הגדרת בעלי תפקידים, סמכויות ואחריות במסגרת תוכנית BCP נועדה לוודא שבזמן אירוע משבש כל גורם בארגון יודע מה עליו לבצע, למי עליו לדווח ואילו החלטות הוא מוסמך לקבל. לצד בעלי התפקידים המרכזיים, חשוב להגדיר גם ממלאי מקום, ממשקי עבודה ושרשרת הסלמה ברורה, כדי לצמצם תלות באדם יחיד ולאפשר לארגון להמשיך להפעיל את התהליכים הקריטיים גם כאשר עובדים או מנהלים אינם זמינים.
תוכנית טובה אינה מסתפקת ברשימת שמות ותפקידים. היא מחברת בין סדרי העדיפויות העסקיים, סמכויות ההנהלה, יכולות הצוותים התפעוליים, זמינות העובדים, התאוששות מערכות המידע, הקשר עם ספקים והתקשורת עם גורמים פנימיים וחיצוניים.
מדוע הגדרת בעלי תפקידים היא חלק מרכזי בתוכנית BCP?
באירוע משבש, האחריות אינה נשארת בהכרח בידי אותם אנשים ובאותה מתכונת המוכרת מהשגרה. מנהל עשוי להיות לא זמין, צוות מסוים עלול לפעול במתכונת מצומצמת ומערכת טכנולוגית קריטית עשויה להיות מושבתת. במצב כזה, חוסר בהירות לגבי אחריות וסמכות עלול לעכב את קבלת ההחלטות ואת הפעלת החלופות שנקבעו מראש.
במסגרת בניית תוכנית המשכיות עסקית וחוסן ארגוני, אנחנו בוחנים לא רק אילו תהליכים חייבים להמשיך לפעול, אלא גם מי אחראי על הפעלתם, אילו משאבים עומדים לרשותו, מתי עליו לדווח להנהלה ומי מחליף אותו כאשר הוא אינו זמין.
הגדרה מסודרת צריכה לענות, בין היתר, על השאלות הבאות:
- מי מוסמך להכריז על מעבר משגרה למתכונת חירום?
- מי מרכז את תמונת המצב ומציג אותה להנהלה?
- מי אחראי על כל תהליך עסקי או תפעולי קריטי?
- מי מוסמך להפעיל ספק, אתר חלופי או פתרון התאוששות?
- מי מעדכן עובדים, לקוחות, שותפים וגורמים רגולטוריים?
- מי ממלא מקום של כל בעל תפקיד מרכזי?
- כיצד מועברת האחריות כאשר האירוע נמשך לאורך זמן?
מתחילים בתהליכים הקריטיים ולא בשמות העובדים
אחת הטעויות האפשריות היא להתחיל את התהליך מרשימת העובדים הקיימת ולחלק ביניהם משימות. הדרך הנכונה יותר היא להתחיל בזיהוי התהליכים שהארגון חייב להמשיך להפעיל או להשיב בתוך פרק זמן מוגדר.
לכל תהליך קריטי יש להגדיר:
- בעל תפקיד אחראי
- ממלא מקום אחד לפחות
- גורמים מקצועיים המסייעים בביצוע
- גורם המאשר החלטות החורגות מסמכותו של הצוות
- משאבים ומערכות הנדרשים להמשך הפעילות
- תלות במחלקות אחרות או בספקים
- ערוצי דיווח והסלמה
- תנאים להפעלה ולחזרה לשגרה
כך נוצר חיבור ישיר בין ניתוח הפעילות העסקית לבין המבנה הארגוני לשעת חירום. באתר שלנו ניתן לקרוא בהרחבה על תהליך כתיבת BCP ובניית תוכנית המשכיות עסקית, הכולל מיפוי תהליכים, זיהוי תלות, הגדרת אחריות ובניית נהלי פעולה.
מי צריכים להיות בעלי התפקידים המרכזיים בתוכנית?
אין מבנה אחד שמתאים לכל הארגונים. הרכב הצוותים תלוי בגודל הארגון, בתחום הפעילות, במבנה הניהולי, בפריסה הגיאוגרפית, בדרישות הרגולטוריות ובסוגי הסיכונים שאליהם הארגון חשוף.
עם זאת, בתוכנית BCP מופיעים בדרך כלל כמה מעגלי אחריות מרכזיים.
הנהלת הארגון וצוות ניהול המשבר
הנהלת הארגון אחראית לקביעת סדרי העדיפויות, לקבלת החלטות בעלות משמעות עסקית רחבה ולהקצאת משאבים בזמן האירוע. צוות ניהול המשבר מרכז את תמונת המצב, בוחן את השפעת האירוע ומחבר בין פעילות המחלקות השונות.
חשוב להגדיר מראש:
- מי עומד בראש צוות ניהול המשבר
- מי רשאי לכנס את הצוות
- מי מרכז את המידע המגיע מהשטח
- אילו החלטות דורשות אישור הנהלה
- מי מתעד החלטות ומשימות
- כיצד מתבצעת העברת אחריות בין מנהלים
מנהלי התהליכים העסקיים והיחידות התפעוליות
מנהלי התהליכים מכירים את הפעילות השוטפת, את צורכי הלקוחות ואת נקודות התלות בתוך הארגון. תפקידם בזמן אירוע הוא להעריך את הפגיעה, להפעיל חלופות ולשמור על רמת שירות שנקבעה מראש ככל שניתן.
האחריות שלהם יכולה לכלול:
- בדיקת זמינות העובדים והמשאבים
- תעדוף משימות ושירותים
- מעבר לתהליך עבודה חלופי
- דיווח על פערים לצוות ניהול המשבר
- תיאום עם מחלקות תומכות
- הכנת התהליך לחזרה מבוקרת לשגרה
משאבי אנוש
למשאבי אנוש תפקיד מרכזי בניהול המענה האנושי. בעת אירוע נדרש מידע עדכני על זמינות עובדים, צרכים מיוחדים, עובדים חיוניים וממלאי מקום.
תחומי האחריות יכולים לכלול:
- יצירת תמונת מצב לגבי העובדים
- הפצת הנחיות ארגוניות
- סיוע באיוש תפקידים קריטיים
- ניהול רשימות קשר מעודכנות
- תמיכה במנהלים ובעובדים לאורך האירוע
- תיאום עבודה מאתרים חלופיים או מרחוק
מערכות מידע, סייבר והתאוששות טכנולוגית
הצוותים הטכנולוגיים אינם פועלים בנפרד מהצד העסקי. סדר החזרת המערכות צריך להיגזר מסדרי העדיפויות של התהליכים הקריטיים, ולא רק משיקולים טכנולוגיים.
לכן, יש להגדיר את הממשקים בין מנהלי הפעילות העסקית, צוותי ה-IT, גורמי הסייבר, הנהלת הארגון והספקים הטכנולוגיים. כאשר האירוע משפיע על מערכות המידע, תוכנית התאוששות מאסון DRP צריכה לתמוך ביעדי ההמשכיות העסקית ולהגדיר כיצד משיבים את המערכות, היישומים והנתונים הנחוצים לפעילות.
תקשורת, משפט ורגולציה
בהתאם לאופי הארגון והאירוע, יש לקבוע מי אחראי על תקשורת עם העובדים, הלקוחות, הספקים, הרגולטורים, התקשורת וגורמים נוספים.
אין הכוונה לכך שכל בעל תפקיד מעביר מסרים באופן עצמאי. נדרש מנגנון אישור והפצה ברור, שמצמצם סתירות ומאפשר לארגון להעביר מידע מדויק בהתאם לתמונת המצב הקיימת.
מה ההבדל בין אחריות, סמכות ומשימה?
כדי למנוע עמימות, חשוב להבחין בין שלושה מושגים:
| רכיב | השאלה שעליה הוא עונה | דוגמה |
| אחריות | מי אחראי לכך שהפעולה תבוצע? | מנהל התפעול אחראי להפעלת חלופת העבודה |
| סמכות | אילו החלטות בעל התפקיד רשאי לקבל? | המנהל רשאי להעביר פעילות לאתר חלופי |
| משימה | איזו פעולה מעשית צריך לבצע? | עדכון העובדים על מיקום העבודה החלופי |
ייתכן שאדם מסוים יהיה אחראי על התהליך, אך משימות הביצוע יחולקו בין מספר עובדים. באותה מידה, בעל תפקיד יכול להיות אחראי לנושא מסוים אך להזדקק לאישור הנהלה לפני קבלת החלטה תקציבית או תפעולית מהותית.
ההבחנה הזו צריכה להופיע באופן ברור בתוכנית, כדי שכל משתתף יבין לא רק מה מצופה ממנו, אלא גם היכן מסתיימת סמכותו ומתי עליו להסלים את ההחלטה לדרג אחר.
כיצד מגדירים סמכויות לקבלת החלטות בזמן משבר?
בשגרה, החלטות רבות עוברות תהליכי בדיקה ואישור בין מספר דרגים. בזמן אירוע משבש, אותו מבנה עלול ליצור עיכובים, במיוחד כאשר המידע חלקי והתגובה נדרשת במהירות.
לכן, תוכנית BCP צריכה להגדיר מראש:
- אילו החלטות ניתן לקבל ברמת השטח
- אילו החלטות מועברות לצוות ניהול המשבר
- אילו החלטות מחייבות אישור של הנהלה בכירה
- מהו הסף להפעלת תקציב חירום
- מי מוסמך לפנות לספקים או להפעיל הסכמים קיימים
- מי רשאי להורות על הפסקת פעילות או מעבר לחלופה
- כיצד מתעדים את ההחלטות ואת השיקולים שהובילו אליהן
אין צורך להעניק לכל בעל תפקיד סמכויות בלתי מוגבלות. המטרה היא להגדיר גבולות ברורים שמאפשרים פעולה מהירה, תוך שמירה על בקרה, אחריות ומדיניות הארגון.
מדוע חשוב להגדיר ממלאי מקום?
תוכנית שתלויה באדם אחד אינה מספקת מענה מלא. אירוע משבש עשוי להתרחש כאשר בעל התפקיד נמצא בחופשה, אינו זמין, אינו יכול להגיע לאתר או מטפל במקביל במשימה אחרת.
לכל תפקיד קריטי מומלץ להגדיר:
- ממלא מקום
- דרך מסודרת להעברת האחריות
- הרשאות למערכות ולמידע הנדרש
- גישה למסמכים ולרשימות קשר
- היכרות עם הנהלים והחלופות
- גבולות סמכות זהים או מותאמים לתפקיד
- הכשרה ותרגול תקופתיים
חשוב לבדוק שממלא המקום אכן יכול לבצע את המשימה בפועל. ציון שמו במסמך אינו מספיק כאשר חסרות לו הרשאות, היכרות מקצועית, גישה למידע או סמכות לקבל החלטות.
כיצד מחברים בין המחלקות בזמן האירוע?
כל מחלקה מחזיקה רק בחלק מתמונת המצב. התפעול יודע אילו שירותים נפגעו, מערכות המידע מכירות את מצב התשתיות, משאבי אנוש מרכזים מידע על העובדים וההנהלה צריכה להעריך את ההשפעה העסקית הכוללת.
לכן, נדרש מנגנון דיווח משותף שמגדיר:
- איזה מידע כל יחידה נדרשת להעביר
- למי המידע מועבר
- באיזו תדירות מתקיימים עדכונים
- מי מאמת ומרכז את הנתונים
- כיצד מסומנות החלטות שטרם התקבלו
- מי עוקב אחר ביצוע המשימות
- כיצד מופצת תמונת מצב מאושרת
המטרה אינה להציף את צוות ניהול המשבר במידע, אלא לאפשר לו לקבל תמונת מצב רלוונטית לצורך קביעת סדרי עדיפויות וקבלת החלטות.
מתי צריך לעדכן את בעלי התפקידים בתוכנית?
בחינה שנתית של התוכנית היא נקודת בקרה חשובה, אך אין להמתין למועד קבוע כאשר מתרחש שינוי מהותי. יש לבדוק ולעדכן את הגדרות התפקידים גם בעקבות:
- שינוי במבנה הארגוני
- עזיבה או כניסה של מנהל
- מיזוג או פיצול מחלקות
- מעבר לאתר עבודה אחר
- שינוי בתהליך קריטי
- החלפת מערכת מידע מרכזית
- התקשרות עם ספק חדש
- שינוי בדרישות רגולטוריות
- אירוע אמת או תרגיל שחשפו פערים
- שינוי בסביבת האיומים של הארגון
בכל עדכון יש לבדוק לא רק את שמות העובדים, אלא גם את פרטי הקשר, ההרשאות, גבולות הסמכות, ממלאי המקום והממשקים עם יחידות אחרות.
כיצד בודקים שהגדרות התפקידים עובדות בפועל?
הדרך לבדוק את המבנה הארגוני לשעת חירום היא לתרגל אותו. בהתאם למטרות ולרמת הבשלות של הארגון, ניתן לבצע תרגיל שולחני, תרגיל הנהלה, בדיקה פונקציונלית או סימולציה רחבה יותר.
במסגרת תרגילי ניהול משברים וחירום ניתן לבחון, בין היתר:
- האם המשתתפים מכירים את תפקידם
- האם ברור מי מוסמך לקבל כל החלטה
- האם ממלאי המקום מסוגלים להיכנס לתפקיד
- האם המידע עובר בין המחלקות בזמן
- האם קיימים צווארי בקבוק באישור החלטות
- האם צוותי ה-IT, הסייבר והתפעול פועלים לפי סדרי עדיפויות משותפים
- האם הנהלים מתאימים לתנאים שמתפתחים במהלך האירוע
לאחר התרגיל חשוב לבצע תחקיר, לתעד את הפערים, לקבוע מי אחראי לתיקונם ולעדכן את התוכנית בהתאם.
הגדרת תפקידים כחלק ממערכת חוסן ארגונית
הגדרת בעלי תפקידים אינה עומדת בפני עצמה. היא מחברת בין תוכנית ההמשכיות העסקית, ניהול המשבר, הרציפות התפקודית, התאוששות מערכות המידע, המענה לאירועי סייבר והתקשורת הארגונית.
כאשר כל אחד מהתחומים מנוהל בנפרד, עלולים להיווצר סדרי עדיפויות סותרים, פערי מידע וחוסר בהירות לגבי האחריות. לעומת זאת, מבנה משולב מאפשר לארגון לנהל את האירוע על בסיס תמונת מצב משותפת, לתעדף את התהליכים הקריטיים ולתאם את ההתאוששות העסקית והטכנולוגית.
אצלנו ב-Elements, תהליך ההיערכות כולל בחינה של התהליכים, בעלי התפקידים, הסמכויות, ממלאי המקום והממשקים בין ההנהלה, הצוותים העסקיים, התפעול, משאבי האנוש, מערכות המידע והסייבר. המטרה היא לזהות פערים לפני אירוע אמת ולבנות תוכנית שניתן להפעיל, לבדוק ולעדכן לאורך זמן.
