สรุปข้อกำหนด ISO 22301 แบบเข้าใจง่าย

สรุปข้อกำหนด ISO 22301 แบบเข้าใจง่าย

มาตรฐาน ISO 22301:2012 การบริหารความต่อเนื่องของธุรกิจ (Business Continuity Management) กำลังอยู่ในความสนใจของผู้ประกอบการธุรกิจทุกขนาด ตั้งแต่ SME ท้องถิ่นไปจนถึงบริษัทยักษ์ข้ามชาติ ซึ่งทุกองค์กรสามารถเลือกนำเอาคำแนะนำของมาตรฐานมาประยุกต์ใช้ได้ตามความเหมาะสม แต่สำหรับองค์กรที่ต้องการจะผ่านการตรวจประเมินเพื่อขอประกาศนีบัตรรับรองมาตรฐานดังกล่าว จำเป็นต้องปฏิบัติตนให้สอดคล้องตามข้อกำหนดหลักทั้งหมดของเอกสารมาตรฐาน ISO 22301:2012 (ข้อกำหนดที่ 4-10) ดังนั้น ในบทความนี้ผมจึงอยากจะเล่าถึงข้อกำหนดหลักเหล่านั้นให้ท่านฟังแบบง่ายๆ ครับ

ข้อกำหนดที่ 4 : Context of the Organization (การระบุบริบทขององค์กร)

>> คุณต้องทำความเข้าใจบริบททั้งหมดขององค์กร โดยระบุประเด็นหรือปัจจัยทั้งภายในและภายนอกที่เกี่ยวข้องและมีผลกระทบต่อเป้าหมายทางธุรกิจ

>> คุณต้องทำความเข้าใจกับความต้องการและความคาดหวังของผู้มีส่วนเกี่ยวข้องทุกภาคส่วน (Stakeholder) ที่มีต่อการบริหารความต่อเนื่องของธุรกิจ

>> คุณจะต้องระบุขอบเขต (Scope) ของระบบบริหารความต่อเนื่องของธุรกิจ รวมถึงชี้แจงข้อยกเว้นต่างๆ (ถ้ามี) พร้อมเหตุผลกำกับอย่างชัดเจน

>> คุณจะต้องกำหนดกลยุทธ์ แผนงานดำเนินการ การบำรุงรักษา และการปรับปรุงระบบบริหารความต่อเนื่องของธุรกิจ

ข้อกำหนดที่ 5 : Leadership (ภาวะความเป็นผู้นำ)

>> ผู้บริหารระดับสูงจะต้องแสดงออกถึงความเป็นผู้นำ (Leadership) และคำมั่นสัญญา (Commitment) ในกระบวนการบริหารความต่อเนื่องของธุรกิจ

>> สิ่งหนึ่งที่แสดงถึงคำมั่นสัญญา (Commitment) คือการกำหนดนโยบายการบริหารความต่อเนื่องของธุรกิจให้สอดคล้องกับวัตถุประสงค์ในการดำเนินธุรกิจขององค์กร และมีการจัดหาทรัพยากรสนับสนุนที่จำเป็นอย่างพอเพียง

>> คุณจะต้องมีการประกาศ บังคับใช้ และสื่อสารการใช้งานนโยบายการบริหารความต่อเนื่องของธุรกิจอย่างทั่วถึงทั้งองค์กร

>> คุณจะต้องมีการกำหนดบทบาท อำนาจ หน้าที่ และความรับผิดชอบของบุคลากรที่เกี่ยวข้องกับระบบการบริหารความต่อเนื่องของธุรกิจอย่างชัดเจน

ข้อกำหนดที่ 6 : Planning (การวางแผน)

>> คุณจะต้องกำหนดแผนงานในการจัดการกับความเสี่ยงในการบริหารความต่อเนื่องทางธุรกิจ และต้องกำหนดมาตรการเพื่อบริหารระดับความเสี่ยงให้อยู่ในระดับที่องค์กรสามารถยอมรับได้

>> คุณจะต้องมั่นใจว่าวัตถุประสงค์และแผนการดำเนินงานได้ถูกสื่อสารออกไปยังหน่วยงานต่างๆ ที่เกี่ยวข้อง

ข้อกำหนดที่ 7 : Support (การสนับสนุน)

>> คุณจะต้องจัดหาทรัพยากรที่พอเพียงและให้การสนับสนุนการดำเนินงานอย่างเหมาะสม

>> คุณจะต้องกำหนดทักษะความสามารถที่จำเป็นสำหรับแต่ละตำแหน่งงานที่เกี่ยวข้อง (Competency) และให้การอบรมเพื่อให้พนักงานเหล่านั้นสามารถปฏิบัติหน้าที่ได้อย่างมีประสิทธิภาพ

>> ผู้ที่เกี่ยวข้องทั้งหมดภายใต้ขอบเขตของระบบบริหารความต่อเนื่องของธุรกิจจะต้องมีความตระหนักรู้ (Awareness) เกี่ยวกับวัตถุประสงค์ นโยบาย และแผนการดำเนินงาน

>> คุณจะต้องจัดให้มีการสื่อสารข้อมูลเกี่ยวกับการบริหารความต่อเนื่องของธุรกิจให้ผู้ที่เกี่ยวข้องทั้งหมดรับทราบอย่างเหมาะสม ทั้งบุคคลภายในและภายนอกองค์กร

>> คุณจะต้องมีการบริหารจัดการเอกสารต่างๆ ที่เกี่ยวข้อง โดยให้คงไว้ซึ่งความถูกต้องครบถ้วนและความพร้อมใช้งานอยู่เสมอ

ข้อกำหนดที่ 8 : Operation (การปฏิบัติงาน)

>> คุณจะต้องมีการบริหารจัดการความเปลี่ยนแปลงต่างๆ (Change Management) ที่เกิดขึ้นในระหว่างการดำเนินงาน รวมถึงต้องมีการควบคุมการทำงานของผู้ให้บริการจากภายนอกด้วย

>> คุณจะต้องมีการวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis) และการประเมินความเสี่ยง (Risk Assessment) เพื่อให้ทราบถึงลำดับความสำคัญของแต่ละกระบวนการทางธุรกิจ ความเสี่ยง ระยะเวลา และเงื่อนไขต่างๆ ที่เกี่ยวข้อง

>> คุณจะต้องกำหนดกลยุทธ์ในการสร้างความต่อเนื่องในการบริหารธุรกิจ (Business Continuity Strategy) พิจารณาใช้ทรัพยากรที่มีอยู่ให้เกิดประโยชน์สูงสุดและตอบโจทย์ทางธุรกิจเมื่อตกอยู่ในภาวะอันไม่พึงประสงค์และเหตุหยุดชะงักต่างๆ ที่ส่งผลให้ธุรกิจขาดความต่อเนื่อง

>> คุณจะต้องจัดให้มีขั้นตอนการปฏิงาน (Business Continuity Procedure) ที่สอดคล้องตามผลการวิเคราะห์ผลกระทบทางธุรกิจและผลการประเมินความเสี่ยง รวมถึงแผนการรับมือเหตุล่วงละเมิดต่างๆ แผนการเฝ้าระวัง และแผนการติดต่อสื่อสาร ที่สำคัญก็คือจะต้องจัดเตรียมแผนการกู้คืนระบบหรือกระบวนการที่สำคัญต่างๆ ขององค์กรเมื่อเกิดการหยุดชะงัก

>> คุณจะต้องจัดให้มีการฝึกซ้อมและทดสอบ (Exercising and Testing) แผนความต่อเนื่องทางธุรกิจ เพื่อให้แน่ใจว่ามีความสอดคล้องตามวัตถุประสงค์และเป้าหมายที่ได้กำหนดไว้

ข้อกำหนดที่ 9 : Performance Evaluation (การประเมินผล)

>> คุณต้องมีการตรวจสอบ ประเมิน และวิเคราะห์ผลการบริหารความต่อเนื่องของธุรกิจ โดยกำหนดตัวชี้วัดที่ชัดเจน เพื่อให้สะท้อนถึงประสิทธิภาพและประสิทธิผลของการดำเนินงาน

>> คุณจะต้องมีการตรวจประเมินภายใน (Internal Audit) ระบบบริหารความต่อเนื่องในการดำเนินธุรกิจตามรอบระยะเวลาที่กำหนดไว้อย่างเหมาะสม ครอบคลุมถึงปัจจัยทั้งหมดที่อยู่ภายใต้ขอบเขตที่ได้ระบุไว้

>> ผู้บริหารระดับสูงและผู้บริหารที่เกี่ยวข้องจะต้องทบทวนรายละเอียดต่างๆ (Management Reviews) ที่เกี่ยวข้องกับระบบบริหารความต่อเนื่องทางธุรกิจตามรอบระยะเวลาที่กำหนดไว้อย่างเหมาะสม

ข้อกำหนดที่ 10 : Improvement (การพัฒนาและปรับปรุง)

>> คุณจะต้องระบุว่าในปัจจุบันมีสิ่งใดบ้างที่ยังไม่เป็นไปตามข้อกำหนดของมาตรฐาน (Non-Conformity) และจัดทำแผนการแก้ไขให้ครบถ้วน (Corrective Action) รวมถึงกำหนดตัวชี้วัดผลการแก้ไขอีกด้วย

>> คุณจะต้องมีการปรับปรุงและพัฒนาระบบบริหารความต่อเนื่องทางธุรกิจอย่างสม่ำเสมอ เพื่อให้มีความทันสมัยและสอดคล้องกับวัตถุประสงค์ทางธุรกิจ และปัจจัยต่างๆ ที่มีการเปลี่ยนแปลงอย่างไม่หยุดนิ่ง

การปฏิบัติตามข้อกำหนดทั้งหมดข้างต้นนี้ จะช่วยให้ท่านประสบความสำเร็จในการขอรับการรับรองมาตรฐาน ISO 22301:2012 อีกทั้งยังเป็นการแสดงออกถึงความมุ่งมั่นในการสร้างความต่อเนื่องให้กับธุรกิจ เพื่อให้ความมั่นใจกับทั้งบุคลากรภายในและสาธารณชนโดยทั่วกัน

Content Cr : DestinationOne Counselor

Photo Cr : FreeImages.com