W spokojnych czasach niemal każda organizacja uważa się za przygotowaną na kryzys. Plany istnieją, kopie się wykonują, ktoś kiedyś coś testował. Problem polega na tym, że poczucie przygotowania i przygotowanie wyglądają z zewnątrz identycznie. Różnicę widać dopiero wtedy, gdy dzieje się coś poważnego. Na szczęście można ją zobaczyć wcześniej.

Wystarczą cztery proste i jednocześnie brutalne pytania. Czy możemy stracić dostawcę i dalej działać? Czy ktoś z zespołu realnie przeprowadził scenariusz katastrofy? Czy możemy przywrócić system w innym środowisku? Czy mamy kontrolę nad danymi poza deklaracjami zapisanymi w umowach? Jeśli odpowiedź na którekolwiek brzmi nie albo nie wiem, organizacja ma problem.

Brutalność tych pytań nie polega na tonie, tylko na tym, że nie zostawiają miejsca na interpretację. Nie pytają o budżet na bezpieczeństwo, o liczbę wdrożonych narzędzi ani o to, czy temat ma swojego opiekuna. Pytają o efekt. A efekt w ciągłości działania mierzy się jednym: czy firma działa dalej.

Pierwsze pytanie dotyka zależności. Utrata dostawcy nie musi oznaczać jego bankructwa. Wystarczy zmiana warunków, konflikt, decyzja regulacyjna albo geopolityczna. Firma, która potrafi działać dalej, ma realną alternatywę. Firma, która nie potrafi, ma nadzieję, że do tego nie dojdzie. A nadzieja nie jest mechanizmem ciągłości działania.

Drugie pytanie oddziela dokumenty od umiejętności. Scenariusz katastrofy opisany w procedurze i scenariusz realnie przeprowadzony przez zespół to dwie różne rzeczy. Dopiero ćwiczenie pokazuje, czego w planie brakuje, ile co trwa naprawdę i kto w praktyce podejmuje decyzje. Słowo realnie jest w tym pytaniu najważniejsze.

Trzecie pytanie sprawdza, czy firma jest przywiązana do jednego środowiska. Możliwość przywrócenia systemu gdzie indziej oznacza, że żadna pojedyncza lokalizacja, platforma ani usługa nie decyduje o istnieniu biznesu. Bez tej zdolności każdy plan odtworzenia kończy się w tym samym miejscu, w którym zaczął się problem.

Czwarte pytanie bywa najbardziej niewygodne. Deklaracje zapisane w umowach z dostawcami opisują intencje i zobowiązania, ale nie zastępują wiedzy. Kontrola nad danymi oznacza, że firma sama wie, gdzie one są, kto ma do nich dostęp i co się z nimi dzieje. Jeżeli jedynym źródłem tej wiedzy jest umowa, kontrolę sprawuje ktoś inny.

Te cztery pytania mają wspólną cechę. Odpowiedzi nie da się wyprodukować na potrzeby spotkania. Każda odsłania zdolność, którą organizacja ma albo nie ma. I właśnie dlatego warto je zadać samemu sobie, zanim zada je rzeczywistość.

Jest jeszcze jedna wartość tego sprawdzianu. Każde nie i każde nie wiem wskazuje konkretny obszar pracy. Zależność od dostawcy można zmniejszać. Scenariusz katastrofy można przećwiczyć. Środowisko odtworzeniowe można przygotować. Wiedzę o danych można zbudować. Lista czterech braków zamienia się wtedy w plan na najbliższe kwartały, a poczucie przygotowania zaczyna ustępować przygotowaniu.

Cztery pytania, kilka minut szczerej rozmowy i dużo wiedzy o własnej firmie. Trudno o tańszy audyt gotowości. I trudno o lepszy moment na jego przeprowadzenie niż czas, w którym jeszcze nic się nie dzieje