Plan ciągłości działania w outsourcingu: jak utrzymać korespondencję podczas awarii

Proces korespondencji może zatrzymać się z wielu powodów: awarii systemu, przerwy w zasilaniu, braku dostępu do budynku, niedostępności pracowników, problemu transportowego, incydentu cyberbezpieczeństwa albo nagłego skoku wolumenu. Jeżeli firma zleca proces na zewnątrz, odpowiedzialność operacyjna częściowo przechodzi do dostawcy, ale ryzyko biznesowe nadal pozostaje po stronie organizacji.

Plan ciągłości działania nie jest ogólnym zapewnieniem, że dostawca ma procedury. Powinien wskazywać, które czynności trzeba utrzymać, w jakim czasie, przy użyciu jakich zasobów i kto podejmuje decyzję o przejściu na tryb awaryjny. Dotyczy to codziennej obsługi korespondencji, druku, kopertowania, wysyłek masowych, skanowania i obiegu dokumentów.

Dlaczego samo SLA nie zapewnia ciągłości

SLA mierzy uzgodniony poziom usługi w normalnych warunkach. Plan ciągłości odpowiada na inne pytanie: co stanie się wtedy, gdy normalny model przestanie działać. Termin realizacji 24 godziny nie pomoże, jeśli umowa nie określa alternatywnego miejsca pracy, dostępu do danych, zastępczego transportu i kolejności obsługi najważniejszych przesyłek.

Dyrektywa NIS2 wymienia ciągłość działania, zarządzanie kopiami zapasowymi, odtwarzanie po awarii i zarządzanie kryzysowe wśród środków zarządzania ryzykiem cyberbezpieczeństwa. Nie każda firma podlega bezpośrednio tym przepisom, ale zasada jest uniwersalna: odporność trzeba zaprojektować przed incydentem, a nie dopiero w jego trakcie.

Zacznij od analizy wpływu na działalność

Nie wszystkie elementy procesu muszą zostać odtworzone jednocześnie. Najpierw określ, które zatrzymanie powoduje największą szkodę. Dla każdej kategorii korespondencji odpowiedz na pytania:

• Jakie zobowiązanie prawne, umowne lub biznesowe może zostać naruszone?
• Po jakim czasie opóźnienie staje się niedopuszczalne?
• Czy dokument można przetworzyć później, czy wymaga reakcji tego samego dnia?
• Czy potrzebny jest oryginał, czy wystarczy bezpieczny skan?
• Kto może zatwierdzić odstępstwo od standardowej procedury?
• Jaka minimalna liczba osób, urządzeń i kanałów jest potrzebna?

Wynikiem nie powinna być jedna kategoria „krytyczne”. Lepiej utworzyć co najmniej trzy priorytety, na przykład sprawy terminowe i regulacyjne, bieżąca korespondencja operacyjna oraz materiały, które mogą poczekać. Dzięki temu tryb awaryjny nie zużywa ograniczonych zasobów na zadania o niskim wpływie.

Ustal RTO, RPO i minimalny poziom usługi

RTO określa, po jakim maksymalnym czasie proces ma zostać przywrócony. RPO wskazuje, jaką maksymalną ilość danych od ostatniego bezpiecznego punktu można utracić. W procesie dokumentowym RPO dotyczy na przykład rejestru odebranych przesyłek, skanów, statusów wysyłki i potwierdzeń nadania.

Oprócz RTO i RPO określ minimalny poziom działania. Przykład: w ciągu czterech godzin dostawca ma wznowić rejestrację korespondencji priorytetowej, w ciągu ośmiu godzin udostępnić skany, a przesyłki standardowe przetworzyć po przywróceniu pełnej przepustowości. Takie wymaganie jest bardziej użyteczne niż obietnica szybkiego powrotu do pracy.

Osiem elementów realnego planu awaryjnego

1. Jasne kryteria uruchomienia

Plan powinien wskazywać zdarzenia i progi, po których uruchamia się tryb awaryjny. Może to być brak dostępu do obiektu przez dwie godziny, awaria systemu przekraczająca ustalony czas, absencja określonej części zespołu albo wolumen wyższy od przepustowości.

2. Jednoznaczne role i kontakty

Potrzebni są właściciel decyzji po stronie klienta, koordynator dostawcy, zastępcy oraz aktualna lista kontaktów. Trzeba ustalić, kto ogłasza incydent, kto zatwierdza obejście i kto komunikuje się z pracownikami, operatorami oraz odbiorcami.

3. Alternatywne miejsce i wyposażenie

Sprawdź, czy pracę można przenieść do innej strefy, lokalizacji albo na urządzenie zastępcze. Sama deklaracja o drugim miejscu nie wystarczy. Musi ono mieć potrzebną moc produkcyjną, bezpieczny dostęp, aktualne konfiguracje, materiały i przeszkolony personel.

4. Dostęp do danych i kopii zapasowych

Kopie powinny obejmować nie tylko pliki, lecz także kolejki zadań, słowniki, reguły routingu, szablony, uprawnienia, rejestry i potwierdzenia. Trzeba określić częstotliwość kopii, miejsce przechowywania, szyfrowanie, odpowiedzialność i czas odtworzenia. Kopia, której nigdy nie odtworzono testowo, jest tylko założeniem.

5. Procedury ręczne

Gdy system jest niedostępny, ograniczona obsługa może działać na kontrolowanym rejestrze awaryjnym. Procedura powinna opisywać numerowanie, znacznik czasu, przechowanie dokumentów, późniejsze uzupełnienie systemu i kontrolę duplikatów. Nie wolno zastępować bezpiecznego obiegu chaotycznym przesyłaniem plików prywatnymi kanałami.

6. Alternatywny transport i operator

Plan powinien uwzględniać brak odbioru, zamknięcie punktu nadawczego, problem kurierski i niedostępność trasy. Ustal alternatywny punkt, godziny graniczne, sposób przekazania odpowiedzialności oraz dowód odbioru. Jeżeli zmiana operatora wymaga nowych etykiet lub plików, przygotuj je wcześniej.

7. Zapas materiałów i przepustowości

Papier, koperty, toner, pojemniki i części eksploatacyjne mogą zatrzymać proces tak samo jak awaria systemu. Określ minimalny zapas, czas uzupełnienia i źródło alternatywne. Dla wysyłek masowych ustal, jak szybko dostawca może zwiększyć zmianę, liczbę urządzeń lub zespół.

8. Komunikacja i dokumentowanie decyzji

Komunikat powinien podawać wpływ, uruchomione działania, przewidywany czas kolejnej aktualizacji i decyzje wymagane od klienta. Rejestr incydentu musi zachować chronologię, osoby decyzyjne, odstępstwa oraz moment powrotu do standardowego procesu.

Pięć scenariuszy, które warto przećwiczyć

1. Niedostępność systemu. Rejestracja, skanowanie i raportowanie muszą działać w ograniczonym trybie bez utraty śladu audytowego.
2. Brak dostępu do lokalizacji. Korespondencja trafia do alternatywnego miejsca albo jest bezpiecznie przechowywana do czasu wznowienia.
3. Nagły skok wolumenu. Ustalana jest kolejność zleceń, dodatkowa zmiana i komunikacja o przepustowości.
4. Incydent bezpieczeństwa. Proces zostaje odseparowany, dostęp ograniczony, a decyzja o wznowieniu uwzględnia integralność danych.
5. Niedostępność operatora lub transportu. Uruchamiany jest alternatywny punkt, przewoźnik albo kolejny termin z zachowaniem potwierdzeń.

Ćwiczenie nie powinno polegać wyłącznie na omówieniu dokumentu. Przetestuj odtworzenie rejestru, połączenie z osobami dyżurnymi, przygotowanie próbnej partii w lokalizacji zastępczej oraz rozliczenie dokumentów wprowadzonych ręcznie.

Jak ocenić plan dostawcy przed podpisaniem umowy

Poproś o opis rozwiązania odpowiadający konkretnemu zakresowi, a nie ogólny certyfikat. Sprawdź lokalizacje, zależności od podwykonawców, dostawców systemów, operatorów, energii i transportu. NCSC zaleca utrzymywanie kontroli i nadzoru nad całym łańcuchem dostaw, ponieważ podatność może pojawić się na każdym jego etapie.

Do umowy lub załącznika operacyjnego wpisz:

• zakres procesów krytycznych i priorytety;
• RTO, RPO oraz minimalną przepustowość;
• kanał zgłoszenia i częstotliwość aktualizacji;
• zasady pracy w lokalizacji zastępczej;
• wymagania dotyczące kopii, danych i dostępu;
• obowiązki podwykonawców;
• częstotliwość testów i sposób raportowania wyników;
• działania naprawcze po teście lub incydencie;
• zasady powrotu do normalnego procesu.

Plan ciągłości powinien uzupełniać ocenę dostawcy, SLA i plan wyjścia. Szczegółową listę kontrolną znajdziesz w poradniku jak wybrać dostawcę outsourcingu.

Testuj plan, zanim stanie się potrzebny

ENISA wskazuje analizę wpływu, plan ciągłości, okresowe testy, rozwiązania alternatywne i zarządzanie kopiami zapasowymi jako powiązane elementy odporności. Test powinien mieć właściciela, zakres, kryteria zaliczenia i raport z działań naprawczych.

Minimum to coroczny test pełny oraz krótsze testy po istotnej zmianie systemu, lokalizacji, operatora lub zakresu usługi. Po ćwiczeniu sprawdź rzeczywisty czas uruchomienia, kompletność danych, liczbę błędów, osiągniętą przepustowość i jakość komunikacji. Każde niepowodzenie powinno prowadzić do konkretnej poprawki z terminem i właścicielem.

Najczęstsze błędy

• Plan istnieje tylko jako deklaracja w ofercie. Nie opisuje danego procesu ani zasobów.
• Jedno RTO dla całej korespondencji. Pilne sprawy konkurują z materiałami, które mogą poczekać.
• Brak testu odtworzenia. Kopie są wykonywane, ale nie wiadomo, czy można z nich uruchomić proces.
• Zależność od jednej osoby. Tylko jeden pracownik zna hasła, procedury albo kontakty.
• Pomijanie podwykonawców. Plan dostawcy nie obejmuje operatora, transportu lub systemu zewnętrznego.
• Brak kontrolowanego powrotu. Po awarii powstają duplikaty, luki i niespójne statusy.

Od odporności na papierze do odporności operacyjnej

Dobry plan nie obiecuje, że awarii nie będzie. Ogranicza wpływ, przyspiesza decyzje i pozwala utrzymać najważniejsze zadania w kontrolowany sposób. Jest krótki tam, gdzie potrzebna jest szybka instrukcja, ale opiera się na wcześniej przygotowanych zasobach, odpowiedzialności i testach.

Jeżeli przygotowujesz outsourcing korespondencji, druku, kopertowania lub obiegu dokumentów, zacznij od mapy procesu i priorytetów. Pomocny będzie również nasz 30-dniowy plan przekazania procesu. Aby omówić zakres, wymagania ciągłości i bezpieczny model obsługi, skontaktuj się z BackOffice Outsourcing.

Źródła

• Dyrektywa (UE) 2022/2555, NIS2, art. 21
• ENISA, NIS2 Technical Implementation Guidance, 26 czerwca 2025 r.
• UK National Cyber Security Centre, Supply chain security guidance
• UK Government, Business Continuity Management Toolkit

Najczęstsze pytania

Czy plan ciągłości dostawcy zwalnia klienta z odpowiedzialności?

Nie. Dostawca odpowiada za uzgodnione działania operacyjne, ale klient nadal zarządza ryzykiem biznesowym, priorytetami, decyzjami i wymaganiami wobec procesu.

Czym różni się RTO od RPO?

RTO określa maksymalny czas przywrócenia procesu. RPO określa dopuszczalną utratę danych od ostatniego bezpiecznego punktu, na przykład rejestru przesyłek lub statusów wysyłki.

Jak często testować plan ciągłości?

Co najmniej raz w roku oraz po istotnej zmianie systemu, lokalizacji, operatora, podwykonawcy lub zakresu. Krótsze testy poszczególnych elementów warto wykonywać częściej.

Czy drugi oddział automatycznie zapewnia ciągłość?

Nie. Lokalizacja zastępcza musi mieć odpowiednią moc, sprzęt, dostęp do aktualnych danych, materiały, bezpieczne uprawnienia i przeszkolonych pracowników. Trzeba ją praktycznie przetestować.

← Wróć do wszystkich artykułów