządzania ciągłością działania jest ISO 22301:2019.

W 2024 roku opublikowano ISO 22301:2019/Amd 1:2024 – Climate action changes, czyli zmianę dotyczącą uwzględniania kwestii klimatycznych.

ISO prowadzi obecnie prace nad kolejną edycją normy. Projekt ISO/CD 22301 znajduje się na etapie opracowywania i ma zastąpić ISO 22301:2019 w przyszłości. Nie jest to jednak jeszcze opublikowana norma, dlatego organizacje nie powinny traktować projektu jako aktualnego wymagania certyfikacyjnego.

Przy opracowywaniu praktyk ciągłości działania pomocna pozostaje również ISO 22313:2020, która zawiera wytyczne dotyczące stosowania wymagań ISO 22301. ISO potwierdziła aktualność tej wersji w 2025 roku.

Czy każda organizacja potrzebuje BCP?

BCP może być przydatny praktycznie każdej organizacji, niezależnie od jej wielkości.

Zakres i poziom szczegółowości planu powinny jednak odpowiadać:

wielkości organizacji,
rodzajowi prowadzonej działalności,
krytyczności procesów,
wymaganiom klientów,
wymaganiom prawnym i regulacyjnym,
zależnościom od dostawców,
wykorzystywanej technologii,
poziomowi akceptowanego ryzyka.

Mała firma nie musi tworzyć tak rozbudowanego systemu ciągłości działania jak duża organizacja posiadająca setki procesów i rozbudowaną infrastrukturę.

Jak przygotować BCP w praktyce?

Przygotowanie planu ciągłości działania powinno rozpocząć się od poznania organizacji, a nie od napisania dokumentu.

Praktyczny schemat może wyglądać następująco:

poznanie organizacji → identyfikacja procesów krytycznych → analiza wpływu zakłóceń (BIA) → identyfikacja ryzyk → określenie strategii ciągłości działania → opracowanie procedur BCP → przypisanie odpowiedzialności → testowanie → doskonalenie

Takie podejście pozwala stworzyć plan, który jest rzeczywiście użyteczny w sytuacji zakłócenia.

BCP a certyfikacja ISO 22301

Samo posiadanie Business Continuity Planu nie oznacza, że organizacja spełnia wszystkie wymagania ISO 22301.

Norma dotyczy całego systemu zarządzania ciągłością działania (BCMS), obejmującego m.in. planowanie, wdrożenie, działanie, monitorowanie, przegląd i ciągłe doskonalenie systemu.

BCP jest więc ważnym elementem praktycznego przygotowania organizacji do zakłóceń, ale stanowi tylko część szerszego podejścia do zarządzania ciągłością działania.

Business Continuity Plan (BCP) pomaga organizacji przygotować się na sytuacje, w których normalna realizacja procesów zostaje zakłócona.

Dobry plan powinien wynikać z analizy działalności organizacji i uwzględniać jej procesy krytyczne, zasoby, zależności, odpowiedzialności oraz sposoby reagowania i odtwarzania działalności.

Najważniejsze nie jest samo posiadanie dokumentu BCP, lecz zdolność organizacji do skutecznego reagowania, utrzymania kluczowych działań i możliwie szybkiego odtworzenia działalności.

W tym zakresie punktem odniesienia jest ISO 22301:2019, uzupełniona o Amendment 1:2024 dotyczący zmian klimatycznych. Norma tworzy ramy dla systemowego zarządzania ciągłością działania i może być stosowana zarówno samodzielnie, jak i w połączeniu z innymi systemami zarządzania, np. ISO/IEC 27001.