szacowanie strat

Szacowanie strat to ocena finansowych i wizerunkowych konsekwencji incydentu.

Cztery kategorie kosztów jednego incydentu

Rzetelna wycena rozdziela to, co da się policzyć, od tego, co da się jedynie oszacować. Pierwsza kategoria to przestój: liczba godzin, w których stanowiska nie pracowały, pomnożona przez koszt roboczogodziny i uzupełniona o utracone przychody, gdy sprzedaż w tym czasie stała. Druga to koszty bezpośrednie odtworzenia — praca techniczna, odzyskiwanie danych z nośnika, zakup sprzętu na miejsce uszkodzonego. Trzecia to koszty następcze, jak ręczne odtwarzanie dokumentów z papierowych kopii albo powtórna inwentaryzacja. Czwarta, najtrudniejsza, to skutki wizerunkowe i utrata klientów, których nie da się wyliczyć, ale można opisać przez liczbę powiadomionych kontrahentów i zerwanych zamówień.

Wskaźniki, które porządkują wycenę

W planowaniu ciągłości działania używa się dwóch parametrów. Dopuszczalny czas niedostępności mówi, jak długo firma wytrzyma bez danego systemu, a dopuszczalna utrata danych określa, ile godzin pracy wolno stracić — i to ona bezpośrednio przekłada się na częstotliwość kopii zapasowych. Kopia wykonywana raz na dobę oznacza z definicji ryzyko utraty całego dnia wprowadzania dokumentów, a kosztu tego dnia nie zmniejszy żadne narzędzie odzyskiwania. Zestawienie obu wartości z ceną rozwiązania zapobiegawczego jest jedynym uczciwym sposobem uzasadnienia wydatku na zabezpieczenia.

Pozycje pomijane w rachunku

Najczęściej znika koszt pracy własnych ludzi zaangażowanych w usuwanie skutków, bo pensje i tak zostały wypłacone — mimo że przez tydzień nie wykonywali swoich zadań. Drugą pomijaną pozycją jest obowiązek informacyjny: naruszenie ochrony danych osobowych trzeba zgłosić organowi nadzorczemu w ciągu siedemdziesięciu dwóch godzin od stwierdzenia, a przy wysokim ryzyku powiadomić także osoby, których dane dotyczą; oba działania generują realną pracę i korespondencję. Trzecia luka to założenie, że kopia zapasowa istnieje i jest sprawna, podczas gdy nikt nie próbował z niej odtworzyć danych — koszt incydentu wylicza się wtedy na podstawie zabezpieczenia, które przy próbie odtworzenia okazuje się nieczytelne. Czwarta to pominięcie ryzyka powtórki, gdy przyczyny nie usunięto.

Rozliczenie po awarii i wnioski na przyszłość

Po zakończeniu prac przygotowujemy zestawienie tego, co faktycznie zostało utracone, co udało się odzyskać i z jakiego momentu pochodzą odtworzone dane — bez tego trudno prowadzić jakiekolwiek rozmowy z ubezpieczycielem czy kontrahentem. Przy okazji wskazujemy, które elementy zabezpieczeń zawiodły. Naprawy prowadzimy o każdej porze doby, żeby liczba godzin przestoju wchodząca do tego rachunku była możliwie najmniejsza.