ISO 22301:2019 stiller krav til et styringssystem for kontinuitet. Standarden handler om organisasjonens evne til å opprettholde eller gjenopprette kritiske leveranser når noe avbryter driften. Årsaken kan være et dataangrep, et bortfall hos en leverandør, en brann, en pandemi eller sviktende infrastruktur. Standarden er ikke opptatt av årsaken, men av evnen til å håndtere avbruddet.
Mange virksomheter har planer. Færre har øvd på dem, og enda færre vet om planene stemmer med hva organisasjonen faktisk klarer. Denne tjenesten handler derfor om mer enn å skrive dokumenter. Organisasjonen skal etablere, øve og dokumentere en reell evne til å håndtere avbrudd.
Hvem tjenesten passer for
- Virksomheter med leveranser som ikke tåler stans, i egen drift eller mot kunder.
- Virksomheter omfattet av NIS2 eller sektorkrav der kontinuitet er et uttrykt krav.
- Virksomheter med kritiske leverandøravhengigheter de ikke har full oversikt over.
- Virksomheter som har vært gjennom en hendelse, og som vil rette opp det den avdekket.
- Virksomheter som møter krav om dokumentert kontinuitet i anbud og kundeavtaler.
Hva Berigo kan levere
- Kartlegging av kritiske produkter og tjenester, og hva de avhenger av.
- Business Impact Analysis med konsekvens over tid.
- Risiko- og trusselvurderinger knyttet til avbrudd.
- Oversikt over interne og eksterne avhengigheter, inkludert leverandører og systemer.
- Akseptable avbruddstider og gjenopprettingsmål, besluttet av ledelsen.
- Kontinuitetsstrategier som svarer på målene, med kostnad og realisme vurdert.
- Beredskapsplaner, kontinuitetsplaner og gjenopprettingsplaner.
- Kriseledelse med roller, fullmakter og varslingslinjer.
- Krisekommunikasjon mot ansatte, kunder, eiere, myndigheter og media.
- Øvelser og tester tilpasset modenhet, fra skrivebordsøvelse til reell gjenoppretting.
- Evaluering etter øvelser og hendelser, med forbedringstiltak som følges opp.
- Måling, internrevisjon og ledelsens gjennomgang.
- Forberedelse til sertifiseringsrevisjon, og støtte gjennom revisjonen.
Fra plan til evne
Forskjellen på et dokument og en evne er at evnen er prøvd. Vi legger derfor øvelser inn i arbeidet tidlig, og bruker funnene til å rette planene mens de bygges. En plan som aldri er øvd, er en antakelse. En plan som er øvd, er dokumentasjon på at organisasjonen vet hva den skal gjøre.
Hva dere oppnår
- Klarhet i hva som faktisk er kritisk, besluttet av ledelsen og ikke antatt av den enkelte.
- Kjente gjenopprettingsmål, og planer som er dimensjonert etter dem.
- Roller og fullmakter som er avklart før krisen, ikke under den.
- Øvde planer, med dokumentasjon av hva som ble prøvd og hva som ble forbedret.
- Et grunnlag for å svare på kontinuitetskrav fra kunder, tilsyn og forsikring.
TrustAlign i arbeidet
TrustAlign er Berigos egen portal for styring, risiko, etterlevelse og revisjonsstøtte. Den brukes som arbeidsflate gjennom implementeringen og videre i driften, slik at kravene, arbeidet og bevisene ligger samlet i stedet for spredt i regneark og delte mapper.
- Rammeverk og krav, med etterlevelsesstatus per rammeverk.
- Risikoregister med risikovurdering og oppfølging av tiltak.
- Kontrollregister med status, ansvarlige og frister.
- Statement of Applicability, med begrunnelse per kontroll.
- Policyer og styrende dokumenter.
- Revisjonsprogram, revisjonsplaner og gjennomføring av revisjoner.
- Funn klassifisert som avvik, observasjon eller forbedringsmulighet, med rotårsak, korrigerende tiltak og verifisert lukking.
- Hendelser, sårbarheter, verdier og leverandører.
- Evidens og dokumentasjon knyttet til det den hører til.
- Ledelsens gjennomgang bygget på revisjonsprogrammet.
- Rapporter og eksport av risikoer, kontroller, funn, hendelser, policyer, leverandører og sårbarheter.
- Norsk og engelsk grensesnitt, egen organisasjon per kunde, roller for administrator, forvalter og leser, tofaktorpålogging og revisjonslogg.
TrustAlign har i tillegg et eget område for Business Impact Analysis, med avhengigheter, konsekvensvurdering og gjenopprettingsmål.
TrustAlign kan brukes som en selvstendig portal, og kan etter avtale og teknisk avklaring kobles til relevante dokument- og datakilder. Portalen gir i seg selv verken sertifisering eller regulatorisk etterlevelse. Den strukturerer arbeidet som skal til, og gjør det etterprøvbart.
Rollefordelingen
Berigo er rådgiver og implementeringspartner. Sertifiseringsrevisjonen gjennomføres av et uavhengig sertifiseringsorgan som dere velger selv. Vi utsteder ingen sertifikater, vi påvirker ikke revisors vurdering, og vi garanterer ikke et bestemt utfall. Vi forbereder organisasjonen så godt som mulig, og støtter dere gjennom revisjonen og etterarbeidet.
