Hädaolukorra seaduse nõuded teenuseosutajale

31 okt Hädaolukorra seaduse nõuded teenuseosutajale

Elektrikatkestus, küberintsident, võtmetöötajate puudumine või tarneahela seiskumine ei vabasta elutähtsa teenuse osutajat vastutusest. Hädaolukorra seaduse nõuded teenuseosutajale lähtuvad põhimõttest, et teenus peab olema kokkulepitud ulatuses toimiv ka siis, kui tavapärane töökorraldus enam ei kehti. Selleks ei piisa üldisest kriisiplaanist ega kord aastas ajakohastatud dokumendikaustast. Vajalik on organisatsiooni tegelikel sõltuvustel põhinev riskianalüüs ning selge tegevuskava riskide ennetamiseks ja katkestuste ohjamiseks.

Elutähtsa teenuse toimepidevus on juhtkonna vastutus. Kuigi praktiline töö võib olla jaotatud turva-, IT-, kvaliteedi-, tehnika- või riskijuhtimise spetsialistide vahel, tuleb otsused varustuskindluse, asenduste, investeeringute ja taastamisvõime kohta teha ettevõtte juhtimistasandil. Hästi koostatud riskianalüüs annab selleks põhjendatud aluse.

Kellele hädaolukorra seaduse nõuded kohalduvad?

Hädaolukorra seaduse raamistik puudutab eelkõige elutähtsa teenuse osutajaid. Elutähtis teenus on teenus, millel on ülekaalukas mõju ühiskonna toimimisele ning mille katkemine võib ohustada inimeste elu ja tervist, riigi toimimist, majandust või avalikku korda. Teenuseosutajaks määramine ei sõltu üksnes ettevõtte suurusest. Määrav on teenuse roll, osutamise maht, teeninduspiirkond ning võimalik mõju katkestuse korral.

Konkreetsed kohustused sõltuvad teenusest, valdkondlikust regulatsioonist ja pädeva asutuse juhistest. Seetõttu ei ole mõistlik võtta üle teise ettevõtte plaani või kasutada üldist kontrollnimekirja ilma oma tegevust analüüsimata. Näiteks veevarustuse, side, transpordi, tervishoiu või energiaga seotud teenuste kriitilised sõltuvused on erinevad, kuigi riskide hindamise loogika on sarnane.

Teenuseosutaja peab olema võimeline näitama, millised ohud võivad teenust häirida, millised meetmed on kasutusel ning kuidas teenuse toimimine taastatakse. Dokumentatsioon peab peegeldama tegelikku olukorda, mitte ainult soovitud töökorraldust.

Hädaolukorra seaduse nõuded teenuseosutajale praktikas

Kohustuste keskmes on toimepidevuse tagamine. See tähendab, et teenuseosutaja kaardistab oma kriitilised protsessid, hindab neid mõjutavaid riske ning kavandab meetmed, millega hoida ära katkestus või vähendada selle mõju. Riskianalüüs ei ole ühekordne vormitäide. Seda tuleb üle vaadata siis, kui muutuvad teenuse maht, tehnoloogia, asukohad, tarnijad, töökorraldus või ohuolukord.

Praktiline analüüs algab teenuse piiride määratlemisest. Tuleb selgelt eristada, milline tegevus on elutähtsa teenuse osutamiseks vältimatu ja milline toetav. Seejärel kaardistatakse ressursid, ilma milleta teenus ei toimi: inimesed, ruumid, seadmed, infosüsteemid, sideühendused, energia, kütus, materjalid, lepingupartnerid ja andmed.

Oluline on hinnata mitte ainult üksikut riski, vaid ka selle ahelmõju. Elektrikatkestus võib seisata seadmed, kuid samal ajal mõjutada sidet, juurdepääsusüsteeme, andmete kättesaadavust ja töötajate turvalisust. Küberintsident võib kahjustada klienditeenindust, arveldust, tootmise juhtimist ning partneritega suhtlemist. Riskide hindamine peab seega siduma ohu, haavatavuse, võimaliku tagajärje ja olemasoleva kontrollimeetme.

Riskianalüüs peab jõudma tegevuskavani

Kõige levinum puudus on olukord, kus ohud on kirjeldatud, kuid otsuseid nende maandamiseks ei ole tehtud. Kui riskianalüüsis on märgitud, et varugeneraatori võimsus ei kata kriitilisi seadmeid, peab tegevuskava ütlema, mida tehakse, kes vastutab, millise tähtajaga ning kuidas tulemust kontrollitakse. Sama kehtib puuduvate asendustöötajate, ebapiisava andmeside, ühe tarnija sõltuvuse või aegunud taastamisprotseduuride puhul.

Tegevuskava riskide ennetamiseks peab olema realistlik. Kõiki riske ei ole võimalik kohe kõrvaldada ning mõned meetmed nõuavad olulist investeeringut. Sellisel juhul tuleb määrata ajutised lahendused, vastutaja, prioriteet ja otsustuspunkt. Juhtkonnale on see töövahend, mis aitab võrrelda riski võimalikku mõju meetme maksumuse ja teostatavusega.

Toimepidevuse plaan ei tohi jääda teoreetiliseks

Toimepidevuse korraldus peab vastama küsimusele, kuidas teenust häire ajal juhitakse. See hõlmab otsustusahelat, kriisijuhtimise rolle, kontaktandmeid, teavitamise korda, asenduste korraldust ning teenuse taastamise prioriteete. Plaan peab olema piisavalt konkreetne, et töötaja saaks seda kasutada ka surveolukorras, kuid piisavalt paindlik, et see sobiks eri tüüpi häirete korral.

Eriti tähtis on määrata minimaalne teenustase. Kõiki tavapäraseid funktsioone ei pruugi kriisi ajal olla võimalik säilitada. Teenuseosutaja peab teadma, millised tegevused tuleb hoida töös esimesena, millised kliendi- või kasutajarühmad vajavad prioriteeti ning millal tuleb rakendada piiranguid. Näiteks võib olla põhjendatud vähendada kõrvalteenuseid, suunata töö teise asukohta või kasutada käsitsi toimivat varuprotsessi.

Plaan peab arvestama ka väliste sõltuvustega. Kui varutoide eeldab kütusetarnet, tuleb hinnata kütusevaru, tarnija võimekust ja juurdepääsu objektile. Kui teenus sõltub pilvekeskkonnast, ei ole piisav väide, et teenusepakkujal on varundus. Organisatsioon peab teadma, millised andmed on kriitilised, kui kiiresti need taastatakse ning kuidas jätkub töö siis, kui tavapärane ühendus või autentimine ei toimi.

Inimesed, harjutused ja tõendatav valmisolek

Toimepidevust ei taga dokument üksi. Töötajad peavad teadma oma rolli, kontaktandmed peavad olema kontrollitud ning kriitiliste ülesannete jaoks tuleb ette näha asendajad. Võtmeisikute teadmiste koondumine ühe inimese kätte on sageli alahinnatud töökorralduslik risk. See võib avalduda alles siis, kui inimene on haiguslehel, sideühenduseta või samal ajal teise kriitilise ülesandega hõivatud.

Harjutamine näitab, kas kavandatud meetmed toimivad. Selleks ei pea alati korraldama mahukat õppust. Mõnikord piisab juhtumipõhisest lauaharjutusest, kus testitakse näiteks kaheksatunnist elektrikatkestust, lunavararünnakut või põhitarne viibimist. Harjutuse väärtus seisneb avastatud puuduste parandamises: kas telefoninumbrid toimivad, kas otsustusõigus on selge, kas varuseade käivitub ning kas teenuse kasutajaid saab õigel ajal teavitada.

Tõendatavus on järelevalve ja juhtimise seisukohalt sama oluline kui meetmete olemasolu. Säilitada tuleb riskianalüüsi lähteandmed, tegevuskava, vastutajate määramised, ülevaatamise otsused, harjutuste tulemused ja paranduste elluviimise tõendid. Nii on võimalik näidata, et toimepidevust juhitakse süsteemselt, mitte alles pärast häiret.

Millal riskianalüüsi uuendada?

Riskianalüüsi tuleb käsitleda elava juhtimisdokumendina. Selle ülevaatamine on vajalik pärast tõsist häiret, õppust või olulist muudatust. Muudatuseks võib olla uus infosüsteem, tootmise laiendamine, objekti vahetamine, teenuse mahu kasv, uue alltöövõtja kasutamine või organisatsiooni ümberkorraldus.

Samuti tuleb hinnata, kas varasemad eeldused peavad endiselt paika. Tarneahelad, küberohud ja energiajulgeolek võivad muutuda kiiresti. Varem madalaks hinnatud risk võib uute sõltuvuste tõttu muutuda kriitiliseks. Regulaarne ülevaatamine aitab vältida olukorda, kus hästi vormistatud analüüs ei kirjelda enam tegelikku teenust.

Kuidas alustada, kui kohustused on ebaselged?

Alustada tasub teenuse ja selle kriitiliste protsesside kaardistamisest, mitte dokumendimalli otsimisest. Juhtkond peaks koos protsessiomanikega läbi vaatama, millest teenuse osutamine tegelikult sõltub, milline on lubatav katkestus ning kus asuvad suurimad haavatavused. Seejärel saab hinnata olemasolevaid meetmeid ja otsustada, millised puudused vajavad esmajärjekorras lahendamist.

Sõltumatu nõustaja kaasamine on põhjendatud siis, kui organisatsioonil puudub kogemus elutähtsa teenuse riskide hindamisel või kui olemasolev dokumentatsioon ei ole enam tegevusega kooskõlas. Risk Management OÜ praktilised riskianalüüsid ühendavad kohapealse ohutegurite tuvastamise, riskide hindamise ning selge tegevuskava koostamise. 26-aastane kogemus aitab eristada formaalset nõuet sellest, mis mõjutab teenuse tegelikku toimepidevust.

Kõige parem aeg toimepidevuse parandamiseks on enne katkestust. Kui riskid, vastutajad ja tegevused on selgelt määratud, saab ka keerulises olukorras teha otsuseid kiiresti ning säilitada teenuse kasutajate jaoks vajaliku kindluse.