Gangguan bisnis dapat terjadi kapan saja. Bencana alam, kebakaran, gangguan sistem IT, serangan siber, kegagalan pemasok, pemadaman listrik, hingga kondisi darurat lainnya dapat menghentikan operasional perusahaan dalam waktu singkat.
Dalam situasi tersebut, perusahaan tidak hanya membutuhkan rencana darurat, tetapi juga sistem manajemen keberlangsungan bisnis (Business Continuity Management System/BCMS) yang terstruktur.
Salah satu standar internasional yang dapat digunakan untuk membangun sistem tersebut adalah ISO 22301:2019 – Security and resilience – Business continuity management systems – Requirements.
ISO 22301:2019 memberikan kerangka bagi organisasi untuk mempersiapkan diri menghadapi gangguan, merespons kejadian yang mengganggu operasional, serta memulihkan aktivitas bisnis dalam waktu yang telah ditentukan.
Apa Itu ISO 22301:2019?
ISO 22301:2019 adalah standar internasional yang menetapkan persyaratan untuk Sistem Manajemen Keberlangsungan Bisnis atau Business Continuity Management System (BCMS).
Standar ini membantu organisasi membangun sistem yang memungkinkan mereka:
- mengidentifikasi potensi ancaman terhadap bisnis;
- menganalisis dampak gangguan;
- menentukan prioritas proses bisnis;
- menyiapkan strategi keberlangsungan;
- merespons kondisi darurat;
- memulihkan proses kritis; dan
- meningkatkan kemampuan organisasi dalam menghadapi gangguan.
ISO 22301 dapat diterapkan oleh berbagai jenis organisasi, baik perusahaan swasta, organisasi publik, lembaga pemerintahan, maupun organisasi dengan ukuran dan sektor yang berbeda.
Dengan kata lain, business continuity bukan hanya kebutuhan perusahaan besar. Perusahaan kecil dan menengah juga dapat menghadapi risiko yang dapat menghentikan operasional.
Mengapa Business Continuity Penting bagi Perusahaan?
Perusahaan modern semakin bergantung pada teknologi, manusia, pemasok, fasilitas, jaringan komunikasi, dan berbagai pihak eksternal.
Ketika salah satu komponen tersebut mengalami gangguan, dampaknya dapat menyebar ke proses bisnis lainnya.
Sebagai contoh, sebuah perusahaan mengalami gangguan server selama beberapa hari. Jika data, aplikasi, sistem komunikasi, dan proses kerja tidak memiliki strategi pemulihan yang memadai, perusahaan dapat mengalami:
- terhentinya pelayanan pelanggan;
- keterlambatan produksi;
- kehilangan transaksi;
- kehilangan data;
- gangguan komunikasi;
- keterlambatan pengiriman;
- kerugian finansial; dan
- menurunnya kepercayaan pelanggan.
Business continuity membantu organisasi mempersiapkan skenario tersebut sebelum benar-benar terjadi.
ISO 22301 Bukan Sekadar Disaster Recovery
Salah satu kesalahpahaman yang sering terjadi adalah menganggap business continuity sama dengan disaster recovery.
Keduanya memang berhubungan, tetapi tidak sepenuhnya sama.
Disaster Recovery (DR) umumnya berfokus pada pemulihan teknologi, sistem informasi, infrastruktur IT, dan data setelah terjadi gangguan.
Sementara itu, Business Continuity Management System (BCMS) memiliki cakupan yang lebih luas.
BCMS mempertimbangkan keberlangsungan berbagai aspek bisnis, termasuk:
- manusia;
- proses;
- fasilitas;
- teknologi;
- informasi;
- pemasok;
- komunikasi;
- pelanggan; dan
- pihak berkepentingan lainnya.
Karena itu, disaster recovery dapat menjadi salah satu bagian dari strategi business continuity.
Apa Saja yang Diatur dalam ISO 22301?
ISO 22301 menggunakan pendekatan sistem manajemen yang memungkinkan business continuity diintegrasikan ke dalam proses organisasi.
Beberapa area penting dalam penerapannya meliputi:
1. Konteks Organisasi
Organisasi perlu memahami kondisi internal dan eksternal yang dapat memengaruhi kemampuan perusahaan dalam menjaga keberlangsungan bisnis.
Perusahaan juga perlu memahami kebutuhan dan ekspektasi pihak berkepentingan serta menentukan ruang lingkup BCMS.
2. Kepemimpinan
Business continuity membutuhkan dukungan manajemen puncak.
Manajemen perlu memastikan bahwa keberlangsungan bisnis menjadi bagian dari arah dan strategi organisasi.
Tanpa komitmen manajemen, rencana business continuity berisiko hanya menjadi dokumen yang tidak benar-benar diterapkan.
3. Perencanaan
Organisasi perlu menentukan risiko dan peluang yang berkaitan dengan BCMS serta menetapkan sasaran keberlangsungan bisnis.
Perencanaan membantu perusahaan menentukan apa yang harus dilakukan untuk meningkatkan kemampuan menghadapi gangguan.
4. Analisis Dampak Bisnis
Salah satu elemen penting dalam business continuity adalah Business Impact Analysis (BIA).
BIA membantu organisasi mengetahui proses bisnis mana yang paling kritis dan apa dampaknya apabila proses tersebut berhenti.
Misalnya, perusahaan dapat menentukan:
- proses yang harus segera dipulihkan;
- sumber daya yang dibutuhkan;
- dampak finansial;
- dampak terhadap pelanggan;
- dampak terhadap reputasi; dan
- batas waktu pemulihan yang dapat diterima.
5. Penilaian Risiko
Organisasi perlu mengidentifikasi berbagai ancaman yang dapat menyebabkan gangguan terhadap aktivitas bisnis.
Risiko dapat berasal dari berbagai sumber, seperti:
- bencana alam;
- kebakaran;
- kegagalan listrik;
- gangguan jaringan;
- serangan siber;
- ransomware;
- kerusakan fasilitas;
- gangguan pemasok;
- kehilangan personel penting;
- gangguan transportasi; dan
- berbagai kondisi darurat lainnya.
6. Strategi Keberlangsungan Bisnis
Setelah memahami risiko dan dampaknya, organisasi perlu menentukan strategi untuk mempertahankan proses bisnis yang kritis.
Strategi dapat mencakup alternatif fasilitas, sumber daya manusia, teknologi, pemasok, komunikasi, maupun metode kerja.
7. Rencana dan Prosedur Respons
Organisasi perlu memiliki pengaturan yang jelas mengenai apa yang harus dilakukan ketika terjadi gangguan.
Rencana tersebut harus menjawab pertanyaan seperti:
Siapa yang bertanggung jawab?
Apa yang harus dilakukan?
Kapan tindakan dilakukan?
Bagaimana komunikasi dilakukan?
Bagaimana proses kritis dipulihkan?
Dengan pembagian tanggung jawab yang jelas, organisasi dapat mengurangi kebingungan ketika menghadapi kondisi darurat.
Mengenal RTO dan RPO
Dalam konteks keberlangsungan bisnis dan pemulihan sistem, perusahaan sering menggunakan istilah Recovery Time Objective (RTO) dan Recovery Point Objective (RPO).
Recovery Time Objective (RTO)
RTO berkaitan dengan target waktu yang ditetapkan organisasi untuk memulihkan aktivitas atau layanan setelah terjadi gangguan.
Contohnya, sebuah sistem pembayaran memiliki target pemulihan maksimal dua jam setelah mengalami gangguan.
Recovery Point Objective (RPO)
RPO berkaitan dengan titik pemulihan data yang ditargetkan setelah terjadi gangguan.
Misalnya, perusahaan memiliki RPO satu jam. Artinya, strategi pemulihan data dirancang agar kehilangan data akibat gangguan tidak melebihi periode yang ditetapkan tersebut.
Penentuan RTO dan RPO harus disesuaikan dengan kebutuhan bisnis dan hasil analisis organisasi.
Pengujian Business Continuity
Memiliki dokumen business continuity saja tidak cukup.
Organisasi perlu memastikan bahwa rencana yang dibuat benar-benar dapat dijalankan.
Karena itu, pengujian dan latihan menjadi bagian penting dalam memastikan kesiapan organisasi.
Contoh pengujian dapat berupa:
- simulasi keadaan darurat;
- simulasi pemulihan sistem;
- pengujian komunikasi darurat;
- tabletop exercise;
- pengujian backup dan restore;
- simulasi perpindahan lokasi kerja; dan
- simulasi gangguan operasional.
Hasil pengujian kemudian dapat digunakan untuk menemukan kelemahan dan melakukan perbaikan.
Manfaat ISO 22301:2019 bagi Perusahaan
Penerapan ISO 22301 memberikan berbagai manfaat bagi organisasi.
Meningkatkan Kesiapan Menghadapi Gangguan
Perusahaan memiliki pendekatan yang lebih terstruktur dalam menghadapi kondisi darurat dan gangguan bisnis.
Mengurangi Dampak Gangguan
Dengan mengetahui proses yang kritis dan strategi pemulihannya, perusahaan dapat mengurangi dampak operasional maupun finansial.
Meningkatkan Kepercayaan Pelanggan
Pelanggan dan mitra bisnis akan lebih percaya kepada organisasi yang memiliki kemampuan untuk mempertahankan layanan dalam kondisi terganggu.
Melindungi Reputasi Perusahaan
Respons yang lambat atau tidak terorganisasi dapat memperburuk dampak sebuah insiden. Sistem business continuity membantu perusahaan mempersiapkan respons secara lebih terstruktur.
Mendukung Pengambilan Keputusan
BCMS memberikan kerangka yang membantu manajemen memahami prioritas dan sumber daya yang diperlukan ketika terjadi gangguan.
Meningkatkan Ketahanan Organisasi
Pada akhirnya, business continuity membantu organisasi membangun resilience, yaitu kemampuan untuk tetap bertahan, merespons, dan memulihkan diri ketika menghadapi gangguan.
Siapa yang Membutuhkan ISO 22301?
ISO 22301 dapat diterapkan oleh berbagai jenis organisasi.
Standar ini sangat relevan bagi perusahaan yang memiliki proses bisnis kritis, ketergantungan tinggi terhadap teknologi, jaringan pemasok yang kompleks, atau tuntutan kontinuitas layanan dari pelanggan.
Beberapa contoh sektor yang dapat mempertimbangkan ISO 22301 antara lain:
- perbankan dan jasa keuangan;
- perusahaan teknologi;
- data center;
- rumah sakit;
- perusahaan manufaktur;
- perusahaan logistik;
- perusahaan telekomunikasi;
- perusahaan energi;
- perusahaan retail;
- perusahaan konstruksi;
- penyedia layanan publik; dan
- organisasi dengan layanan kritis lainnya.
ISO 22301 dan ISO 27001
ISO 22301 sering dikaitkan dengan ISO/IEC 27001 karena keduanya dapat saling melengkapi.
ISO/IEC 27001 berfokus pada sistem manajemen keamanan informasi, sedangkan ISO 22301 berfokus pada keberlangsungan bisnis.
Dalam praktiknya, keamanan informasi merupakan salah satu aspek penting dalam menjaga keberlangsungan operasional.
Contohnya, serangan ransomware dapat menyebabkan sistem informasi tidak dapat digunakan. ISO 27001 membantu organisasi membangun pengelolaan keamanan informasi, sedangkan ISO 22301 membantu memastikan organisasi memiliki strategi untuk tetap menjalankan proses bisnis dan memulihkan aktivitas ketika terjadi gangguan.
Keduanya dapat diterapkan secara terintegrasi sesuai kebutuhan organisasi.
Langkah Awal Menerapkan ISO 22301:2019
Perusahaan yang ingin menerapkan ISO 22301 dapat memulai dengan beberapa langkah sederhana:
- menentukan konteks dan ruang lingkup organisasi;
- mengidentifikasi proses bisnis kritis;
- melakukan Business Impact Analysis;
- mengidentifikasi dan menilai risiko;
- menentukan strategi business continuity;
- menetapkan peran dan tanggung jawab;
- menyusun rencana respons dan pemulihan;
- melakukan pelatihan dan simulasi;
- melakukan evaluasi dan audit internal; dan
- melakukan peningkatan berkelanjutan.
Pendekatan tersebut membantu perusahaan membangun BCMS secara sistematis, bukan hanya membuat dokumen rencana darurat.
Kesimpulan
ISO 22301:2019 merupakan standar internasional untuk membangun Sistem Manajemen Keberlangsungan Bisnis (BCMS) yang membantu organisasi menghadapi berbagai gangguan dan krisis.
Di tengah ketergantungan perusahaan terhadap teknologi, pemasok, fasilitas, tenaga kerja, dan jaringan bisnis, kemampuan untuk tetap beroperasi ketika terjadi gangguan menjadi semakin penting.
ISO 22301 membantu organisasi memahami risiko, menentukan proses kritis, menyusun strategi keberlangsungan, mempersiapkan respons, melakukan pemulihan, serta meningkatkan ketahanan bisnis secara berkelanjutan.
Bagi perusahaan yang ingin meningkatkan kesiapan menghadapi krisis dan menjaga keberlangsungan operasional, ISO 22301:2019 dapat menjadi salah satu standar yang perlu dipertimbangkan.
NSM – Nasional Sertifikasi Mutu siap membantu perusahaan memahami dan mempersiapkan penerapan sistem manajemen sesuai kebutuhan organisasi, termasuk ISO 22301:2019 Business Continuity Management System.