خطة استمرارية الأعمال في الجهة الحكومية وفق ISO 22301

انقطاع نظام إلكتروني لساعات، أو إغلاق مبنى بسبب حادث، أو غياب نسبة كبيرة من الموظفين فجأة. أي من هذه الأحداث قد يوقف خدمة يعتمد عليها آلاف المتعاملين. والجهات الحكومية تحديدًا لا تملك رفاهية التوقف، لأن خدماتها ليس لها بديل في السوق. من هنا تأتي أهمية نظام إدارة استمرارية الأعمال.

ما هو ISO 22301؟

ISO 22301:2019 هو المعيار الدولي الذي يحدد متطلبات نظام إدارة استمرارية الأعمال. يساعد الجهة على الاستعداد للانقطاعات، والاستجابة لها، والتعافي منها، بطريقة منظمة وقابلة للتدقيق.

وفي الإمارات يوجد معيار وطني هو AE/SCNS/NCEMA 7000:2021، الصادر عن الهيئة الوطنية لإدارة الطوارئ والأزمات والكوارث. والمعياران متوافقان في الفكرة والهيكل، لذلك فالجهة التي تبني نظامها على ISO 22301 تكون قريبة جدًا من متطلبات المعيار الوطني.

من أين نبدأ؟

يبدأ النظام بقرار من الإدارة العليا يحدد النطاق: أي الخدمات والمواقع والإدارات يشملها النظام. ثم يأتي العمل التشغيلي في دورة من خمس مراحل:

المرحلة الأهم: تحليل أثر الأعمال

تحليل أثر الأعمال (BIA) يجيب عن سؤال واحد: ما الخدمات التي لا نستطيع التوقف عنها، وإلى متى؟ ولكل خدمة يحدد التحليل:

• الأثر: ماذا يحدث للمتعاملين والجهة والسمعة إذا توقفت الخدمة.
• أقصى مدة انقطاع يمكن تحملها: المدة التي يصبح بعدها الأثر غير مقبول.
• زمن الاستعادة المستهدف (RTO): متى يجب أن تعود الخدمة، ويكون أقل من أقصى مدة تحمّل.
• نقطة الاستعادة المستهدفة (RPO): أقصى قدر من البيانات يمكن فقده.
• الموارد الدنيا: الموظفون والأنظمة والمواقع اللازمة لتشغيل الخدمة بالحد الأدنى.

الخطأ الشائع هو أن تعتبر كل إدارة خدماتها “حرجة”. والحل أن تُناقش النتائج على مستوى الإدارة العليا، وتُرتب الخدمات وفق أثرها الفعلي على المتعاملين.

تقييم المخاطر

بعد معرفة الخدمات الحرجة، تُقيّم المخاطر التي قد توقفها: تعطل الأنظمة، والهجمات السيبرانية، وانقطاع الكهرباء، والظروف الجوية، وتعطل مورد رئيسي. وهنا يتقاطع النظام مع إدارة المخاطر المؤسسية وفق ISO 31000، ويُفضل أن يستخدم الاثنان منهجية تقييم واحدة.

الاستراتيجيات والخطط

لكل خدمة حرجة، تختار الجهة استراتيجية استمرارية مناسبة:

• الأفراد: فرق بديلة مدربة، وإمكانية العمل عن بعد.
• المواقع: موقع بديل أو اتفاق مع جهة أخرى.
• التقنية: نسخ احتياطية ومواقع تعافٍ للأنظمة بما يحقق زمن الاستعادة.
• الموردون: موردون بديلون أو بنود استمرارية في العقود.

ثم تُكتب الخطط بلغة تشغيلية واضحة: من يعلن تفعيل الخطة، ومن يتواصل مع المتعاملين، وما الخطوات بالترتيب، ومتى نعود للوضع الطبيعي. الخطة الجيدة قصيرة، ويستطيع موظف مرهق تطبيقها في الساعة الأولى من الأزمة.

التمارين: الاختبار الحقيقي

الخطة التي لم تُختبر افتراض وليست خطة. ويطلب المعيار برنامج تمارين يتدرج من البسيط إلى المعقد:

1. مراجعة مكتبية: قراءة الخطة مع المعنيين للتأكد من وضوحها.
2. تمرين طاولة: سيناريو افتراضي يناقشه الفريق خطوة بخطوة.
3. تمرين وظيفي: تفعيل جزء من الخطة فعليًا، مثل استعادة نظام من النسخة الاحتياطية.
4. تمرين شامل: محاكاة كاملة لانقطاع خدمة حرجة.

وبعد كل تمرين، تُوثق الدروس المستفادة وتُحدّث الخطة.

السياق الخليجي

اهتمام الجهات الحكومية الخليجية باستمرارية الأعمال يتزايد. ففي أبوظبي مثلًا أعلنت الجهات المختصة امتثال عشرات الجهات للمعيار الوطني لاستمرارية الأعمال. وهذا يعني أن الامتثال أصبح جزءًا من تقييم أداء الجهات، لا مشروعًا اختياريًا.

الخلاصة

استمرارية الأعمال تبدأ بسؤال بسيط: ما الذي لا نستطيع التوقف عنه؟ وتنتهي بتمرين يثبت أن الإجابة صحيحة. ابدأ بتحليل أثر الأعمال، واجعل الخطط قصيرة وعملية، واختبرها قبل أن تختبرك الأزمة.