Så säkrar du din produktion med kontinuitetshantering

Nyckelpersoner som slutar, viktiga underleverantörer som går i konkurs eller översvämning i serverrummet. Den obehagliga listan på vad som kan störa ut en verksamhet kan göras lång. Perspektiv har bett två av Sveriges ledande experter på kontinuitetshantering om tips på vägen till säkrad produktion.

En genomtänkt kontinuitetshantering hos företag och organisationer innebär en strategisk och kontinuerlig förmåga att snabbt lösa sin incident- och krishantering och bevara verksamheten intakt. Kontinuitetshantering handlar om att förebygga och minimera avbrott i produktionen, till skillnad från ”risk management” som mycket förenklat är kopplat till ett företags ekonomiska mål.

Det är en stor och komplex uppgift att ta fram och förvalta en kontinuitetshantering som verkligen möter en organisations alla utmaningar. Frågan bör ägas av ledningen och utgå från verksamhetens övergripande mål och strategier, förklarar Roger Holfeldt som är säkerhetsexpert på Secana, ett konsultföretag med fokus på cyber- och samhällssäkerhet.

– För privata företag handlar det ofta om att säkra processer och produktion, för myndigheter att kunna lösa sitt samhällsuppdrag. Men för båda gäller att ledningen bör driva frågan om kontinuitetshantering och anta ett brett perspektiv på vad som behövs för att kunna säkerställa driften vid störningar. En kontinuitetshantering som utvecklas enbart utifrån verksamhetens olika delar blir lätt ett "stuprörstänk" med allt vad det kan innebära av till exempel onödiga kostnader och oklar ansvarsfördelning.

Ett sätt att arbeta systematiskt med ledningens ansvar är att implementera ISO:s ledningssystemsstandarder för till exempel kvalitet, kontinuitet och riskhantering. Stefan Tangen arbetar med utveckling av beredskap på MSB, Myndigheten för samhällsskydd och beredskap. Han har bland annat varit en nyckelperson i SIS arbete med ISO 22301, ledningssystem för kontinuitet, och ansvarar i dag för MSB:s standardiseringsarbete. Stefan Tangen framhåller fördelarna med standarder som verktyg.

– Ett företag som arbetar med kontinuitetshantering enligt ISO-standarden får praktisk vägledning på vad som behöver göras och följer en beprövad metodik som tillämpas av många organisationer världen över. Sedan är det upp till företaget att välja vilken nivå man väljer att lägga sig på och om man till och med vill certifiera sig mot standarden för att få ett bevis på att den blivit korrekt implementerad i verksamheten.

Här är ytterligare några tips från två av Sveriges mest erfarna experter inom operativ och strategisk kontinuitetshantering.

Följ de tre stegen mot säkrad drift

Prioriteringar (vad), kravställning (varför) och skyddsåtgärder (hur) är de tre stegen på vägen mot en genomtänkt kontinuitetshantering. Analysen av dessa bör utgå från vad ledningen bedömer som viktigast för att organisationen ska nå sina mål vid oväntade störningar. Ett exempel på prioritering kan vara ”förmåga att säkerställa driften även om medarbetare x och y faller bort”. När det gäller kravställning har många företag också externa kravställare, till exempel olika myndigheter, som är viktiga att få med i analysen.

Gör en noggrann kartläggning

Den inledande analysen bör gå igenom verksamhetens alla system och flöden, hela vägen från strategi till handgripliga rutiner. Hos många företag är det till exempel vanligt att viktig kunskap som borde vara väl känd hos många, finns samlad hos en eller ett par personer. Hur kan nyckelkompetens fördelas på ett bra sätt, och vad krävs av utbildning och andra aktiviteter för att upprätthålla den över tid?

Håll koll på kostnaderna

En del i analysarbetet är att hålla koll på kostnaderna för befintliga och planerade skyddsåtgärder, som i vissa fall kan vara kostsamma. Det är inte ovanligt att vissa skyddsåtgärder endera är överflödiga, eller delvis överlappar varandra. Att utgå från verksamhetens övergripande mål bidrar också till att resurssätta rätt, medan ”inifrånperspektiv” ökar risken för onödiga kostnader.

Undvik det vanligaste misstaget

En genomtänkt kontinuitetshantering i alla ära - många företag lämnar arbetet på planeringsnivån, men säkerställer inte att teorierna håller i verkligheten. Övning, uppföljning och att viktig kunskap finns etablerad i organisationen är avgörande framgångsfaktorer för ett systematiskt säkerhetsarbete. För företag som strävar efter en certifiering enligt ISO 22301 ingår också en revision av dokumentationen.

Text: Anne Hammarskjöld