Kontinuitetshantering räddar verksamheten vid störningar och kriser

Cyberattacker, bränder, översvämningar, pandemier och elavbrott är bara några av de störningar och kriser som kan drabba företag och organisationer. Och frågan är snarare när än om man kommer att råka ut för det. Därför behöver alla företag och organisationer jobba med kontinuitetshantering för att lindra effekterna när en störning i verksamheten väl inträffar.

– Flera organisationer är medvetna om detta och har någon typ av kontinuitetshantering. Men i många fall kan det nog bli ganska ad hoc och risken är stor att man missar något. Genom att certifiera sig på området får man ett bra verktyg och en beredskap för när man råkar ut för en störning eller kris så att man minimerar dess påverkan på verksamheten. Allra viktigast är det förstås om man har någon form av samhällsviktig verksamhet, säger Mikael Hägglöf, revisor och tjänsteansvarig för informationssäkerhet och kontinuitetshantering på RISE.

Mindre störningsrisk och lindrigare konsekvenser 

Några exempel på aktiviteter som ingår i arbetet med certifieringen är att kartlägga och analysera kritiska delar av verksamheten, identifiera de resurser som krävs för att verksamheten ska fungera, besluta vilka avbrottstider som är godtagbara, genomföra åtgärder som minskar risken för störningar och lindrar konsekvensen av de som ändå inträffar. I det ingår också att ta fram planer, rutiner och checklistor för att hantera de störningar som uppstår.

– En konkret aktivitet kan till exempel vara att göra en kompetenskartläggning av personalen. Vem klarar av vilka uppgifter och hur ska resurserna fördelas om många inte kan komma till jobbet av någon anledning? En annan är att se till att det finns dokumentation så att andra personer kan lösa uppgifterna. Det är också jätteviktigt att öva på olika scenarion som kan inträffa, antingen som skrivbordsövningar eller live – på samma sätt som militären gör, säger Mikael Hägglöf.  

Aktualiserats av pandemin

I flera andra europeiska länder som Storbritannien är det betydligt vanligare att certifiera sig enligt ISO 22301 än vad det är i Sverige. Men i och med pandemin har frågan kommit på bordet också här, inte minst när det gäller företag som sysslar med samhällsviktig verksamhet. Det har bland annat lett till att MSB, Myndigheten för samhällsskydd och beredskap, tagit fram en lathund för de som ska certifiera sig enligt ISO 22301. Parallellt med det pågår en revision av NIS-direktivet, som är en EU-förordning som handlar om samhällsviktig verksamhet. I den kommer ännu större krav att ställas på att samhällsviktig infrastruktur som energisystem och matproduktion kan upprätthållas under kriser och störningar.

– Förhoppningen är att fler ska se nyttan med att certifiera sig. Förutom den uppenbara fördelen med att säkra det egna företagets överlevnad kan det också innebära en viktig konkurrensfördel, genom den ökade trygghet certifieringen innebär för kunderna. Det spelar ju ingen roll om alla är friska på ens eget företag om man inte kan få det man behöver från sina leverantörer, påpekar Mikael Hägglöf.

I Sverige är RISE det enda certifieringsorganet som är ackrediterade enligt Sveriges nationella ackrediteringsorgan Swedac.

– Oavsett om man planerar att certifiera sig eller inte är det viktigt att man tänker på sin kontinuitetshantering. Alla företag och organisationer som har funderingar kring detta får gärna kontakta oss så kan vi berätta mer om standarden och hur processen går till, säger Mikael Hägglöf.