Критическая бизнес-функция

Критическая бизнес-функция — это вид деятельности, процесс или совокупность операций внутри организации, прекращение или существенное нарушение которых приводит к невозможности достижения стратегических целей, невыполнению ключевых обязательств перед клиентами и партнёрами, а также к значительным финансовым потерям, репутационному ущербу или нарушению законодательства. Понятие широко используется в области управления непрерывностью бизнеса (Business Continuity Management, BCM), риск-менеджмента и информационной безопасности.

Определение и критерии

Критическая бизнес-функция (КБФ) отличается от обычных операций тем, что её сбой влечёт за собой не локальные неудобства, а системные последствия для всего предприятия. Для идентификации КБФ применяются следующие критерии:

• Финансовое воздействие: потеря выручки, штрафы, неустойки, дополнительные расходы на восстановление.
• Операционное воздействие: остановка производства, срыв поставок, потеря данных.
• Репутационное воздействие: утрата доверия клиентов, ухудшение имиджа на рынке.
• Регуляторное воздействие: нарушение лицензионных требований, законодательства (например, о персональных данных), что может привести к отзыву лицензии или судебным искам.
• Влияние на безопасность: угроза жизни и здоровью сотрудников, клиентов или населения.

Функция признаётся критической, если время её простоя (максимально допустимый период неработоспособности, MTPD) исчисляется часами или сутками, а потери превышают установленный организацией порог толерантности к риску.

Классификация критических бизнес-функций

КБФ могут различаться в зависимости от отрасли, размера компании и её бизнес-модели. Однако существует несколько типовых категорий.

По характеру деятельности

• Основные (производственные) функции: непосредственно создающие продукт или услугу, приносящие доход. Например, для банка — обработка платежей и выдача кредитов; для завода — работа конвейера; для интернет-магазина — приём заказов и обработка платежей.
• Обеспечивающие (инфраструктурные) функции: без которых невозможна работа основных. Сюда входят: энергоснабжение, ИТ-инфраструктура (серверы, сети), логистика, связь.
• Управленческие и контрольные функции: принятие решений, управление финансами, юридическое сопровождение, комплаенс-контроль. Сбой в них может парализовать всю организацию.
• Функции, связанные с безопасностью и жизнеобеспечением: аварийно-спасательные службы, системы пожаротушения, медицинская помощь на предприятии, охрана труда.

По временному горизонту

• Операционные КБФ: критичны для текущей деятельности (например, обработка заказов).
• Стратегические КБФ: критичны для долгосрочного развития (например, исследования и разработки, управление ключевыми партнёрствами).

Методы идентификации и анализа

Процесс определения КБФ является ключевым этапом построения системы непрерывности бизнеса. Он включает несколько последовательных шагов.

Анализ воздействия на бизнес (BIA)

Основной метод — анализ воздействия на бизнес (Business Impact Analysis, BIA). В ходе BIA собирается информация о всех бизнес-процессах и оцениваются последствия их нарушения. Для каждой функции определяются:

• Максимально допустимое время простоя (MTPD): период, в течение которого функция может не работать без критических последствий.
• Целевое время восстановления (RTO): время, за которое функция должна быть восстановлена после сбоя.
• Целевая точка восстановления (RPO): допустимый объём потери данных (например, за последние 15 минут, час или день).
• Зависимости: какие ресурсы (люди, оборудование, ПО, данные, поставщики) необходимы для выполнения функции.

На основе BIA составляется реестр бизнес-функций, ранжированный по степени критичности. Функции с наименьшим MTPD и наибольшим ущербом при простое признаются критическими.

Экспертная оценка и интервью

Проводятся интервью с руководителями подразделений, владельцами процессов и ключевыми специалистами. Их знания позволяют выявить скрытые зависимости и неочевидные критические точки, которые могут не отражаться в формальных документах.

Анализ исторических данных

Изучение инцидентов, имевших место в прошлом (как внутри компании, так и у конкурентов), помогает определить, какие сбои приводили к наиболее серьёзным последствиям.

Примеры критических бизнес-функций по отраслям

Значение для управления непрерывностью бизнеса

Идентификация КБФ является фундаментом для разработки планов обеспечения непрерывности бизнеса (Business Continuity Plan, BCP) и планов восстановления после чрезвычайных ситуаций (Disaster Recovery Plan, DRP). На основе списка КБФ организация:

• Определяет приоритеты в выделении ресурсов (финансовых, человеческих, технических) на защиту и резервирование.
• Разрабатывает сценарии реагирования на инциденты (например, переход на резервный центр обработки данных, использование ручных процедур).
• Проводит обучение сотрудников и регулярные учения (тренировки) по отработке действий при сбое.
• Согласовывает с поставщиками и подрядчиками требования к уровню обслуживания (SLA) для критически важных услуг.

Без чёткого определения КБФ усилия по обеспечению непрерывности бизнеса становятся хаотичными и неэффективными, так как ресурсы могут расходоваться на второстепенные процессы, в то время как ключевые останутся незащищёнными.

Критика и ограничения подхода

Концепция КБФ не лишена недостатков. К основным ограничениям относятся:

• Субъективность оценки: результаты BIA могут зависеть от мнения опрашиваемых руководителей, которые склонны завышать критичность своих функций.
• Статичность: список КБФ требует регулярного пересмотра (не реже раза в год или при существенных изменениях в бизнесе), иначе он устаревает.
• Сложность учёта взаимозависимостей: сбой в одной функции может каскадно повлиять на несколько других, что не всегда очевидно на этапе анализа.
• Фокус на внутренние процессы: подход может недооценивать внешние факторы (например, сбой у ключевого поставщика или изменения в законодательстве), которые также способны нарушить работу КБФ.

Несмотря на эти ограничения, методология остаётся стандартом де-факто в области управления непрерывностью бизнеса и рекомендуется к применению международными стандартами, такими как ISO 22301 (Системы менеджмента непрерывности бизнеса) и российским ГОСТ Р 53647.1-2009 (Менеджмент непрерывности бизнеса. Часть 1. Практическое руководство).

Источники

1. ISO 22301:2019 «Security and resilience — Business continuity management systems — Requirements».
2. ГОСТ Р 53647.1-2009 «Менеджмент непрерывности бизнеса. Часть 1. Практическое руководство».
3. Business Continuity Institute (BCI) «Good Practice Guidelines (GPG) 2023».
4. COBIT 2019 Framework for Governance and Management of Enterprise IT (ISACA).
5. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (в части, касающейся определения критических процессов).