— Руслан, подход вашей компании к обеспечению непрерывности бизнес-процессов (BCM) основан на британском стандарте BS 25999. Вы даже предлагает пройти по нему сертификацию. Насколько данный стандарт применим в условиях российской действительности?

— Российские отраслевые стандарты, как правило, развиваются в соответствии с международными. И в данном случае вопрос не в том, что их копируют. Просто стандарты продиктованы здравым смыслом, прагматичны и основываются на реальном опыте. Основные бизнес-процессы в крупных банках по всему миру примерно одинаковы. Насколько мне известно, на основе BS 25999 сейчас разрабатывается международный стандарт ISO. Взяв за основу лучший мировой опыт, банк может быть уверен в надежности своих систем.
В России рекомендации банкам по обеспечению непрерывности бизнеса даны в Указании ЦБ РФ от №2194-У. Могу сказать, что разработанная нами стратегия соответствует им с технологическо-организационной точки зрения, но в данном документе есть еще и бизнес-часть, которая лежит вне нашей зоны ответственности.

— На каких принципах основывается разрабатываемая вами стратегия BCM?

— Главный принцип заключается в том, что обеспечение непрерывности бизнеса — это процесс, а не однократно совершенное действие. Важно понимать, что это такой же бизнес-процесс, как и многие другие в банке. Для его поддержания нужны люди, технические средства и прозрачные механизмы контроля работоспособности тех и других. Причем механизмы актуальные, соответствующие текущему состоянию бизнеса. Все остальное — детали реализации, описывающие набор документов, обязанности сотрудников и прочее.
Если рассматривать план аварийного восстановления бизнеса (DRP), то, казалось бы, он представляет собой статичный документ, который можно пересматривать, скажем, раз в два года. Но нужно помнить, что в течение этих двух лет его нужно постоянно актуализировать в деталях, а также проводить тренинги персонала. Мы готовы оказывать в этом поддержку, но, увы, бизнес пока только начинает осознавать важность таких услуг. Но, несмотря на это наши специалисты реализовали ряд комплексных проектов по обеспечению непрерывности бизнеса. Например, для DeltaCredit был создан резервный дата-центр и разработаны нормативные и сопроводительные документы, в том числе DRP. Похожий проект реализован для Альфа-Банка.

— Можете ли вы выделить несколько сценариев разработки стратегии BCM, различных по уровню обеспечения непрерывности бизнеса?

— Да, в данном случае такие сценарии вполне уместны, ведь в любом банке есть бизнес-процессы разного уровня критичности. В первую группу можно включить те бизнес-процессы, остановка которых может привести к потере лицензии, а также существенным репутационным и финансовым потерям. Определение «существенности» при этом каждый банк выбирает для себя сам — здесь нельзя вывести какую-либо формулу. Наиболее критичные процессы выделяются директивно, на уровне правления банка. По опыту работы могу сказать, что максимальное время простоя для такого процесса — не более двух часов, а потеря данных совершенно недопустима.
Вторую по уровню критичности группу составляют бизнес-процессы, при остановке которых банк не несет существенных потерь. Примером может стать процесс выдачи кредита. В случае его прерывания даже на день банк ничего не потеряет, но и не заработает.
И третью группу составляют такие некритичные даже в масштабе нескольких дней процессы, как предоставление аналитической отчетности. Можно сказать, что если ваша стратегия BCM учитывает и их, то она близка к всеобъемлющей.