Business Continuity Planning (BCP)
Kế hoạch duy trì hoạt động liên tục
Business continuity planning (BCP, kế hoạch duy trì hoạt động liên tục) là quá trình chuẩn bị trước để một tổ chức tiếp tục được các hoạt động thiết yếu khi gặp sự cố gián đoạn lớn như cháy, mất điện, sự cố hệ thống, tấn công mạng, dịch bệnh hay thiên tai. BCP xác định hoạt động nào quan trọng nhất, phải khôi phục trong bao lâu, bằng nguồn lực nào và ai chịu trách nhiệm. Kế hoạch chỉ có giá trị khi được diễn tập định kỳ.
Explanation
BCP bắt đầu bằng business impact analysis (BIA, phân tích tác động kinh doanh): liệt kê các quy trình, ước tính thiệt hại theo thời gian gián đoạn (doanh thu mất, phạt hợp đồng, mất khách hàng, vi phạm quy định), rồi xếp hạng mức độ quan trọng. Từ BIA, tổ chức đặt hai chỉ tiêu cho mỗi quy trình: recovery time objective (RTO, thời gian khôi phục mục tiêu), tức phải hoạt động lại trong bao lâu, và recovery point objective (RPO, điểm khôi phục mục tiêu), tức chấp nhận mất tối đa bao nhiêu dữ liệu tính ngược từ lúc sự cố.
Sau đó là chiến lược khôi phục: địa điểm làm việc dự phòng, trung tâm dữ liệu dự phòng (disaster recovery site), nhà cung cấp thay thế, phân quyền làm việc từ xa, dự trữ tiền mặt và hàng tồn kho tối thiểu, cây gọi điện khẩn cấp và kịch bản truyền thông với khách hàng. BCP rộng hơn disaster recovery plan (DRP, kế hoạch khôi phục sau thảm họa): DRP tập trung khôi phục hệ thống công nghệ thông tin, còn BCP bao trùm cả con người, cơ sở vật chất, nhà cung cấp và truyền thông.
Đại dịch COVID-19 năm 2020 và 2021 là bài kiểm tra BCP thực tế với nhiều doanh nghiệp Việt Nam: đơn vị đã có kế hoạch làm việc từ xa và nhà cung cấp dự phòng chuyển đổi nhanh hơn nhiều. Với ngân hàng và công ty chứng khoán, cơ quan quản lý yêu cầu có trung tâm dữ liệu dự phòng và kế hoạch duy trì hoạt động liên tục theo quy định hiện hành về an toàn hệ thống thông tin. Chuẩn quốc tế phổ biến cho hệ thống quản lý duy trì hoạt động liên tục là ISO 22301.
Key Points
- Bắt đầu từ BIA để biết quy trình nào quan trọng nhất.
- RTO: phải hoạt động lại trong bao lâu; RPO: chấp nhận mất bao nhiêu dữ liệu.
- BCP bao trùm con người, cơ sở vật chất, nhà cung cấp, truyền thông, rộng hơn DRP.
- Kế hoạch không diễn tập thì gần như không có giá trị khi sự cố thật xảy ra.
- Chi phí BCP nên so với thiệt hại dự kiến tránh được, không làm cho đủ thủ tục.
Examples
Worked Example
So sánh chi phí BCP với thiệt hại tránh được
Công ty CP Logistics Sao Nam (số liệu giả định) mất khoảng 200 triệu đồng doanh thu cho mỗi giờ hệ thống quản lý kho ngừng hoạt động. Xác suất xảy ra một sự cố lớn trong năm ước tính 20%. Không có BCP, thời gian khôi phục khoảng 48 giờ. Với BCP (trung tâm dữ liệu dự phòng và quy trình chuyển đổi), RTO là 4 giờ, chi phí 600 triệu đồng mỗi năm.
- Thiệt hại dự kiến không có BCP = 20% × 48 × 200 = 1.920 triệu đồng/năm.
- Thiệt hại dự kiến có BCP = 20% × 4 × 200 = 160 triệu đồng/năm.
- Thiệt hại tránh được = 1.920 - 160 = 1.760 triệu đồng/năm.
- Lợi ích ròng = 1.760 - 600 = 1.160 triệu đồng/năm.
Đầu tư BCP mang lại lợi ích ròng dự kiến khoảng 1.160 triệu đồng mỗi năm, chưa kể thiệt hại về uy tín và khách hàng. Ngoài con số trung bình, BCP còn giới hạn thiệt hại tối đa của một sự cố từ 9.600 triệu đồng (48 × 200) xuống 800 triệu đồng (4 × 200).
Real-World Scenario
Nhà máy mất nhà cung cấp linh kiện duy nhất
Anh Tùng, giám đốc vận hành một công ty lắp ráp thiết bị điện, nhận tin nhà cung cấp bo mạch duy nhất bị cháy xưởng. Tồn kho bo mạch chỉ đủ 5 ngày sản xuất, trong khi đơn hàng xuất khẩu phải giao sau 3 tuần.
Nhờ BCP đã lập từ năm trước, công ty có danh sách hai nhà cung cấp thay thế đã được kiểm định chất lượng và thoả thuận khung về giá. Anh Tùng kích hoạt kế hoạch trong ngày, đặt hàng gấp, chuyển ca sản xuất sang dòng sản phẩm khác trong lúc chờ, và thông báo chủ động cho khách hàng. Đơn hàng giao trễ 4 ngày thay vì có thể trễ hơn 2 tháng.
Common Mistakes
Common Mistake
Kế hoạch đẹp trên giấy nhưng chưa từng diễn tập
Một công ty ghi trong BCP rằng RTO của hệ thống bán hàng là 4 giờ. Khi máy chủ chính hỏng thật, đội công nghệ mới phát hiện bản sao lưu gần nhất đã 3 ngày tuổi và việc khôi phục mất 30 giờ, vì quy trình chưa từng chạy thử.
Thời gian khôi phục thực tế gấp 30 / 4 = 7,5 lần mục tiêu, và RPO thực tế là 3 ngày thay vì vài giờ. Cách đúng: diễn tập chuyển đổi sang hệ thống dự phòng ít nhất mỗi năm, kiểm tra khôi phục bản sao lưu định kỳ và cập nhật kế hoạch sau mỗi lần diễn tập.
- Lập BCP để đối phó kiểm tra rồi cất đi, không diễn tập và không cập nhật.
- Chỉ lo khôi phục công nghệ thông tin, quên con người, nhà cung cấp và truyền thông.
- Đặt RTO giống nhau cho mọi quy trình thay vì dựa vào BIA.
- Để danh bạ khẩn cấp và tài liệu kế hoạch chỉ nằm trên chính hệ thống có thể bị sự cố.
Exam Tip
FRM Part II (Operational Risk and Resilience) hỏi về operational resilience, BIA, RTO và RPO. ACCA SBL và CMA Part 1 nhắc BCP khi bàn về rủi ro công nghệ thông tin và kiểm soát nội bộ.