Zintegrowany system ciągłości działania i zarządzania kryzysowego: jak przejść od ryzyka do odporności i zachować kontrolę, gdy nic nie idzie zgodnie z planem

Przedsiębiorstwa przemysłowe i infrastrukturalne mierzą się z zagrożeniami wykraczającymi daleko poza standardowe awarie urządzeń: przerwane łańcuchy dostaw, cyberzagrożenia, incydenty w sąsiednich zakładach oraz lokalne uwarunkowania bezpieczeństwa wymagają odejścia od doraźnego „gaszenia pożarów” na rzecz systemowej odporności. Gdy sytuacja awaryjna rozwija się błyskawicznie, rozproszone procedury niezawodności nie chronią przed chaosem decyzyjnym. Praktykę budowy jednolitej architektury zarządzania ciągłością działania i reagowania kryzysowego w klastrze portowo-przemysłowym omawia kierownik ds. ciągłości działania w firmie OTEKO, Aleksandr Kuzin.

Ocena dojrzałości i analiza wpływu na biznes

Punktem wyjścia projektu pod koniec 2023 roku było opracowanie własnej, pięciostopniowej skali dojrzałości procesów ciągłości działania. Na starcie firma znajdowała się na poziomie rozproszonym: identyfikowano krytyczne urządzenia i zapasy, ale brakowało ogólnofirmowego standardu oraz proaktywnej alokacji zasobów. Celem stało się przejście na poziom mierzalny, z ustandaryzowanymi politykami i nadzorem ze strony kierownictwa.

Aby ocenić podatność przedsiębiorstwa na zagrożenia, przeprowadzono analizę wpływu na biznes (BIA): zinwentaryzowano procesy generujące zysk, obliczono koszt każdej minuty przestoju, kary umowne oraz ryzyka dla bezpieczeństwa. Na podstawie wywiadów z właścicielami procesów stworzono mapę krytyczności, dzieląc operacje według maksymalnego dopuszczalnego czasu przestoju — od najbardziej wrażliwych (mniej niż tydzień do wystąpienia kryzysu) po odporne (z buforem bezpieczeństwa do miesiąca). Pozwoliło to na uzasadnioną priorytetyzację zasobów.

Strategie odtwarzania i ćwiczenia praktyczne w warunkach rzeczywistych

Analiza 32 kluczowych procesów i zasobów krytycznych pozwoliła podzielić je na trzy strefy gotowości:

• Zabezpieczone strategią i zasobami (16 obszarów). Tam, gdzie moce projektowe lub redundantne metody sterowania pozwalały na płynne przełączenie na rezerwę, opracowano szczegółowe plany odtwarzania z podziałem ról, ścieżką eskalacji i procedurą powiadamiania jednostek.
• Zabezpieczone strategią bez wystarczających zasobów (7 obszarów). Znalazły się tu scenariusze, w których teoretyczne rozwiązanie zastępcze nie spełniało wymogów bezpieczeństwa. Przykładowo, w razie awarii głównej sterowni plan zakładał przełączenie na alternatywne źródło zasilania, jednak okazało się, że w takim trybie wyłączają się systemy bezpieczeństwa i zatrzymania awaryjnego przenośników. Tego typu strategie kierowano do dopracowania oraz uzasadnienia inwestycji w modernizację techniczną.
• Pozbawione strategii i rezerw (9 obszarów). Odcinki, na których szybkie wznowienie pracy jest niemożliwe, a przestój prowadzi do bezpośrednich strat, włączono w obszar zarządzania kryzysowego.

Skuteczność planów weryfikowana jest za pomocą trzech rodzajów ćwiczeń: gier decyzyjnych przy stoliku (gdy wymagane są długotrwałe przestoje lub modernizacja), ćwiczeń pełnego cyklu podczas planowanych remontów oraz priorytetowych ćwiczeń praktycznych w bieżącym cyklu operacyjnym. To właśnie testy na działającym zakładzie ujawniają ukryte bariery organizacyjne. Przykładowo, podczas testowania awarii sterowni okazało się, że operator, który powinien wykonać bezpośrednie przełączenie w rozdzielni, nie posiada wymaganych uprawnień elektroenergetycznych. Wyeliminowanie takich niezgodności przed wystąpieniem rzeczywistego incydentu sprawia, że plany stają się w pełni wykonalne w praktyce.

Architektura zarządzania kryzysowego i symulacje

Dla dziewięciu obszarów krytycznych oraz zagrożeń zewnętrznych zbudowano pionową strukturę zarządzania kryzysowego. Firma określiła własne kryteria kryzysu i skalę eskalacji, pozwalającą monitorować narastające zdarzenie, zanim przejdzie w fazę ostrą, a w celu synchronizacji działań między Moskwą a Tamaniem wyznaczyła menedżerów kryzysowych spośród kadry zarządzającej najwyższego szczebla.

Katalog zagrożeń — od bezpieczeństwa przemysłowego i środowiskowego po ryzyka regulacyjne i kadrowe — przełożono na 35 scenariuszy. W skład sztabu kryzysowego (o części stałej i zmiennej) włączono wyłącznie obecnych kierowników oraz specjalistów znających procesy „od podszewki” w terenie: służby utrzymania ruchu i eksploatacji, dział BHP, ochrony środowiska, ochrony przeciwpożarowej, bezpieczeństwa informacji i bezpieczeństwa korporacyjnego, a także działy handlowy, logistyki i HR.

Głównym narzędziem weryfikacji gotowości sztabu stały się dwudniowe symulacje trwające po 4 godziny. Podczas czterech ćwiczeń (atak na infrastrukturę, awaria z wyciekiem substancji niebezpiecznych w sąsiednim zakładzie, cyberatak oraz blackout w porcie) uczestnicy nie znali wcześniej założeń scenariusza, a kluczowych decydentów celowo wyłączano z procesu, aby sprawdzić gotowość zastępców i drożność przekazywania poleceń do wykonawców. Ujawniło to wąskie gardła: na przykład podczas ćwiczenia masowej ewakuacji odkryto, że plan wywozu ludzi autobusami nie uwzględniał jednoczesnej ewakuacji pracowników sąsiednich zakładów tą samą, jedyną drogą dojazdową. W wyniku symulacji opracowano trasy alternatywne, zakupiono ŚOI i sprzęt pożarniczy, wdrożono ponad 40 ze 100 działań korygujących, skracając czas ewakuacji na terenie zakładu do trzech minut, oraz zatwierdzono roczny budżet na działania antykryzysowe.

Czego dowiesz się z tego wystąpienia

• Jak opracować skalę dojrzałości systemu ciągłości działania i przeprowadzić inwentaryzację procesów krytycznych wraz z wyliczeniem kosztu minuty przestoju?
• Dlaczego technicznie wykonalna strategia sterowania rezerwowego może stać w sprzeczności z wymogami BHP i jak identyfikować takie ryzyka?
• Jak łączyć ćwiczenia gabinetowe, remontowe i praktyczne w cyklu operacyjnym bez uszczerbku dla bieżącej produkcji?
• Według jakich zasad budować sztab kryzysowy, szkolić zastępców i eliminować luki komunikacyjne między centralą a terminalami produkcyjnymi?
• Jak prowadzić symulacje kryzysowe z nieznanymi wcześniej założeniami oraz jakie ukryte problemy z ewakuacją i łącznością pomagają one rozwiązać?