Tiêu chuẩn quốc gia TCVN ISO 22301:2018 (hoàn toàn tương đương với ISO 22301:2012) về An ninh xã hội - Hệ thống quản lý kinh doanh liên tục - Các yêu cầu quy định các tiêu chuẩn kỹ thuật nhằm giúp các tổ chức thiết lập, vận hành, duy trì và cải tiến liên tục hệ thống quản lý để chủ động ứng phó, giảm thiểu khả năng xảy ra và nhanh chóng phục hồi sau các sự cố gây gián đoạn hoạt động.

Phạm vi và đối tượng áp dụng

Tiêu chuẩn này áp dụng cho mọi tổ chức, doanh nghiệp không phân biệt quy mô, loại hình hoặc tính chất hoạt động, mong muốn xây dựng một cơ chế vận hành liên tục, giảm thiểu thiệt hại và nhanh chóng khôi phục hoạt động bình thường khi đối mặt với các rủi ro, sự cố ngoài ý muốn.

Chương trình kinh doanh liên tục và các mục tiêu cốt lõi

• Chương trình kinh doanh liên tục: Là hệ thống tổng thể các hoạt động, quy trình được thiết lập nhằm đảm bảo tổ chức có khả năng phản ứng hiệu quả trước các gián đoạn, bảo vệ các tài sản cốt lõi và duy trì khả năng cung cấp sản phẩm, dịch vụ ở mức độ đã được xác định trước.
• Mục tiêu kinh doanh liên tục tối thiểu: Xác định rõ giới hạn hoạt động tối thiểu mà tổ chức bắt buộc phải duy trì trong suốt thời gian xảy ra sự cố nhằm tránh sự sụp đổ hệ thống hoặc vi phạm các cam kết pháp lý, thương mại quan trọng.
• Mục tiêu về điểm phục hồi (RPO): Xác định lượng dữ liệu hoặc thông tin tối đa có thể bị mất mát (tính theo thời gian) trong quá trình gián đoạn mà hệ thống của tổ chức vẫn có thể chấp nhận và khôi phục lại được.
• Mục tiêu về thời gian phục hồi (RTO): Xác định khoảng thời gian tối đa cho phép để khôi phục lại các hoạt động, dịch vụ hoặc sản phẩm sau khi xảy ra sự cố gián đoạn, nhằm đảm bảo không vượt quá ngưỡng chịu đựng của tổ chức.

Yêu cầu đối với mục tiêu kinh doanh liên tục

Các mục tiêu kinh doanh liên tục phải được thiết lập một cách cụ thể, có tính khả thi và phải đáp ứng các điều kiện sau:

• Phải nhất quán với chính sách kinh doanh liên tục chung của tổ chức.
• Phải có khả năng đo lường và giám sát được hiệu quả thực hiện.
• Phải tính đến các yêu cầu tối thiểu về hoạt động kinh doanh liên tục và khả năng chấp nhận rủi ro của tổ chức.
• Phải được truyền thông rõ ràng đến các bên liên quan và được cập nhật thường xuyên để phù hợp với những thay đổi trong bối cảnh hoạt động.

Chương trình đánh giá hệ thống quản lý kinh doanh liên tục

Để đảm bảo tính hiệu lực và sự cải tiến liên tục của hệ thống, tổ chức phải xây dựng và thực hiện một chương trình đánh giá định kỳ với các yêu cầu nghiêm ngặt:

• Cơ sở xây dựng chương trình: Chương trình đánh giá, bao gồm cả lịch trình cụ thể, phải được xây dựng dựa trên kết quả đánh giá rủi ro đối với các hoạt động của tổ chức và kết quả của các cuộc đánh giá đã thực hiện trước đó.
• Nội dung thủ tục đánh giá: Thủ tục đánh giá phải được quy định rõ ràng, bao trùm toàn bộ phạm vi đánh giá, tần suất thực hiện, phương pháp đánh giá được áp dụng.
• Năng lực và trách nhiệm: Xác định rõ yêu cầu về năng lực của người đánh giá nhằm đảm bảo tính khách quan, trung thực; phân định rõ trách nhiệm của các bên liên quan trong quá trình đánh giá.
• Báo cáo kết quả: Quy định cụ thể các yêu cầu đối với việc tiến hành đánh giá và lập báo cáo kết quả để trình lên ban lãnh đạo xem xét, làm cơ sở cho các quyết định cải tiến hệ thống.

Hiệu lực thi hành

Tiêu chuẩn quốc gia TCVN ISO 22301:2018 được áp dụng theo các quy định hiện hành của pháp luật Việt Nam về tiêu chuẩn và quy chuẩn kỹ thuật. Các tổ chức có thể tự nguyện áp dụng hoặc áp dụng theo yêu cầu của cơ quan quản lý nhà nước có thẩm quyền hoặc theo thỏa thuận thương mại với các đối tác.