ในโลกปัจจุบัน ธุรกิจต่างๆ ต้องเผชิญกับการหยุดชะงักต่างๆ มากมาย ไม่ว่าจะเป็นการโจมตีทางไซเบอร์ ความล้มเหลวของห่วงโซ่อุปทาน ภัยธรรมชาติ ไปจนถึงระบบขัดข้องโดยไม่คาดคิด ความแตกต่างระหว่างบริษัทที่ฟื้นตัวได้เร็วกับบริษัทที่ฟื้นตัวได้ช้าคือการบริหารจัดการความต่อเนื่องทางธุรกิจ หรือ BCMS
หัวใจสำคัญของ BCMS ที่มีประสิทธิภาพคือการวิเคราะห์ผลกระทบต่อธุรกิจ (Business Impact Analysis; BIA) ซึ่งเป็นกระบวนการที่หลาย ๆ องค์กรมักมองข้ามไป ในบทความนี้ เราจะพามาทำความรู้จักและเรียนรู้ขั้นตอนการวิเคราะห์ผลกระทบทางธุรกิจกัน
BUSINESS IMPACT ANALYSIS หรือ BIA คือ ?
Business Impact Analysis หรือ BIA คือ กระบวนการวิเคราะห์ (Analyzing) ผลกระทบจากเหตุหยุดชะงักที่สะสมเมื่อเวลาผ่านไป (Impact overtime of a disruption) กับองค์กร ตามนิยามของมาตรฐาน ISO 22301 การวิเคราะห์ผลกระทบทางธุรกิจเป็นส่วนประกอบหลักสำคัญของการบริหารจัดการความต่อเนื่องทางธุรกิจ (BCM)
ระบุกิจกรรมทางธุรกิจที่สำคัญ (Prioritized Activities) ที่ต้องการการกู้คืนอย่างรวดเร็ว
ประเมินผลกระทบที่อาจเกิดขึ้นจากเหตุหยุดชะงัก เช่น ความเสียหายทางการเงิน ชื่อเสียง
กำหนดลำดับความสำคัญในการกู้คืนที่ชัดเจน เช่น เป้าหมายระยะเวลาการกู้คืน (RTO) ระยะเวลาการหยุดชะงักสูงสุดที่ยอมรับได้ (MTPD) และอื่น ๆ
มั่นใจว่าได้จัดสรรทรัพยากรในจุดที่สำคัญที่สุดในช่วงวิกฤต
ผลลัพธ์ของการทำ BIA ที่กล่าวไปด้านบนคือข้อกำหนดด้านความต่อเนื่องทางธุรกิจ หรือ Business continuity requirements ซึ่งจะส่งผลต่อการเลือกกลยุทธ์ความต่อเนื่องทางธุรกิจ (Business continuity strategy) และการทำแผนความต่อเนื่องทางธุรกิจ (Business continuity plan, BCP) ต่อไปนั่นเอง
BIA vs RA ต่างกันอย่างไร ?
หลาย ๆ องค์กรที่ยังไม่คุ้นเคยกับหลักการบริหารความต่อเนื่องทางธุรกิจอาจสับสนระหว่างการประเมินผลกระทบทางธุรกิจ (Business impact analysis) กับการประเมินความเสี่ยง (Risk assessment) วันนี้เราจะมาสรุปความแตกต่างระหว่าง BIA และ RA มาเป็นตารางให้เข้าใจได้ง่าย ๆ ด้านล่าง
วัตถุประสงค์หลัก
BIA
RA
ผลลัพธ์ที่ต้องการ
BIA
RA
การวัดผลกระทบ
BIA
RA
จะเห็นได้ว่าการทำ BIA จะเน้นไปที่การวิเคราะห์เพื่อหาข้อกำหนดด้านความต่อเนื่อง เช่น กิจกรรมสำคัญ ผลกระทบด้านต่าง ๆ และทรัพยากรที่ต้องการ เพื่อให้องค์กรดำเนินธุรกิจต่อไปได้เมื่อเกิดเหตุหยุดชะงัก ในขณะที่การทำ RA จะเป็นการค้นหาความเสี่ยงต่าง ๆ ที่จะส่งผลกระทบต่อองค์กรและทำให้เกิดการหยุดชะงักมากกว่า จะเห็นได้ว่าการบริหารความต่อเนื่องทางธุรกิจจำเป็นต้องนำทั้ง 2 เทคนิคนี้มาใช้เพื่อให้การวิเคราะห์สมบูรณ์
วัตถุประสงค์ ของการทำ BIA
วัตถุประสงค์ของการทำ BIA มีดังนี้
- เพื่อประเมินผลกระทบจากเหตุหยุดชะงักกับองค์กร
- เพื่อระบุข้อกำหนดที่เกี่ยวข้องกับการดำเนินธุรกิจจาก ข้อบังคับ สัญญา กฎหมาย
- เพื่อระบุระยะเวลาการหยุดชะงักสูงสุดที่ยอมรับได้ (MTPD)
- เพื่อกำหนดเป้าหมายระยะเวลาการกู้คืน/ฟื้นฟู (RTO) กิจกรรมสำคัญขององค์กร (Prioritized Activities)
- เพื่อกำหนดทรัพยากรที่จำเป็นสำหรับกิจกรรมสำคัญเมื่อเกิดเหตุหยุดชะงัก
- เพื่อกำหนดระยะเวลาสูงสุดที่ยอมรับได้สำหรับการสูญเสียข้อมูล (RPO)
- เพื่อกำหนดวัตถุประสงค์ความต่อเนื่องทางธุรกิจขั้นต่ำ (MBCO) สำหรับสินค้าและบริการสำคัญขององค์กร
- เพื่อระบุระดับความพึ่งพิง (Dependency) ระหว่างองค์กร ซัพพลายเออร์ และผู้มีส่วนได้ส่วนเสีย
- เพื่อระบุระดับความพึ่งพา (Interdependency) ระหว่างกิจกรรมสำคัญต่าง ๆ
- เพื่อประเมินและทบทวน (Validate) ขอบเขตของ BCMS อีกครั้ง
ขั้นตอน การวิเคราะห์ผลกระทบทางธุรกิจ (BIA)
ขั้นตอนการทำ BIA นั้นไม่ได้ยากอย่างที่คิด ในบทความนี้ เราย่อยขั้นตอนการทำ BIA จากมาตรฐาน ISO ออกมาเป็นขั้นตอนย่อย ๆ 5 ขั้นตอนด้านล่าง
กำหนดขอบเขตและวัตถุประสงค์
ให้เริ่มต้นด้วยการตั้งคำถามว่าเหตุใดคุณจึงทำ BIA และต้องการที่จะพิจารณาครอบคลุมพื้นที่ใดบ้างในธุรกิจ เช่น ระบบไอที ความยืดหยุ่นของห่วงโซ่อุปทาน หรือความต่อเนื่องของระบบบริการลูกค้า กำหนดเป้าหมายหลักและขอบเขตก่อนเริ่มดำเนินการวิเคราะห์
Tips: หากองค์กรของคุณมีขนาดใหญ่ ให้เริ่มต้นด้วย BIA นำร่องในแผนกหนึ่งก่อนที่จะขยายไปยังทั้งบริษัท
รวบรวมข้อมูลที่สำคัญจากผู้มีส่วนได้ส่วนเสียที่สำคัญ
BIA ที่ประสบความสำเร็จนั้นต้องอาศัยข้อมูลที่ถูกต้องและละเอียด ซึ่งหมายถึงการทำงานอย่างใกล้ชิดกับหัวหน้าแผนก และเจ้าของกระบวนการ เพื่อรวบรวมข้อมูลเชิงลึกที่แท้จริง สิ่งที่ต้องทำมีดังนี้
- ดำเนินการสัมภาษณ์หัวหน้าแผนกเพื่อทำความเข้าใจกระบวนการและกิจกรรมที่สำคัญของแผนก
- รวบรวมข้อมูลผ่านแบบสอบถาม BIA ทำการตรวจสอบและวิเคราะห์เหตุหยุดชะงักในอดีต (ถ้ามีข้อมูล) เพื่อหาข้อมูลเกี่ยวกับกิจกรรมสำคัญและระยะเวลาฟื้นฟู
Tips: สื่อสารกันอย่างเปิดเผย พนักงานที่เกี่ยวข้องกับการดำเนินงานรู้ถึงความเสี่ยงดีที่สุด ดังนั้น ควรให้พนักงานมีส่วนร่วมในการทำ BIA ด้วย
กำหนดเป้าหมายในการกู้คืน (RTO, RPO, MTPD, MBCO)
ส่วนที่สำคัญที่สุดส่วนหนึ่งของ BIA คือการระบุข้อกำหนดด้านความต่อเนื่องทางธุรกิจ เพื่อจัดลำดับความเร่งด่วนของกิจกรรมที่จะต้องฟื้นฟูเมื่อเกิดเหตุหยุดชะงัก ซึ่งสามารถทำได้โดยการระบุวัตถุประสงค์ 4 ตัวด้านล่าง ได้แก่
- Recovery Time Objective (RTO) หรือ เป้าหมายระยะเวลาในการฟื้นฟู
- Recovery Point Objective (RPO) หรือ ระยะเวลาสูงสุดที่ยอมรับได้สำหรับการสูญเสียข้อมูล
- Maximum Tolerable Period of Disruption (MTPD) หรือ ระยะเวลาการหยุดชะงักสูงสุดที่ยอมรับได้
- Minimum Business Continuity Objective (MBCO) หรือ วัตถุประสงค์ความต่อเนื่องทางธุรกิจขั้นต่ำ
Tips: ทำงานอย่างใกล้ชิดกับหัวหน้าแผนกเพื่อกำหนดตัวเลขเหล่านี้อย่างสมจริง ซึ่งจะกำหนดกลยุทธ์ความต่อเนื่องทางธุรกิจและการฟื้นฟูหลังภัยพิบัติทั้งหมดของคุณ
วิเคราะห์และจัดลำดับความสำคัญของความเสี่ยง
ขั้นตอนต่อมาคือการประเมินความเสี่ยง (Risk assessment) เพื่อระบุความเสี่ยงที่อาจส่งผลกระทบให้เกิดเหตุหยุดชะงัก โดยมีรายละเอียดปลีกย่อยอีก 3 ขั้นตอน ได้แก่
- การประเมินโอกาสและผลกระทบของความเสี่ยงผ่านเมทริกซ์ความเสี่ยง (Risk Matrix)
- ระบุจุดล้มเหลวเพียงจุดเดียว (Single Point of Failure) ซึ่งเป็นคอขวดที่อาจทำให้ทั้งระบบหยุดชะงักเมื่อเกิดเหตุ
- ประเมินมาตรการบรรเทาผลกระทบในปัจจุบัน พิจารณาว่ามีแผนใดบ้างที่ดำเนินการอยู่แล้ว และเพียงพอหรือไม่
Tips: ขั้นตอนนี้ช่วยตรวจสอบความเหมาะสมสำหรับการลงทุนในมาตรการความต่อเนื่องทางธุรกิจ เช่น ระบบสำรองข้อมูล ซัพพลายเออร์สำรอง และเครื่องมือการกู้คืนอัตโนมัติ
พัฒนาและนำกลยุทธ์ความต่อเนื่องทางธุรกิจไปใช้
เมื่อมีข้อมูลทั้งหมดในมือแล้ว องค์กรก็จะสามารถนำผลลัพธ์และข้อกำหนดด้านความต่อเนื่องทางธุรกิจไประบุกลยุทธ์ความต่อเนื่อง (BC strategies) ลงในแผนความต่อเนื่องทางธุรกิจ (BCP)
Tips: ควรใช้ BIA เพื่อปรับปรุงแผนความต่อเนื่องทางธุรกิจของคุณและฝึกอบรมพนักงานเกี่ยวกับขั้นตอนการตอบสนอง
ประโยชน์ ของการทำ BIA
ประโยชน์หลักที่ได้จากการทำ BIA คือทำให้องค์กรเข้าใจกิจกรรมสำคัญของตัวเอง ว่ากิจกรรมใดที่ต้องได้รับการฟื้นฟูอย่างเร่งด่วนและใช้ทรัพยากรเท่าไหร่ในการฟื้นฟูจากเหตุหยุดชะงัก
พร้อมช่วยสนับสนุนการตัดสินใจในระยะยาว
โดยเฉพาะองค์กรที่มีแผนการเปลี่ยนแปลงใหญ่ๆในอนาคต เช่น ด้านพนักงาน การนำเทคโนโลยีมาใช้ หรือแม้กระทั่งการเปลี่ยนแปลงสินค้าและบริการหลัก
การประเมินกิจกรรมสำคัญและทรัพยากรที่ต้องใช้ และข้อกำหนดด้านความต่อเนื่องอย่างละเอียด จะช่วยให้เราเห็นภาพความเสี่ยงที่อาจทำให้ธุรกิจหยุดชะงัก สามารถนำข้อมูลเหล่านี้ไปประเมินความเสี่ยง (RA) อีกทีได้
วิเคราะห์ผลกระทบทางธุรกิจกับ InterRisk Asia
โดยสรุป การทำ BIA คือการวิเคราะห์ผลกระทบทางธุรกิจที่อาจเกิดขึ้นกับองค์กรเมื่อมีเหตุหยุดชะงัก โดยมีเป้าหมายเพื่อ ระบุกิจกรรมสำคัญ (Prioritized activities) ขององค์กร และข้อกำหนดด้านความต่อเนื่อง (BC requirements) เพื่อลดผลกระทบจากการหยุดชะงักให้ได้มากที่สุด
สำหรับองค์กรที่ต้องการจัดทำ BCMS การทำ BIA เปรียบเสมือนการติดกระดุมเม็ดแรกก่อนการระบุกลยุทธ์ด้านความต่อเนื่องและการจัดทำ BCP หากองค์กรของคุณยังไม่เคยทำ BIA หรือยังติดขัดกับการทำความเข้าใจ BCMS ติดต่อทีมที่ปรึกษาของ InterRisk วันนี้เพื่อเริ่มทำ BIA ได้เลย
InterRisk เป็นที่ปรึกษาด้านการบริหารความต่อเนื่องทางธุรกิจชั้นนำในประเทศไทย ภายใต้เครือ MS&AD จากประเทศญี่ปุ่น
ทีมที่ปรึกษามีประสบการณ์ด้าน BCMS โดยตรง
การออกแบบแผนที่ปรับตามบริบทของแต่ละธุรกิจ
โซลูชันที่ใช้ได้จริง ครบวงจร และพร้อมดำเนินการ
