व्यापार प्रभाव विश्लेषण गाइड

हर कोई नहीं जानता है कि व्यापार निरंतरता योजनाओं को कहां और कब लागू करना है। मैं आमतौर पर यह कहता हूं: जब खतरे का मुकाबला करने की लागत की तुलना में संभावित नुकसान अधिक होते हैं, यह उपाय करने का समय है, लागत पर्याप्त होगी। और इसके विपरीत। यदि प्रतिवाद की लागत अधिक या कम स्पष्ट है, तो नुकसान का आकलन करना एक गैर-तुच्छ कार्य है। मैं आपको एक व्यवसाय (बिजनेस इम्पैक्ट एनालिसिस - बीआईए) पर आपात स्थिति के प्रभाव का आकलन करने और एक बड़े रिटेलर के उदाहरण का उपयोग करके आईटी निरंतरता सुनिश्चित करने के लिए एक रणनीति विकसित करने के लिए एक परियोजना के बैकस्टेज पर आमंत्रित करता हूं। तो चलिए चलते हैं।

शुरुआत

हमने X5 रिटेल ग्रुप की परियोजना में भाग लिया - रूस में सबसे बड़ा रिटेलर। कंपनी Pyaterochka, Carousel और Crossroads नेटवर्क का संचालन करती है।

उसके पास पहले से ही अपनी रुकावट जोखिम प्रबंधन नीति थी, जिसमें शामिल थे:

1. जोखिम बीमा;
2. संकट प्रबंधन का गठन;
3. लोगों के जीवन और स्वास्थ्य के लिए जोखिम को कम करना;
4. व्यवसाय प्रबंधन जोखिम का नियंत्रण;
5. आईटी प्रणालियों के लिए आपातकालीन वसूली योजना तैयार करना।

इस नीति के अनुसार, केंद्रीकृत आईटी बुनियादी ढांचे के लिए आईटी सेवा निरंतरता और आपदा वसूली योजनाओं के विकास की आवश्यकता है। आदर्श समाधान यह होगा कि बैकअप डेटा सेंटर का निर्माण किया जाए, सिंक्रोनस प्रतिकृति की स्थापना की जाए, इमरजेंसी ट्रांसफर ऑटोमेशन को सेट किया जाए और घंटे के हिसाब से “H” को देखा जाए कि कैसे आईटी सिस्टम बैकअप डेटा सेंटर में जाते हैं और ग्रीन लाइट चालू करते हैं, जिससे संकेत मिलता है कि व्यापार को कोई खतरा नहीं है।

लेकिन प्रक्रिया के अर्थशास्त्र को देखते हुए, कंपनी ने सुझाव दिया कि केवल सबसे महत्वपूर्ण आईटी सिस्टम को जमा करना एक पर्याप्त आपातकालीन उपाय होगा, जिसके बिना स्टोर संचालित नहीं हो पाएंगे और कंपनी में महत्वपूर्ण वित्तीय नुकसान शुरू हो जाएंगे। एक महत्वपूर्ण सवाल उठता है - कौन सी प्रणाली और कितने समय के लिए बहाल की जानी चाहिए?
ग्राहक के IT विभाग ने IT सिस्टम का वर्गीकरण और प्रत्येक सिस्टम के लिए स्वीकार्य पुनर्प्राप्ति समय निर्धारित किया। हालांकि, बाद में आईएसओ 22301 और सर्वोत्तम प्रथाओं के अनुसार कंपनी के व्यवसाय (बीआईए) पर आपात स्थिति के प्रभाव का पूर्ण मूल्यांकन करने का निर्णय लिया गया।

आयतन और सीमाएँ

थिएटर एक पिछलग्गू के साथ शुरू होता है, और बीआईए काम के दायरे की परिभाषा के साथ शुरू होता है। ऐसा करने के लिए, आपको कंपनी की व्यावसायिक प्रक्रियाओं, उसकी सेवाओं, वित्तीय वक्तव्यों, भागीदारों, ग्राहकों और ठेकेदारों के साथ संबंधों की जांच करने की आवश्यकता है। फिर उन प्रमुख व्यावसायिक प्रक्रियाओं और सेवाओं की पहचान और समन्वय करें जो परियोजना की सीमाओं के भीतर आएंगी। बीआईए की अवधि और लागत मात्रा पर निर्भर करती है। इसके अलावा, हमारा अनुभव बताता है कि आपको परियोजना को 9 महीने से अधिक समय तक नहीं खींचना चाहिए।

हमारे मामले में, ग्राहक ने व्यापारिक गतिविधियों के लिए सबसे महत्वपूर्ण व्यावसायिक प्रक्रियाओं को चुनकर पहले ही सीमा निर्धारित कर दी है।

साक्षात्कार

एक बार बीआईए की सीमाएं और रूपरेखा तय हो जाने के बाद, व्यापार और अन्य विभागों के हितधारकों की एक सूची जिनके साथ आप साक्षात्कार करना चाहते हैं, निर्धारित किया जाता है। कंपनी में प्रक्रियाओं की एक उद्देश्यपूर्ण तस्वीर प्राप्त करने के लिए, यह समझने के लिए कि वे कैसे काम करते हैं, "क्या होगा अगर ..." का मूल्यांकन प्राप्त करने के लिए विभिन्न विभागों से जानकारी एकत्र करना बहुत महत्वपूर्ण है। इस स्तर पर, हम इस बात की जानकारी प्राप्त करते हैं कि वास्तव में व्यावसायिक प्रक्रियाएं आईटी पर कैसे निर्भर करती हैं और इन निर्भरताओं के एक मैट्रिक्स का निर्माण करती हैं। इसके अलावा, व्यावसायिक प्रतिनिधि और व्यावसायिक प्रक्रिया में रुचि रखने वाले पक्ष परिणामों, संभावित नुकसान, संभावित परिदृश्यों का मूल्यांकन करते हैं। इसके लिए, हमने एक विशेष प्रश्नावली विकसित की और लगभग 50 उत्तरदाताओं का साक्षात्कार किया (परियोजना के बारे में 50 प्रस्तुतियां प्रस्तुत कीं, सभी पूर्ण प्रश्नावली का संचालन, संचालन और प्राप्त किया)।

व्यापार प्रक्रियाओं

साक्षात्कार के साथ समानांतर में, हमने व्यावसायिक प्रक्रियाओं का वर्णन किया, व्यक्तिगत संचालन और विस्तार की गहराई को पूरा करने में लगने वाले समय को ध्यान में रखते हुए, आगे के विश्लेषण के लिए पर्याप्त है। एक प्रक्रिया को छोटे घटकों और विशिष्ट कार्यों में विभाजित करना यह समझने के लिए आवश्यक है कि दिन के अलग-अलग समय में एक आईटी प्रक्रिया किसी विशेष प्रक्रिया को कैसे प्रभावित करती है और वर्ष के अलग-अलग समय में। इस स्तर पर, यह समझना महत्वपूर्ण है कि हम GOST या किसी अन्य पद्धति के अनुसार व्यावसायिक प्रक्रियाओं का वर्णन नहीं करते हैं। हम व्यावसायिक प्रक्रियाओं का अनुकूलन नहीं करते हैं और आमतौर पर व्यावसायिक प्रक्रियाओं में सुधार के लिए सिफारिशें नहीं देते हैं, कम से कम बीआईए के भीतर। हम ऐसी प्रक्रियाओं में व्यावसायिक प्रक्रियाओं का वर्णन करते हैं जो हमें नुकसान की गणना के लिए कार्यप्रणाली को सही ठहराने और कई मानदंडों के अनुसार नुकसान का मूल्यांकन करने की अनुमति देती हैं। एक ग्राफिकल विवरण के लिए, संकेतन EPC, ARIS और MS Visio को उपकरण के रूप में उपयोग किया गया था।

थ्रेसहोल्ड

उद्देश्य लक्ष्य वसूली समय निर्धारित करने के लिए, किनारे पर उन मानदंडों पर सहमत होना आवश्यक है जिनके द्वारा हम क्षति का आकलन करेंगे, और उनकी सीमा मूल्यों पर। यदि ये सीमाएँ पार हो जाती हैं, तो हम क्षति को महत्वपूर्ण मानेंगे, और समय अंतराल जिस पर थ्रेशोल्ड मान पहुँच गया है, लक्ष्य प्राप्ति समय बन जाएगा। दो विकल्प सुझाए गए थे:

• एक मानदंड से आरटीओ निर्धारित करें - वित्तीय नुकसान;
• आरटीओ को तीन मानदंडों द्वारा निर्धारित करें - वित्तीय हानि, प्रतिष्ठा की हानि, व्यावसायिक प्रक्रियाओं की संगतता की हानि।

एक मानदंड के साथ पहला विकल्प बेहतर लगता है, क्योंकि किसी भी नुकसान को सशर्त रूप से धन में परिवर्तित किया जा सकता है - मुख्य बात यह है कि पुनर्गणना सूत्र पर सहमत होना है। लेकिन, जैसा कि अभ्यास से पता चलता है, कोई भी विशेष रूप से वित्तीय नुकसान में प्रतिष्ठित नुकसान की भरपाई नहीं करता है, और इस तरह के फार्मूले की स्वीकृति अनिश्चित समय ले सकती है। दोनों विकल्पों के लिए पुनर्प्राप्ति समय पर विचार करने का निर्णय लिया गया था, और परिणाम पेश करने के चरण में, ग्राहक स्वयं यह निर्धारित करेगा कि कौन सा वास्तविकता को अधिक निष्पक्षता से दर्शाता है।



आगे देखते हुए, मैं कहता हूं कि जब एक मानदंड के साथ पहले विकल्प का उपयोग करते हैं, तो यह पता चला कि "मूल्य निर्धारण" प्रक्रिया में RTO, उदाहरण के लिए, 10 दिनों तक पहुंच सकता है। दूसरे विकल्प की गणना करते समय, आरटीओ 24 घंटे से अधिक नहीं था। किसी भी मामले में, प्रबंधन निर्णय - जो नुकसान पर विचार करता है और जो नहीं - ग्राहक के साथ रहता है।

जोखिम

ग्राहक के साथ मिलकर, हमने परिचालन जोखिमों की सूची निर्धारित की। यही है, जो आईटी को प्रभावित करते हैं, और जो बदले में व्यावसायिक प्रक्रियाओं को प्रभावित करते हैं ... अच्छी तरह से, आप समझते हैं। यह चरण महत्वपूर्ण है क्योंकि एक आपात स्थिति को एक वैक्यूम में एक गोलाकार घोड़ा नहीं माना जाता है, वे कहते हैं कि यदि हम आईटी खो देते हैं तो मातृभूमि और हमारे लिए क्या होगा। जोखिमों को वैश्विक और स्थानीय में विभाजित किया गया था। उनमें से प्रत्येक के लिए, एक विकास परिदृश्य और कंपनी की प्रक्रियाओं पर प्रभाव साक्षात्कार के परिणामों को ध्यान में रखते हुए निर्धारित किया गया था। जाहिर है, विफलता के मामले में एक ही आईटी प्रणाली कई व्यावसायिक प्रक्रियाओं को प्रभावित कर सकती है, लेकिन हम परियोजना में केवल दो प्रक्रियाओं के बारे में बहुत चिंतित थे। फिर हमने निम्नलिखित मापदंडों के अनुसार दावों का मूल्यांकन किया:

• खतरा फैल गया;
• सतर्क करने की क्षमता;
• जोखिम की अवधि;
• घटना की संभावना;
• अनुमानित क्षति।

नतीजतन, उन्होंने एक हीट मैप आकर्षित किया, जहां प्रत्येक एप्लिकेशन को यह आकलन मिला कि उसके डाउनटाइम के दौरान व्यापार कितना गर्म हो सकता है। उदाहरण के लिए, व्यक्तिगत एसएपी मॉड्यूल के लिए डाउनटाइम के 4 घंटे में, कंपनी को अभी भी गंभीर समस्याएं नहीं मिलती हैं, लेकिन गर्मी के नक्शे पर कैश रजिस्टर सॉफ़्टवेयर के डाउनटाइम के पहले घंटे भी उग्र लाल में चिह्नित हैं।

यह स्पष्ट करना आवश्यक है कि जोखिम मूल्यांकन और आगे की रैंकिंग विशेषज्ञों के एक समूह की मदद से बनाई जाती है और ग्राहक के लिए सबसे महत्वपूर्ण परिस्थितियों को निर्धारित करने के लिए आवश्यक है।

आकस्मिक जोखिम और परिदृश्य। डेटा सेंटर में आग: सर्वर रूम पूरी तरह से जल गया है, "रिप्लेसमेंट" प्रक्रिया में शामिल एसएपी मॉड्यूल अनुपलब्ध है। इसका मतलब यह है कि हर दिन, जब तक जला एसएपी मॉड्यूल को बहाल नहीं किया जाता है, तब तक उत्पाद रेंज कम हो जाती है। सबसे पहले, यह खराब होने वाले उत्पादों की चिंता करता है, दूसरा, ऐसे उत्पाद जो उच्च मांग (उदाहरण के लिए, अनाज और रोटी) में हैं, और तीसरे, घरेलू रसायन। जाहिर है, इस स्थिति से दुकानों में राजस्व में कमी आएगी। लेकिन यह पूरी तरह से स्पष्ट नहीं है: जो खरीदार बीयर और सिगरेट के लिए आया था, सामान में से एक की अनुपस्थिति में, सबसे अधिक संभावना कुछ भी नहीं हो सकती है। इसी तरह मूल्य निर्धारण प्रक्रिया के लिए। यदि एक सशर्त ग्राहक जो बुधवार को दोपहर 12:00 बजे छूट के बारे में पता लगाता है, वह दोपहर में दुकान पर आता है, और "मूल्य निर्धारण" प्रक्रिया काम नहीं करती है (यानी, छूट के बिना कीमतें), तो वह:

ए) कुछ भी नहीं खरीदता है (= वित्तीय हानि);
बी) धोखाधड़ी के स्टोर का आरोप लगाएगा (= प्रतिष्ठा का नुकसान)
बी) नियामक (अनुचित विज्ञापन के लिए जुर्माना) की शिकायत करता है।

नुकसान का अनुमान तकनीक

जैसा कि आप शायद ऊपर से समझ गए हैं, यहां तक ​​कि वित्तीय नुकसान की गणना करने के लिए, उन्हें गणना करने के लिए एक कार्यप्रणाली और सूत्र विकसित करना आवश्यक है, जो कि छूट, पदोन्नति, दिन के समय, उच्च सीजन (उदाहरण के लिए, दिसंबर के अंत में उत्तेजना) को ध्यान में रखते हैं। कार्यप्रणाली में एक वर्णनात्मक हिस्सा होना चाहिए (जहां से यह आता है और क्यों इसे वजन से गुणा किया जाता है), साथ ही साथ बोध की स्पष्टता के लिए तालिकाओं और रेखांकन भी।

तकनीक भी वर्णन करती है:

• एक व्यावसायिक प्रक्रिया के लिए वसूली समय कैसे निर्धारित किया जाता है
• व्यवसाय प्रक्रिया के लिए पुनर्प्राप्ति समय आईटी प्रणालियों के लिए RTO / RPO में कैसे परिवर्तित होता है
• क्रिटिकलिटी क्लासेस और रिकवरी क्लासेस - इसकी आवश्यकता क्यों है।

हम और आगे जा रहे हैं।

आरटीओ गणना

सभी साक्षात्कार आयोजित किए जाने के बाद, व्यावसायिक प्रक्रियाओं का वर्णन किया जाता है, जोखिमों का आकलन किया जाता है, एक कार्यप्रणाली को परिभाषित और अनुमोदित किया जाता है, और नुकसान की गणना की जाती है। चूंकि पायतेरचोका, हिंडोला और चौराहे का व्यवसाय कम से कम पैमाने पर अलग-अलग है - प्रत्येक नेटवर्क के लिए हमने अपनी टेबल, अपने स्वयं के शेड्यूल और नुकसान की गणना विकसित की है।

समग्र रूप से व्यावसायिक प्रक्रिया के लिए, पुनर्प्राप्ति समय निर्धारित किया जाता है (कार्यप्रणाली देखें), जब नुकसान सीमा मूल्य से अधिक हो जाता है (थ्रेसहोल्ड देखें)। यह पुनर्प्राप्ति समय उन आईटी प्रणालियों को सौंपा गया है जो व्यापार प्रक्रिया में शामिल हैं (साक्षात्कार और निर्भरता मैट्रिक्स देखें)। ऐसा लगता है कि निरंतरता मापदंडों को परिभाषित किया गया है - परियोजना पूरी हो गई है (सीमाओं और ढांचे को देखें)। लेकिन यह कहना पर्याप्त नहीं है "प्रक्रिया को 12 घंटे में बहाल किया जाना चाहिए।" यह निर्धारित करना महत्वपूर्ण है कि यह अब कैसे काम करता है। आज आईटी प्रणाली को कितने घंटे में बदला जा सकता है? और क्या होगा यदि वर्तमान पुनर्प्राप्ति समय लक्ष्य से अधिक लंबा या महत्वपूर्ण है? उन लोगों के लिए जो अभी भी कारण और एकाग्रता रखते हैं, GAP में आपका स्वागत है!

GAP विश्लेषण और कार्य योजना

पिछले चरणों के परिणामस्वरूप, हमने प्रक्रियाओं और टीओ टू सिस्टम के लिए राज्य का निर्धारण किया, अर्थात यह आदर्श रूप में होना चाहिए। वर्तमान चरण में, हम "AS IS" की स्थिति निर्धारित करते हैं। उसी समय, हम व्यापारिक प्रक्रियाओं को कुछ हद तक स्पर्श करते हैं, और आईटी घटक पर ध्यान केंद्रित करते हैं। ग्राहक के लिए, हमने किसी आपातकालीन स्थिति से उबरने के संदर्भ में उसके वर्तमान समाधानों का मूल्यांकन किया। इसके अलावा, इस मामले में, टाइमर के साथ वास्तविक वसूली करना आवश्यक नहीं था। यह गहराई से जाने के लिए पर्याप्त था और पर्याप्त डेस्कटॉप परीक्षण यह समझने के लिए कि लक्ष्य आरटीओ अप्राप्य है।

उसके बाद, हमने कई सिफारिशें विकसित कीं, दोनों एक सामान्य प्रकृति (आईटी निरंतरता सुनिश्चित करने के लिए), और सीधे आईटी सिस्टम और उनकी वास्तुकला से संबंधित हैं। ये तकनीकी समाधान के नमूने हैं और उनके कार्यान्वयन की लागत का एक मोटा अनुमान है। वास्तव में, अब एक निर्णय के लिए एक आधार है। पैमाने के एक तरफ - नुकसान, और दूसरे पर - उपायों की लागत।
यदि कुछ आईटी सिस्टम GAP विश्लेषण को पास नहीं करते हैं, या यों कहें, उनका पुनर्प्राप्ति समय लक्ष्य से अधिक लंबा है, तो हम लक्ष्य राज्य को प्राप्त करने के लिए परियोजनाओं का एक कार्यक्रम बनाते हैं या, यदि आप चाहें, तो परियोजनाओं के अनुक्रम के औचित्य के साथ एक रोडमैप और संगठन की स्थिरता में सुधार का एक अंतरिम मूल्यांकन।

इसके अलावा, ग्राहक के लिए हमने निरंतरता योजनाओं और आपदा वसूली योजनाओं के गठन के लिए पद्धतिगत सामग्री और टेम्पलेट्स विकसित किए हैं।

रणनीति

रुको, रुको, मैं लगभग पूरा कर चुका हूँ।

बीआईए परिणामों के आधार पर, हमने एक आईटी निरंतरता रणनीति विकसित की। निरंतरता की रणनीति में दो प्रमुख बिंदुओं का वर्णन किया गया है।

1. कंपनी की गतिविधियों को प्रभावित करने वाले कौन से आईटी जोखिमों को ध्यान में रखा जाता है, और जो नहीं हैं (जो कि हम डरते हैं और निरंतरता के ढांचे में तय करेंगे, और जो हम डरते नहीं हैं, और इसके लिए हमारे पास घटना प्रबंधन है)।
2. संगठनात्मक, वास्तुशिल्प, अवसंरचनात्मक और अन्य समाधान क्या हम खतरों से बचाव करेंगे।

रणनीति से हम दो पक्षियों को एक पत्थर से मारते हैं। सबसे पहले, कंपनी में हर कोई समझता है कि हम कैसे और क्या खुद की रक्षा करेंगे। दूसरे, आईटी गैर-विशेषज्ञों (उदाहरण के लिए, फाइनेंसरों) के लिए, आईटी आपदा वसूली समाधानों के बजट की प्रक्रिया अधिक पारदर्शी दिखती है। और इससे कोई फर्क नहीं पड़ता कि यह कितना दयनीय लग सकता है, रणनीति सही प्रबंधकीय निर्णय लेने में मदद करती है (डीआर पर पैसा खर्च न करने का विकल्प हमेशा होता है, और अब हम जानते हैं कि दुर्घटना की स्थिति में यह कंपनी को कैसे प्रभावित करेगा)।

आगे क्या है? अन्य व्यावसायिक प्रक्रियाओं और आईटी प्रणालियों के लिए निरंतरता रणनीति और व्यापार प्रभाव विश्लेषण के आगे कार्यान्वयन। निरंतरता योजनाओं का विकास, इन योजनाओं का आवधिक परीक्षण, लेकिन यह पूरी तरह से अलग कहानी है।

इगोर Tyukachev, सलाहकार, जेट इन्फोसिस्टम्स डिजाइन सेंटर