ISO 27001 & BS 25999

Razni izvori najavljuju da će međunarodna norma ISO 22301 do kraja 2011. zamijeniti vodeću normu za kontinuitet poslovanja BS 25999-2. (Update: prema novim informacijama ISO 22301 bi trebao biti objavljen u lipnju ili srpnju 2012. godine) Takve su promjene normalne – ista stvar događa se i s većinom upravljačkih normi, primjerice s ISO 27001, koja je 2005. zamijenila normu BS 7799-2. Koje su to dakle glavne promjene koje norma ISO 22301 donosi u odnosu na BS 25999-2?

Važno je napomenuti da norma ISO 22301 još nije objavljena i da konačna verzija te norme još ne postoji pa se možda neke stvari koje ovdje spominjem neće nalaziti u završnoj verziji. Koristim nacrt norme koji je objavljen u veljači 2011. na internetskoj stranici BSI Draft Review.

ISO 22301 će imati sljedeći naslov: ISO 22301, Društvena sigurnost – sustavi upravljanja kontinuitetom poslovanja – Zahtjevi. Iako “društvena sigurnost” možda zvuči pomalo neobično u usporedbi s kontinuitetom poslovanja, evo na koji je način definira ISO: “… standardizacija u području društvene sigurnosti kojoj je cilj poboljšati mogućnosti kriznog menadžmenta i kontinuiteta poslovanja, tj. kroz poboljšanu tehničku, ljudsku, organizacijsku i funkcionalnu interoperabilnost te zajedničku osviještenost o situaciji među svim zainteresiranim stranama.”

Na prvi pogled očito je da se struktura norme ISO 22301 jako razlikuje od norme BS 25999-2, iako su svi osnovni elementi norme BS 25999-2 i dalje sadržani u ISO 22301.

Pogledajmo malo detaljnije.

Sličnosti …

Najveća je sličnost da će svi ključni elementi kontinuiteta poslovanja iz norme BS 25999-2 također postojati i u ISO 22301: politika kontinuiteta poslovanja, analiza utjecaja na poslovanje, procjena rizika, strategija kontinuiteta poslovanja (u ISO 22301 će se zvati “opcije kontinuiteta poslovanja”), planovi kontinuiteta poslovanja, vježbanje i testiranje, itd.

Analiza utjecaja na poslovanje će vjerojatno biti podijeljena na nekoliko točaka koje će zahtijevati veću preciznost. Zahtjevi za planove kontinuiteta poslovanja, uključujući procedure odziva i planove oporavka, bit će također detaljniji – npr. dio o komunikaciji.

Dio norme BS 25999-2 o upravljanju također će se nalaziti i u novoj normi – upravljanje dokumentacijom, interni audit, pregled od strane menadžmenta, korektivne i preventivne mjere, upravljanje ljudskim resursima, itd. (usput rečeno, ovi elementi postoje i u svim drugim upravljačkim normama – ISO 9001, ISO 14001, ISO 27001…).

Međutim, dokumentacija će se zvati “dokumentirane informacije”, a preventivne mjere “mjere za rješavanje spornih pitanja i problema”.

… i razlike

Model planiranje – implementacija – pregledavanje – poboljšavanje (PDCA ciklus upravljanja) je u normi BS 25999-2 jasnije formuliran nego u ISO 22301, iako norma BS 25999-2 u tom pogledu nije toliko jasna kao ISO 27001. Mislim da to neće utjecati na jasnoću procesa prema kojem se norma implementira budući da su glavna poglavlja norme dosta logično organizirana.

Očito je da će ISO 22301 veći naglasak staviti na postavljanje ciljeva, praćenje performansi i mjerenje, čime će se kontinuitet poslovanja približiti načinu razmišljanja višeg menadžmenta.

Na toj crti razmišljanja ISO 22301 pred menadžment postavlja jasnije zahtjeve i sažima ih u jednom poglavlju.

ISO 22301 će riješiti jedan od nedostataka norme BS 25999-2 i zahtijevat će mnogo pažljivije planiranje i pripremanje resursa za osiguranje kontinuiteta poslovanja – ti zahtjevi sada su prošireni i jasnije strukturirani.

Na kraju, budući da je ISO 22301 međunarodna norma, razlikovat će se i po tome što će certifikacijska tijela inzistirati na certifikaciji prema ovom standardu pa će vrlo brzo zadobiti na popularnosti.

Zaključno se može reći da će svi osnovni elementi norme BS 25999-2 također biti sadržani u normi ISO 22301, samo što će norma ISO 22301 biti preciznija i zahtjevnija. Organizacije koje već provode BS 25999-2 i žele prijeći na ISO 22301 morat će više pažnje posvetiti detaljima i morat će više vremena uložiti u pripremanje i održavanje sustava. S druge strane, norma ISO 22301 će im sigurno pomoći u podizanju razine otpornosti i kredibiliteta – isto se dogodilo i prije 6 godina kad je norma ISO 27001 zamijenila normu BS 7799-2.

This post is also available in: Engleski, German, Japanese, Španjolski, Portugalski