כבר תקופה ארוכה, וביתר שאת מאז מתקפת ה-7 באוקטובר, אנחנו ב-EY דוחפים להטמעת תוכנית המשכיות עסקית (BCP) בחברות ישראליות מכל המגזרים והגדלים, בשל הערך הרב שאנו רואים בה. כעת אנחנו נמצאים בליבו של אירוע מסוג וסדר גודל חדש, גם במידה ויסתיים בקרוב – אך גם בתנאי אי וודאות ניתן לפעול לפי ה-Best Practices והידע הנצבר – לטובת שמירת ההמשכיות העסקית.
רקע: המשכיות עסקית היא מצב פעילות הכולל צעדים שעל הארגון לנקוט כהכנה או במשך מקרה קיצון. מדובר ברצף פעולות שנועד להבטיח את הרציפות העסקית, תוך צמצום הפגיעה בעובדי החברה ומתקניה. המשכיות עסקית מבטיחה צמצום הפגיעה בלקוחות, בהכנסות, ושמירה על מוניטין הארגון.
צעדים נחוצים
הנה צעדים שכדאי לנקוט בהתאם לעקרונות ההמשכיות העסקית:
המשאב האנושי: עובדים הם הנכס היקר ביותר של הארגון. מומלץ לבצע ניתוח חוסרים של כח אדם, להשלים ניוד עובדים לפי הצורך ואיוש עובדים חלופיים מול כאלו שגויסו או חלילה נפגעו. במשבר הנוכחי סביר להניח שחלק מכח האדם עובד מחו"ל או ב-Relocation. במקביל, חשוב לספק תמיכה נפשית ורגשית לעובדים בתקופה קשה כמו זו שאנו נמצאים בה. מחלקת משאבי האנוש היא זו האחראית להקמת צוות ניהול משבר, חוצה ארגון.
תקשורת והסברה: על הארגון לקיים תקשורת והסברה נאותים לכל בעלי העניין. הדבר כולל מתן עדכונים עיתיים לעובדים, תקשורת ותמיכה בלקוחות, תקשורת עם הספקים, ולפי הצורך יש לשקול גם תקשור מסרים למדיה. בנוסף, תקשורת רציפה מול הדירקטוריון יכולה לספק חזרה תמיכה להנהלה והכוונה אסטרטגית.
ניהול תשתיות הארגון: תשתיות הארגון הפיזיות והווירטואליות עלולות להיפגע באירוע משבר (מלחמה או אסון טבע). יש לוודא מקורות חלופיים לטובת רציפות תפעולית כמו גנרטורים (וסולר), קווי תקשורת חלופיים ואף מים. יתכן ויתעורר צורך לפיזור מלאים בין מחסנים, שימוש במלאי חירום, ואספקה מספקים חלופיים. במשבר הנוכחי יש ארגונים שיצטרכו לשקול מעבר לאתר חלופי, ניוד סניפים, ועבודה במתכונת מצומצמת.
תשלומים וכספים: גם בצד הפיננסי יש לטפל בעת אירוע משבר לאור ניהול שוטף ומתגלגל של תחזיות פיננסיות בהקשר לדו"ח רווח והפסד ותזרים המזומנים. יש לוודא את רצף התשלומים לספקים ותשלום משכורות. בעלי תפקידים במחלקת הכספים יצטרכו כנראה להתנהל מול ביטוח לאומי בהקשר להחזרי מילואים ופיצויים אחרים. יתכן וצריך להפעיל את פוליסת הביטוח הפרטית או לתבוע ממס רכוש פיצוי בגין נזקים.
עלולים להיות למשבר אף היבטים של תזרים מזומנים ומס, למשל: הקטנת מקדמות מס עקב תחזית ירידה במחזור או דחיית מועדי תשלום המע"מ. לעיתים בעת משבר יש אפשרות לבטל קנסות עקב פיגורים ועיקולים. יש לסקור אפשרות למענקים ממשלתיים כמו למשל כאלו שהוענקו לעסקים לאורך "חרבות ברזל" ממשרד הכלכלה.
חיזוק בקרות ארגוניות: אירועי משבר ושינוי הם קרקע פוריה לגורמים זדוניים בדגש על מעילות והונאות במרחב הסייבר או אפילו באופן פנימי. יש להיערך באמצעות עקרונות של הפרדת תפקידים, צמצום גישה היכן שלא נדרש וחיזוק הבקרות.
מערך ה-IT: תשתיות המחשוב הארגוניות מורכבות מאתרים פיזיים ותשתיות בענן, חומרה ותוכנה. על מחלקת ה-IT לוודא מיגון חדר השרתים והאבטחה שלו, אך גם וידוא מערך גיבוי הנתונים. מומלץ לפנות לספקי הענן לבחינת החוזה וה-SLA. יתכן צורך לספק לעובדים ציוד לעבודה מרחוק.
חווינו הפעם פגיעות ונזקים משמעותיים למבני מגורים, תעשייה ומשרדים, אשר שיבשו בפועל ובצורה משמעותית את הפעילות הארגונית. בנוסף, על אף מעבר משמעותי יחסית של ארגונים לתשתיות ענן, גילינו כי ארגונים רבים עדיין לא עברו בצורה מיטבית לתשתיות ענן ודורשים היערכות מיוחדת.
יתרה מזאת, גם האיומים הפיזיים וגם איומי הסייבר מחייבים חשיבה מיוחדת ושונה בשל סיכונים מוחשיים לנפילת תקשורת ואינטרנט ומצריכים חשיבה והיערכות לעבודת off-line, בשונה מאירועים קודמים שחווינו.
סייבר: אירועי משבר מאופיינים בעלייה במספר תקיפות הסייבר וביתר שאת באירוע הנוכחי. בסביבה הנוכחית, על אנשי המקצוע להיערך לחיבור מורשה מרחוק למשאבי הארגון (VPN), או לדסקטופ של העובד. על אנשי המקצוע להערך לעלייה במתקפות מסוג DDoS, פישינג, כופרה, דלף נתונים ועוד. זו הזדמנות טובה ל"הגביה" את החומות הוירטואליות של הארגון באמצעות צמצום הרשאות, סגמנטציה וחיזוק אמצעי אותנטיקציה (MFA).
ניהול מתמשך
הטיפול במשבר הוא מתמשך ואינו חד פעמי. טוב יעשה הארגון אם ימנה מנהל המשכיות עסקית שיהיה אחראי על ביצוע כל הפעולות שהוגדרו בארגון ויספק דיווחים שוטפים להנהלה. אנחנו ממליצים על ישיבות יומיות או חצי שבועיות לצורך התעדכנות ובקרה על עמידה ביעדי ההמשכיות העסקית. גם אנחנו כאן ב-EY נוכחים ונשמח לתמוך בכם כדי שכולנו נצא מהמשבר הזה מחוזקים.
לסיכום: כולנו מקווים שהמבצע הצבאי "שאגת הארי" יסתיים בקרוב עם מקסימום הצלחות וללא נפגעים נוספים, אך חשוב לומר: העידן הנוכחי מאופיין בריבוי אירועי קיצון בתכיפות גבוהה. ממשבר הקורונה, דרך המלחמה באוקראינה, מלחמת חרבות ברזל, וכעת העימות הנוכחי. העידן הזה כבר זכה למינוח מקצועי – VUCA -Volatility, Uncertainty, Complexity, and Ambiguity. בהתאם על כולנו להפיק לקחים ארגוניים מהמשבר הנוכחי, ולעשות התאמות בהקדם. התפיסה הארגונית צריכה לצאת מתוך הנחה כי לדוגמא אירועי הסייבר יימשכו ואף ביתר שאת גם בתום הלחימה וכי טוב יעשה הארגון אם יבנה לעצמו לאחר שוך הקרבות תהליך המשכיות עסקית מנוהל שיאפשר לו להגיע חסין ומוכן ככל האפשר למשבר הבא.
אנחנו לרשותכם בכל שאלה.
אריאל הורוביץ ,שותף ,מנהל מחלקת ניהול סיכונים <ariel.horowitz@il.ey.com>
צחי רפאלי, Managing Director <zahi.refaeli@il.ey.com >
אלומה טירם שפורן,סניור מנג'ר <aluma.tiram@il.ey.com>
עדירם קידרון ,שותף טכנולוגיה <Adiram.Kidron@il.ey.com>
