اخذ گواهینامه ISO 22301 برای سازمانهایی کاربرد دارد که میخواهند سیستم مدیریت تداوم کسبوکار یا BCMS را بر اساس الزامات ISO 22301:2019 پیادهسازی و ارزیابی کنند.
ISO 22301:2019 استاندارد بینالمللی سیستم مدیریت تداوم کسبوکار یا BCMS است. این استاندارد چارچوبی برای برنامهریزی، پیادهسازی، نگهداری و بهبود مستمر سیستم مدیریت تداوم کسبوکار فراهم میکند.
هدف ISO 22301 این است که سازمان بتواند در برابر اختلالات احتمالی آمادهتر باشد، فعالیتها و خدمات حیاتی خود را شناسایی کند و برای ادامه یا بازیابی آنها در شرایط بحرانی برنامهریزی داشته باشد. این استاندارد برای سازمانها با اندازهها و حوزههای فعالیت مختلف قابل استفاده است.
ISO 22301:2019 در حال حاضر نسخه جاری استاندارد است. همچنین اصلاحیه ISO 22301:2019/Amd 1:2024 درباره تغییرات اقلیمی برای آن منتشر شده است. نسخه جدیدتر استاندارد در حال تدوین است، اما هنوز جایگزین نسخه 2019 نشده است.
برای مشاهده مشخصات و وضعیت رسمی استاندارد، میتوانید صفحه ISO 22301:2019 در وبسایت ISO را بررسی کنید.
در این راهنما با کاربرد ISO 22301، مراحل اخذ گواهینامه، مدارک و شرایط موردنیاز، عوامل مؤثر بر هزینه و نحوه انتخاب مرجع صدور مناسب آشنا میشوید.
ISO 22301:2019 چیست؟
ISO 22301:2019 استاندارد بینالمللی سیستم مدیریت تداوم کسبوکار (BCMS) است. این استاندارد الزامات لازم برای ایجاد، اجرا، نگهداری و بهبود مستمر یک سیستم مدیریتی را مشخص میکند تا سازمان بتواند برای اختلالات احتمالی آماده شود و در زمان بحران، فعالیتهای حیاتی خود را در سطح قابلقبول ادامه دهد یا در کوتاهترین زمان ممکن بازیابی کند.
ISO 22301 برای سازمانها با هر اندازه و نوع فعالیت قابل استفاده است و میزان پیادهسازی آن به محیط عملیاتی، پیچیدگی و نیازهای تداوم کسبوکار سازمان بستگی دارد. نسخه جاری استاندارد ISO 22301:2019 است و نسخه بعدی هنوز در مرحله تدوین قرار دارد.
چرا مدیریت تداوم کسبوکار اهمیت دارد؟
اختلال در فعالیت سازمان میتواند به دلایل مختلفی مانند خرابی زیرساخت، قطعی فناوری اطلاعات، اختلال در زنجیره تأمین، حوادث طبیعی، بحرانهای امنیتی یا از دسترس خارج شدن منابع کلیدی رخ دهد.
مدیریت تداوم کسبوکار کمک میکند سازمان پیش از وقوع بحران مشخص کند کدام محصولات، خدمات و فرایندها حیاتی هستند، چه منابعی برای ادامه آنها نیاز است و در صورت اختلال چه اقداماتی باید برای پاسخ و بازیابی انجام شود.
هدف ISO 22301 حذف کامل ریسک یا کمک میکند ادامه بدون وقفه فعالیتها نیست؛ بلکه ایجاد یک چارچوب نظاممند برای آمادگی، پاسخ و بازیابی در برابر اختلالات است. ISO نیز این استاندارد را برای افزایش تابآوری سازمان در برابر رویدادهای مختلکننده معرفی میکند.
ISO 22301 برای چه سازمانهایی مناسب است؟
این استاندارد میتواند برای شرکتهای فناوری اطلاعات، مراکز داده، بانکها و مؤسسات مالی، شرکتهای تولیدی، مجموعههای خدماتی، پیمانکاران، سازمانهای دولتی و سایر کسبوکارهایی که تداوم خدمات یا عملیات برای آنها اهمیت دارد کاربرد داشته باشد.
ISO 22301 به صنعت خاصی محدود نیست و سازمان میتواند دامنه BCMS را متناسب با فعالیتها، خدمات حیاتی، تعهدات قراردادی و ریسکهای خود تعیین کند.
مهمترین موضوعات در ISO 22301
در یک سیستم مدیریت تداوم کسبوکار معمولاً موضوعاتی مانند شناخت نیازهای سازمان و ذینفعان، تعیین دامنه BCMS، ارزیابی ریسک، تحلیل اثرات کسبوکار یا BIA، تعیین راهبردهای تداوم، تدوین برنامههای پاسخ و بازیابی، آموزش، تمرین و آزمون برنامهها، ممیزی داخلی و بهبود مستمر مورد توجه قرار میگیرند.
هدف این است که برنامه تداوم کسبوکار فقط یک سند بایگانیشده نباشد؛ بلکه در دورههای مشخص آزمایش، ارزیابی و بهروزرسانی شود.
اهداف و مزایای ISO 22301:2019 چیست؟
هدف اصلی ISO 22301 این است که سازمان بتواند در برابر اختلالات آمادهتر باشد، فعالیتها و خدمات حیاتی خود را شناسایی کند و برای ادامه یا بازیابی آنها در سطح قابلقبول برنامه داشته باشد.
این استاندارد به سازمان کمک میکند مدیریت تداوم کسبوکار را از یک واکنش مقطعی به یک سیستم مدیریتی ساختاریافته و قابلارزیابی تبدیل کند. خود ISO نیز افزایش تابآوری سازمان، بهبود مدیریت ریسک، پاسخ نظاممند به بحران و افزایش اعتماد ذینفعان را از مزایای ISO 22301 معرفی میکند.
مهمترین مزایای ISO 22301
پیادهسازی صحیح سیستم مدیریت تداوم کسبوکار میتواند به شناسایی بهتر فعالیتهای حیاتی، کاهش زمان واکنش به اختلال، بهبود هماهنگی بین واحدها، تعیین مسئولیتها در شرایط بحران و افزایش آمادگی برای بازیابی عملیات کمک کند.
همچنین سازمان میتواند وابستگیهای مهم خود به کارکنان، فناوری، تأمینکنندگان، زیرساختها و سایر منابع کلیدی را بهتر شناسایی و برای سناریوهای اختلال برنامهریزی کند.
داشتن گواهینامه ISO 22301 بهتنهایی تضمین نمیکند که فعالیت سازمان هیچگاه متوقف نشود؛ ارزش واقعی استاندارد به کیفیت تحلیل، برنامهریزی، تمرین، آزمون و بهبود مستمر BCMS بستگی دارد.
تحلیل اثرات کسبوکار یا BIA چیست؟
Business Impact Analysis یا BIA یکی از بخشهای مهم مدیریت تداوم کسبوکار است. در BIA سازمان بررسی میکند اختلال در هر فعالیت یا خدمت چه پیامدهایی میتواند ایجاد کند و کدام فعالیتها باید در اولویت بازیابی قرار گیرند.
نتیجه BIA کمک میکند نیازهای تداوم، زمانهای موردنظر برای بازیابی و منابع حیاتی موردنیاز مشخص شوند و راهبردهای تداوم کسبوکار بر اساس اهمیت واقعی فرایندها تدوین شوند.
تفاوت Business Continuity با Disaster Recovery چیست؟
Business Continuity دامنه گستردهتری دارد و به ادامه یا بازیابی فعالیتهای حیاتی سازمان در برابر انواع اختلالات میپردازد.
در مقابل، Disaster Recovery یا DR معمولاً تمرکز بیشتری بر بازیابی زیرساختها، سامانهها و دادههای فناوری اطلاعات پس از یک اختلال دارد.
بنابراین Disaster Recovery میتواند یکی از اجزای برنامه تداوم کسبوکار باشد، اما جایگزین کامل BCMS نیست.
ISO 22301 برای چه سازمانهایی بیشترین کاربرد را دارد؟
این استاندارد برای هر سازمانی که توقف فعالیت یا خدمت آن میتواند پیامد مالی، عملیاتی، قراردادی یا اعتباری قابلتوجهی ایجاد کند کاربرد دارد.
بانکها و مؤسسات مالی، شرکتهای فناوری اطلاعات و مراکز داده، تولیدکنندگان، شرکتهای مخابراتی، سازمانهای دولتی، مراکز درمانی، پیمانکاران و شرکتهای فعال در زنجیره تأمین از جمله مجموعههایی هستند که میتوانند از BCMS استفاده کنند.
ساختار استاندارد ISO 22301:2019 چگونه است؟
ISO 22301:2019 مانند بسیاری از استانداردهای سیستم مدیریتی ISO از ساختار مشترک استانداردهای مدیریتی استفاده میکند. بندهای 1 تا 3 شامل دامنه کاربرد، مراجع و اصطلاحات هستند و بندهای 4 تا 10 الزامات اصلی قابل ارزیابی استاندارد را تشکیل میدهند.
بند 4؛ Context of the Organization
سازمان باید مسائل داخلی و خارجی، نیازها و انتظارات ذینفعان و دامنه سیستم مدیریت تداوم کسبوکار را مشخص کند.
بند 5؛ Leadership
مدیریت ارشد باید نسبت به BCMS تعهد داشته باشد، خطمشی تداوم کسبوکار را تعیین کند و مسئولیتها و اختیارات مرتبط را مشخص کند.
بند 6؛ Planning
سازمان باید ریسکها و فرصتهای مرتبط با BCMS را بررسی کند و اهداف تداوم کسبوکار و برنامه دستیابی به آنها را تعیین کند.
بند 7؛ Support
منابع، شایستگی کارکنان، آگاهی، ارتباطات و اطلاعات مستند موردنیاز برای اجرای مؤثر BCMS در این بخش بررسی میشوند.
بند 8؛ Operation
این بند یکی از مهمترین بخشهای ISO 22301 است و موضوعاتی مانند تحلیل اثرات کسبوکار یا BIA، ارزیابی ریسک، انتخاب راهبردهای تداوم، تدوین برنامهها و رویههای پاسخ و بازیابی و همچنین تمرین و آزمون برنامههای تداوم کسبوکار را پوشش میدهد.
بند 9؛ Performance Evaluation
سازمان باید عملکرد BCMS را پایش و ارزیابی کند و از طریق ممیزی داخلی و بازنگری مدیریت مشخص کند سیستم تا چه اندازه اثربخش است.
بند 10؛ Improvement
عدمانطباقها باید شناسایی و اصلاح شوند و سازمان باید بهبود مستمر سیستم مدیریت تداوم کسبوکار را دنبال کند.
مهمترین فرایندهای اجرایی ISO 22301
در عمل، فقط داشتن یک سند با عنوان «برنامه تداوم کسبوکار» کافی نیست. سازمان باید مشخص کند کدام فعالیتها حیاتی هستند، چه سطحی از اختلال قابلتحمل است، چه منابعی برای ادامه یا بازیابی عملیات نیاز دارد و چه سناریوهایی باید تمرین و آزمایش شوند.
تحلیل اثرات کسبوکار، ارزیابی ریسک، تعیین راهبردهای تداوم، تدوین برنامههای پاسخ، تمرین و آزمون دورهای و بازنگری نتایج، از مهمترین اجزای اجرایی یک BCMS مؤثر هستند.
مراحل اخذ گواهینامه ISO 22301:2019
فرایند اخذ گواهینامه ISO 22301 با بررسی وضعیت فعلی سازمان و تعیین دامنه سیستم مدیریت تداوم کسبوکار آغاز میشود. سازمان باید فعالیتها و خدمات حیاتی خود را شناسایی کرده و برای اختلالات احتمالی برنامه پاسخ و بازیابی داشته باشد.
روند معمول شامل مراحل زیر است:
1. تعیین دامنه BCMS: مشخص میشود کدام واحدها، خدمات، سایتها و فرایندها تحت پوشش سیستم مدیریت تداوم کسبوکار قرار میگیرند.
2. انجام BIA و ارزیابی ریسک: پیامدهای توقف فعالیتهای حیاتی بررسی و ریسکهای مرتبط با اختلال شناسایی میشوند.
3. تعیین راهبردهای تداوم: سازمان مشخص میکند برای ادامه یا بازیابی فعالیتهای حیاتی به چه منابع، زیرساختها و راهکارهایی نیاز دارد.
4. تدوین و اجرای برنامههای تداوم: برنامههای پاسخ، بازیابی، ارتباطات و مدیریت شرایط اختلال تدوین و اجرا میشوند.
5. تمرین، آزمون و ممیزی داخلی: برنامهها باید آزمایش شوند و عملکرد BCMS پیش از ممیزی صدور مورد ارزیابی قرار گیرد.
6. ممیزی توسط مرجع صدور: پس از انتخاب CB مناسب، سیستم مدیریت تداوم کسبوکار ممیزی میشود و در صورت انطباق و رفع عدمانطباقهای احتمالی، گواهینامه صادر خواهد شد.
مدارک موردنیاز برای اخذ ISO 22301
مدارک موردنیاز به اندازه سازمان، نوع فعالیت و دامنه BCMS بستگی دارد. معمولاً مستنداتی مانند دامنه سیستم، خطمشی تداوم کسبوکار، BIA، ارزیابی ریسک، راهبردهای تداوم، برنامههای پاسخ و بازیابی، سوابق تمرین و آزمون، ممیزی داخلی و بازنگری مدیریت مورد بررسی قرار میگیرند.
مستندات باید با فعالیت واقعی سازمان هماهنگ باشند و صرفاً تهیه چند فرم یا دستورالعمل برای یک سیستم تداوم کسبوکار مؤثر کافی نیست.
هزینه اخذ گواهینامه ISO 22301 چقدر است؟
هزینه اخذ گواهینامه ISO 22301 برای همه شرکتها یکسان نیست. تعداد کارکنان، تعداد سایتها، دامنه BCMS، پیچیدگی فعالیتها، میزان آمادگی سازمان، مدت زمان ممیزی و مرجع صدور انتخابشده از عوامل مؤثر بر هزینه هستند.
به همین دلیل، قبل از اعلام هزینه نهایی بهتر است دامنه گواهینامه و هدف سازمان از دریافت ISO 22301 مشخص شود.
برای آشنایی با مراحل عمومی دریافت استانداردهای مدیریتی، راهنمای اخذ گواهینامه ایزو را مطالعه کنید.
اعتبار گواهینامه ISO 22301 چگونه بررسی میشود؟
برای بررسی اعتبار گواهینامه باید مرجع صدور یا CB، ساختار اعتباردهی آن، دامنه گواهینامه و امکان استعلام بررسی شود.
اگر ISO 22301 برای مناقصه، قرارداد یا ارائه به مشتری خاصی موردنیاز است، بهتر است شرایط همان مقصد پیش از انتخاب مرجع صدور بررسی شود.
برای آشنایی بیشتر با نحوه بررسی مراجع صدور، مقاله CB چیست و چگونه اعتبار مرجع صدور را بررسی کنیم؟ را مطالعه کنید.
سوالات متداول درباره ISO 22301
آیا ISO 22301 فقط برای شرکتهای بزرگ است؟
خیر. ISO 22301 برای سازمانها با اندازهها و حوزههای فعالیت مختلف قابل استفاده است. میزان و پیچیدگی پیادهسازی BCMS باید متناسب با اندازه سازمان، نوع فعالیت، خدمات حیاتی و ریسکهای آن تعیین شود.
آیا دریافت گواهینامه ISO 22301 اجباری است؟
بهصورت عمومی خیر. دریافت این گواهینامه معمولاً یک الزام قانونی همگانی نیست؛ اما ممکن است در برخی قراردادها، مناقصات، الزامات مشتری یا زنجیره تأمین درخواست شود.
تفاوت ISO 22301 با مدیریت ریسک چیست؟
مدیریت ریسک به شناسایی و کنترل طیف گستردهای از ریسکهای سازمان میپردازد، در حالی که ISO 22301 تمرکز مشخصی بر آمادگی سازمان برای اختلال، تداوم فعالیتهای حیاتی و بازیابی عملیات دارد. این دو حوزه میتوانند مکمل یکدیگر باشند.
BIA در ISO 22301 چیست؟
BIA یا Business Impact Analysis فرایندی برای بررسی پیامدهای اختلال در فعالیتها و خدمات سازمان است. نتایج BIA به تعیین اولویتهای بازیابی، نیازهای تداوم و منابع حیاتی کمک میکند.
آیا داشتن ISO 22301 مانع توقف فعالیت سازمان میشود؟
خیر. این استاندارد تضمین نمیکند که هیچ اختلالی رخ ندهد یا فعالیت سازمان هرگز متوقف نشود. هدف آن افزایش آمادگی، ایجاد برنامههای مناسب برای پاسخ و بازیابی و کاهش پیامدهای اختلال است.
گواهینامه ISO 22301 چه مدت اعتبار دارد؟
مدت و شرایط اعتبار گواهینامه به مرجع صدور و برنامه ممیزی آن بستگی دارد. در گواهینامههای سیستم مدیریتی معمولاً ممیزیهای مراقبتی دورهای انجام میشود و ادامه اعتبار به حفظ انطباق سیستم و شرایط مرجع صدور وابسته است.
