Strategia, BCM i Lehman Brothers
Czyżby zmiana postrzegania znaczenia zapewnienia ciągłości działania?
- Kontynuowanie działalności w wymiarze ekonomicznym i ciągłość działania (business continuity) to dwa ściśle powiązane ze sobą pojęcia. Traktowanie zagadnienia ciągłości działania i odporności jako zjawiska li tylko operacyjnego a nie strategicznego prędzej czy później kończy się otrzeźwieniem. COVID uzmysłowił to wielu. Po fakcie.
Wydawać by się mogło, że w dzisiejszych czasach trudno „odkryć Amerykę”. A jednak to się czasami udaje, nawet w przypadku zagadnień nadzwyczaj oczywistych. Problem tkwi w tym, że dotyka to spraw najważniejszych dla organizacji (dotyczących kontynuowania działalności) i często bywa zauważone post factum – kiedy cały świat zostanie dotknięty konsekwencjami jakiegoś zagrożenia.
Szacowna organizacja jaką jest Business Continuity Institute – BCI (thebci.org) opublikowała dopiero co wyniki badań ankietowych dotyczących postrzegania zagadnień dotyczących zapewnienia odporności i ciągłości działania firm i instytucji. Wyniki tych badań zostały zawarte w 72-stronicowym dokumencie zatytułowanym „The Future of Business Continuity & Resilience Report 2021”.
Na pytania ankietowe odpowiedziało 456 respondentów z 64 krajów. Przy czym przeważającą liczbę stanowiły osoby zawodowo na co dzień zajmujące się sprawami zarządzania ciągłością działania – ponad 50%. Drugą najliczniejszą grupę stanowiły osoby zajmujące się zarządzaniem ryzykiem – nieco ponad 12%. Tzw. „top management” jest odpowiedzialny za 5% odpowiedzi (opinii). Respondenci reprezentowali głównie sektor bankowo-finansowy (28%). Drugi w kolejności to sektor usług (16%) a trzeci – administracji publicznej (niecałe 12%).
Badanie przeprowadzano w okresie czerwiec – sierpień tego roku. Blisko połowa (48%) respondentów pochodzi z Europy a ponad 20% z Ameryki Północnej.
Nie będziemy omawiać tego dokumentu i tych statystyk: nasi Czytelnicy z łatwością dotrą do tej publikacji – można ją pobrać bezpłatnie po zarejestrowaniu się na stronie BCI. Generalnie rzecz warta jest uwagi – specjaliści mogą porównać swoje opinie z wynikami badań.
Jest natomiast jedna rzecz, która szczególnie zwróciła naszą uwagę – zasadniczy wniosek jaki autorzy publikacji wyciągnęli na podstawie wyników. I to jest właśnie ta „odkryta Ameryka”. Otóż główny wniosek płynący z badania ujęto następująco:
For the first time, we have seen the role of the BC manager become more ‘strategic’ than ‘operational’ Business Continuity Institute
Po raz pierwszy zauważyliśmy, że rola menedżera ds. ciągłości działania stała się bardziej „strategiczna” niż „operacyjna”.
Z rzeczonej publikacji dowiadujemy się, że przed pandemią, w analogicznym badaniu przeprowadzonym w ubiegłym roku, tylko niecałe 46% respondentów przypisywało zagadnieniom zapewnienia ciągłości działania charakter strategiczny. Pozostali traktowali te działania jako działania o charakterze czysto operacyjnym. Obecnie, w okresie – jak go nazwano – post-pandemicznym prawie 60% respondentów traktuje „ciągłość działania” jako element strategii.
Jeszcze ciekawsze jest to, że w roku 2020, kiedy nie wiedziano jeszcze jak wielkim czynnikiem sprawczym będzie pandemia, ledwie 32% zarządów aktywnie działało na rzecz zapewnienia „odporności”; obecnie zainteresowanych tematyką – na najwyższym szczeblu zarządzania – jest ponad 70%.
Popatrzmy, standard ISO 22301 z roku 2012 tak definiuje pojęcie „zarządzania ciągłością działania”:
Holistic management process that identifies potential threats to an organization and the impacts to business operations those threats, if realized, might cause, and which provides a framework for building organizational resilience with the capability of an effective response that safeguards the interests of its key stakeholders, reputation, brand and value-creating activities.
czyli
Całościowy proces zarządzania, który identyfikuje potencjalne zagrożenia dla organizacji oraz wpływ tych zagrożeń na działalność. Proces, który tworzy ramy do budowania odporności organizacji z możliwością skutecznego reagowania, zabezpieczając interesy jej kluczowych interesariuszy, reputację, markę i działania kreujące wartość.
Zabezpieczanie interesów kluczowych interesariuszy, ochrona reputacji, marki i działań kreujących wartość to – bez dwóch zdań – przedmiot stałej troski kierownictw najwyższego szczebla – a więc zagadnienia o proweniencji strategicznej.
Cele każdej organizacji mieszczą się w trzech kategoriach:
- Cele dotyczące przetrwania – kontynuowania działalności
- Cele dotyczące rozwoju
- Cele dotyczące – jak to określają eksperci – dostarczania wartości, czyli wywiązywania się ze zobowiązań: narzuconych (przepisami prawa lub umowami) i tych przyjętych dobrowolnie.
Jeżeli organizacja nie będzie kontynuować działalności nie będzie w stanie (w pełni) realizować celów kategorii 2 i 3.
Wydawać my się mogło, że jest to tak oczywiste, że nie ma co nawet o tym wspominać. Okazuje się jednak, że – jak wynika z opublikowanych wyników badania – dopiero COVID spowodował, że zarządy (rady dyrektorów) zaczęły się przyglądać problematyce zapewnienia ciągłości działania i odporności na różnego rodzaju zaburzenia działalności.
Ale czy to wystarczy?
Cofnijmy się do roku 2008. W wrześniu tegoż roku bank inwestycyjny o nazwie Lehman Brothers złożył wniosek o upadłość. W efekcie bank ów został przejęty przez inne podmioty działające na tynkach finansowych: Barclays i Nomurę. Sprawa jest oczywista: od tego momentu Lehman Brothers nie kontynuował już swojej działalności.
Dla naszych rozważań nie jest istotne, jakie przyczyny spowodowały tak smutny koniec banku. Ważniejsze jest – w naszej opinii – jak zachowywało się kierownictwo banku jeszcze na kilka miesięcy przed ogłoszeniem upadłości. I co komunikowało interesariuszom.
Cofnijmy się zatem do przełomu stycznia i lutego 2008 roku, a więc na 8 miesięcy przed upadłością. Wówczas bowiem Lehman Brothers opublikował Raport Roczny za rok 2007. W pierwszych słowach tego raportu, szef wszystkich szefów banku Lehman Brothers oznajmił co następuje:
Dear Shareholders and Clients,
In 2007, Lehman Brothers produced another year of record net revenues, net income, and earnings per share and successfully managed through the difficult market environment. Our global platform of diversified businesses also produced record performance across each of our business segments as well as in Europe and Asia
czyli:
Drodzy Akcjonariusze i Klienci,
W 2007 roku Lehman Brothers odnotował kolejny rok rekordowych przychodów netto, dochodu netto oraz zysku na akcję i skutecznie zarządzał w trudnym otoczeniu rynkowym. Nasza globalna platforma zdywersyfikowanych działalności również osiągnęła rekordowe wyniki w każdym z naszych segmentów biznesowych jak również w Europie i Azji.
OK, każda pliszka swój ogon chwali. Nie takie rzeczy zarządy różnych firm wpisywały do swoich sprawozdań. Przejdźmy zatem do rozdziału poświęconego zarządzaniu ryzykiem operacyjnym. Na stronie 69 Raportu Rocznego zapisano:
Posiadamy – w zakresie dotyczącym całej firmy – plan ciągłości działania (“BCP”). Celem BCP jest zapewnienie, że możemy kontynuować realizację krytycznych operacji z ograniczeniem przerw przetwarzania w przypadku zakłóceń działalności. Grupa ciągłości biznesowej zarządza naszym wewnętrznym procesem reagowania na zdarzenia oraz rozwija i utrzymuje plany zapewnienia ciągłości funkcji biznesowych i infrastruktury. Obejmuje to określenie, jak – kluczowe dla firmy działania – będą wykonywane, do czasu przywrócenia normalnego potencjału przetwarzania. Grupa ciągłości biznesowej jest również odpowiedzialna za wspieranie przywracania działalności oraz szkolenia w zakresie ciągłości biznesowej i przygotowania naszych pracowników.
Niby o ryzyku operacyjnym ale powyższy fragment jednoznacznie traktuje o sprawach strategicznych: kluczowych – dla banku – aktywnościach. I rzeczywiście, bank posiadał spisane stosowne procedury. Tak wyglądała strona tytułowa jednej z wielu wewnętrznych regulacji dotyczących zarządzania ciągłością działania. Dokument został opublikowany w 2006 roku.
Załącznikiem do powyższego dokumentu (Business Continuity Guide) był opis uruchomionego tzw. Programu Pomocy Pracownikom (Employee Assistance Program – EAP). Zapisano w tym załączniku, że EAP jest ….
…profesjonalną i poufną usługą dostępną dla pracowników (banku LB) oraz pracowników oddziałów. Członkowie rodzin, w tym partnerzy i ich rodziny również mogą korzystać z tych usług. EAP współpracuje z tobą, aby pomóc w rozwiązaniu niepokojących sytuacji osobistych zanim wpłyną na twoje zdrowie, rodzinę lub pracę oferując strategie i zasoby niezbędne do rozwiązania tych problemów. (…)
EAP zatrudnia doświadczonych doradców, z których wszyscy mają zaawansowane stopnie w pracy doradczej, spraw społecznych lub psychologii. Ci profesjonaliści mogą się spotkać z tobą na poufnej rozmowie aby pomóc ci zrozumieć i pokonać wszelkie trudności, które możesz mieć, a które zaburzają pracę lub twoje życie poza pracą. (…)
„Doradcy EAP pomogli pracownikom i członkom ich rodzin, między innymi w radzenia sobie ze stresem związanym z pracy, depresją, lękiem przez problemami finansowymi, problemami małżeńskimi i rodzinnymi, trudnościami w relacjach z klientami lub kolegami, problemami dzieci w szkole lub z przyjaciółmi oraz z alkoholem lub nadużywaniem substancji.”
Widać wyraźnie, że bank – przynajmniej w postaci dokumentu – doceniał wagę problemów związanych z zapewnieniem ciągłości funkcjonowania (działania), nie tylko w aspekcie technicznym (dotyczących głównie systemów przetwarzania danych) ale również ludzkim.
Sęk w tym, że i tak skończyło się to wszystko upadłością – zaprzestaniem działalności pod marką Lehman Brothers.
To dobrze, że zagadnienia dotyczące zarządzania ciągłością działania i odporności stają się przedmiotem troski zarządów firm, instytucji i organizacji. Ale dopiero życie weryfikuje, czy to zainteresowanie jest realne czy tylko pozorowane. I czy te działania są realne czy tylko na pokaz. Samo formalne przypisanie znaczenia strategicznego problematyce zarządzania ciągłością działania i odpornością niczego nie załatwia.
A co w Polsce?
Wydawać by się mogło, że sprawa jest oczywista. Ustawa o Rachunkowości wyraźnie wymaga od podmiotów jej podlegających uwzględniania – w swojej sprawozdawczości – zagadnień związanych z kontynuacją działalności (czyli ekonomicznym wymiarem ciągłości działania). Wymagania odnoszące się do tego rodzaju zobowiązań informacyjnych zapisane są w Ustawie o Rachunkowości: w artykule 5, w punkcie 2:
Przy stosowaniu przyjętych zasad (polityki) rachunkowości przyjmuje się założenie, że jednostka będzie kontynuowała w dającej się przewidzieć przyszłości działalność w niezmniejszonym istotnie zakresie, bez postawienia jej w stan likwidacji lub upadłości, chyba że jest to niezgodne ze stanem faktycznym lub prawnym. Ustalając zdolność jednostki do kontynuowania działalności, kierownik jednostki uwzględnia wszystkie informacje dostępne na dzień sporządzenia sprawozdania finansowego, dotyczące dającej się przewidzieć przyszłości, obejmującej okres nie krótszy niż jeden rok od dnia bilansowego
Proszę popatrzeć na krótki przykład, jeszcze z roku 2010:
W treści raportu uzupełniającego opinię biegłego rewidenta z badania sprawozdania finansowego pewnej spółki prawa handlowego znajduje się taki oto zapis:
Podczas naszego badania nic nie zwróciło naszej uwagi, co spowodowałoby nasze przekonanie, że Spółka nie jest w stanie kontynuować działalności przez co najmniej 12 miesięcy licząc od dnia 31 grudnia 2010 roku na skutek zamierzonego lub przymusowego zaniechania bądź istotnego ograniczenia przez nią dotychczasowej działalności.
W nocie II.1 informacji dodatkowej do zbadanego sprawozdania finansowego Spółki za rok zakończony dnia 31 grudnia 2010 roku Zarząd wskazał, że sprawozdanie finansowe zostało sporządzone przy założeniu kontynuowania działalności przez Spółkę przez okres nie krótszy niż 12 miesięcy od dnia 31 grudnia 2010 roku i że nie występują okoliczności wskazujące na zagrożenie kontynuowania działalności przez Spółkę.
Mamy tu pewien rozdźwięk: z jednej strony pojęcie „kontynuowania działalności” ujęte w przepisach prawa (UoR) a z drugiej strony pojęcie „ciągłości działania” opisane w standardach ISO serii 2230x a wcześniej w standardach brytyjskich BS 25999-1 i BS 25999-2 z lat 2006 i 2007 a mających proweniencję zasadniczo informatyczną.
Dobrze byłoby, gdyby te dwa pojęcia (jedno w wymiarze ekonomicznym a drugie głównie rozpatrywane jako techniczne) nie dzieliły przyszłości organizacji na dwie części: ekonomiczną i techniczno-organizacyjną. Oba te pojęcia ściśle się wiążą ze sobą i powinny być rozpatrywane jako jedna całość. Tak jak organizacja jest jedną całością.
Ale to jest temat na inną opowieść…
