Mất điện kéo dài, cháy nổ, thiên tai, tấn công mạng, hệ thống ERP ngừng hoạt động, máy móc quan trọng hỏng đột xuất, thiếu nhân sự, nhà cung cấp không thể giao nguyên liệu hoặc tuyến logistics bị gián đoạn đều có thể khiến doanh nghiệp phải dừng hoạt động.

Trong những tình huống này, câu hỏi quan trọng không phải chỉ là “Làm thế nào để xử lý sự cố?”, mà còn là:

Doanh nghiệp phải làm gì để tiếp tục cung cấp những sản phẩm và dịch vụ quan trọng trong thời gian xảy ra sự cố và phục hồi hoạt động trong khoảng thời gian có thể chấp nhận được?

Đây chính là vấn đề mà ISO 22301 – Business Continuity Management Systems (BCMS) được xây dựng để giải quyết.

Bài viết này hướng dẫn cụ thể cách triển khai ISO 22301, từ xác định phạm vi BCMS, thực hiện Business Impact Analysis – BIA, đánh giá rủi ro, thiết lập RTO, BCP – Business Continuity Plan, tổ chức diễn tập cho đến đánh giá nội bộ và chuẩn bị chứng nhận ISO 22301.

Đối với doanh nghiệp cần hỗ trợ chuyên sâu, ITVC Toàn Cầu cung cấp dịch vụ tư vấn ISO 22301 và đào tạo ISO 22301, giúp xây dựng một BCMS có khả năng vận hành thực tế thay vì chỉ tạo ra một bộ tài liệu để phục vụ đánh giá.

---

ISO 22301 là gì?

ISO 22301:2019 – Security and resilience — Business continuity management systems — Requirements là tiêu chuẩn quốc tế quy định các yêu cầu đối với hệ thống quản lý kinh doanh liên tục – Business Continuity Management System (BCMS).

ISO xác định ISO 22301 là khuôn khổ giúp tổ chức hoạch định, thiết lập, triển khai, vận hành, giám sát, xem xét, duy trì và liên tục cải tiến hệ thống nhằm bảo vệ tổ chức trước các sự cố gây gián đoạn, giảm khả năng xảy ra và nâng cao khả năng phục hồi khi sự cố xảy ra. (ISO)

Tại Việt Nam, TCVN ISO 22301:2023 là tiêu chuẩn quốc gia tương đương hoàn toàn với ISO 22301:2019 và hiện vẫn còn hiệu lực.

ISO 22301:2019 hiện có Amendment 1:2024 về Climate Action Changes. ISO cũng đang tiến hành quá trình soát xét tiêu chuẩn, nhưng tại thời điểm hiện nay ISO 22301:2019 vẫn là phiên bản được công bố để áp dụng. (ISO)

---

Tại sao doanh nghiệp nên triển khai ISO 22301?

Giảm thời gian gián đoạn kinh doanh

Khi sự cố xảy ra, nếu doanh nghiệp chưa chuẩn bị trước thì từng bộ phận thường tự xử lý theo kinh nghiệm. Điều này dễ dẫn đến:

- Không xác định được việc nào phải ưu tiên; Chậm ra quyết định; Không biết ai có quyền kích hoạt phương án khẩn cấp; Thiếu nguồn lực dự phòng; Truyền thông không thống nhất; Phục hồi quá chậm so với yêu cầu khách hàng.

BCMS giúp doanh nghiệp xác định trước hoạt động nào phải được phục hồi, phục hồi khi nào, ở mức độ nào và cần những nguồn lực gì.

Bảo vệ khách hàng và doanh thu

Đối với doanh nghiệp sản xuất, một công đoạn dừng hoạt động có thể gây ảnh hưởng đến:

- Kế hoạch giao hàng; Dây chuyền khách hàng; Doanh thu; Chi phí logistics khẩn cấp; Chi phí làm thêm giờ; Phạt hợp đồng; Uy tín nhà cung cấp.

ISO 22301 giúp doanh nghiệp xác định những quá trình có hậu quả lớn nhất khi bị gián đoạn và tập trung nguồn lực bảo vệ chúng.

Tăng khả năng phục hồi của tổ chức

Theo ISO, những lợi ích chính của ISO 22301 bao gồm nâng cao khả năng phục hồi của tổ chức, cải thiện quản lý rủi ro, tạo phản ứng có hệ thống trước khủng hoảng và tăng niềm tin của các bên liên quan. (ISO)

Đáp ứng yêu cầu khách hàng và chuỗi cung ứng

Business Continuity ngày càng được khách hàng đưa vào:

- Supplier Audit; Supplier Quality Requirement; Risk Assessment; ESG; Information Security; Supply Chain Risk Management; Business Continuity Requirement.

Điều này đặc biệt quan trọng đối với ngành:

- Ô tô; Điện tử; Bán dẫn; CNTT; Logistics; Ngân hàng; Tài chính; Dược phẩm; Năng lượng; Sản xuất công nghiệp.

Tạo lợi thế khi đánh giá và lựa chọn nhà cung cấp

Một doanh nghiệp có BCMS bài bản có thể chứng minh với khách hàng rằng họ đã chuẩn bị phương án để duy trì hoạt động ngay cả khi xảy ra các tình huống bất thường.

---

BCP và BCMS có phải là một không?

Đây là một trong những nhầm lẫn phổ biến nhất khi triển khai ISO 22301.

BCP – Business Continuity Plan chỉ là kế hoạch kinh doanh liên tục dùng để xử lý một hoặc nhiều tình huống gián đoạn.

Trong khi đó, BCMS – Business Continuity Management System là toàn bộ hệ thống quản lý, bao gồm:

- Chính sách; Phạm vi; Trách nhiệm; Business Impact Analysis; Đánh giá rủi ro; Chiến lược Business Continuity; BCP; Incident Response; Crisis Communication; Đào tạo; Diễn tập; Đánh giá nội bộ; Management Review; Corrective Action; Continual Improvement.

Vì vậy, viết một số BCP chưa đồng nghĩa với việc doanh nghiệp đã triển khai ISO 22301.

---

Hướng dẫn triển khai ISO 22301 theo 12 bước

Bước 1 – Thành lập Ban dự án ISO 22301 và xác lập cam kết của lãnh đạo

BCMS không thể chỉ là trách nhiệm của IT hoặc bộ phận Quality.

Một dự án ISO 22301 thường cần sự tham gia của:

- Ban Giám đốc; Production; Quality; IT; Facility; Maintenance; Supply Chain; Purchasing; Logistics; HR; EHS; Finance; Sales/Customer  Service. 

Doanh nghiệp nên chỉ định:

- BCMS Leader; Process Owner; Crisis Management Team; BCP Owner; Internal Auditor.

Ngay từ đầu cần xác định:

- Mục tiêu dự án; Phạm vi; Tiến độ; Trách nhiệm; Nguồn lực; Kế hoạch đào tạo.

Bước 2 – Xác định bối cảnh, các bên liên quan và phạm vi BCMS

Doanh nghiệp cần xác định những vấn đề có thể ảnh hưởng đến khả năng duy trì hoạt động.

Ví dụ:

Yếu tố bên ngoài:

- Thiên tai; Khách hàng; Nhà cung cấp; Logistics; Hạ tầng điện; Internet; Quy định pháp luật; An ninh; Biến đổi khí hậu.

Yếu tố nội bộ:

- Máy móc quan trọng; Nhân sự; Hệ thống CNTT; Nhà xưởng; Năng lực tài chính; Kho; Utility; Kiến thức đặc biệt. 

Đồng thời phải nhận diện các bên quan tâm như:

- Khách hàng; Cơ quan quản lý; Công ty mẹ; Nhà cung cấp; Nhân viên; Cổ đông; Bảo hiểm; Cộng đồng.

Từ kết quả này, doanh nghiệp xác định phạm vi áp dụng BCMS.

Bước 3 – Mô hình hóa quá trình và xác định các mối phụ thuộc

Trước khi làm BIA, doanh nghiệp nên lập Process Map để hiểu rõ: Sản phẩm/Dịch vụ → Quá trình → Nguồn lực → Các mối phụ thuộc

Ví dụ một doanh nghiệp sản xuất có thể gồm:

- Sales; Planning; Purchasing; Warehouse; Production; Quality Inspection; Maintenance; Shipping; IT; Facility.

Với từng quá trình cần xác định sự phụ thuộc vào:

- Máy móc; Con người; Điện; Nước; Khí nén; Server; Phần mềm; Nhà cung cấp; Nhà thầu; Logistics; Cơ sở vật chất.

Một trong những giá trị lớn nhất của quá trình này là nhận diện Single Point of Failure – điểm lỗi đơn.

Ví dụ, nếu toàn bộ nhà máy phụ thuộc vào một máy nén khí duy nhất thì máy nén khí đó chính là một rủi ro Business Continuity quan trọng.

Bước 4 – Thực hiện Business Impact Analysis – BIA

BIA – Business Impact Analysis là một trong những nội dung quan trọng nhất khi triển khai ISO 22301.

BIA không hỏi:

“Khả năng xảy ra sự cố có cao không?”

Mà tập trung vào câu hỏi:

“Nếu hoạt động này dừng lại, hậu quả sẽ tăng lên như thế nào theo thời gian?”

Doanh nghiệp cần đánh giá tác động theo các khoảng thời gian, chẳng hạn:

- 1 giờ; 4 giờ; 8 giờ; 24 giờ; 48 giờ; 3 ngày; 1 tuần. 

Các tác động có thể gồm:

- Tài chính; Khách hàng; Pháp lý; An toàn; Sản xuất; Hợp đồng; Danh tiếng; Chuỗi cung ứng.

Các chỉ số quan trọng trong BIA

- MTPD – Maximum Tolerable Period of Disruption: Khoảng thời gian gián đoạn mà sau đó hậu quả trở nên không thể chấp nhận được đối với doanh nghiệp.

- RTO – Recovery Time Objective: Mục tiêu thời gian phục hồi của hoạt động.

RTO phải được xác định sao cho doanh nghiệp có thể phục hồi hoạt động trước khi đạt đến mức gián đoạn không thể chấp nhận.

- MBCO – Minimum Business Continuity Objective: Mức sản phẩm hoặc dịch vụ tối thiểu mà doanh nghiệp cần duy trì trong điều kiện gián đoạn.

Ví dụ: Một nhà máy bình thường sản xuất 10.000 sản phẩm/ngày nhưng khi xảy ra sự cố có thể xác định MBCO là 4.000 sản phẩm/ngày để duy trì giao hàng cho những khách hàng ưu tiên.

RPO – Recovery Point Objective: Đặc biệt quan trọng đối với dữ liệu và CNTT.

RPO xác định mức mất dữ liệu tối đa có thể chấp nhận được tính theo thời gian.

Ví dụ: Nếu RPO = 1 giờ thì giải pháp backup phải đảm bảo trong tình huống sự cố doanh nghiệp không mất quá một giờ dữ liệu.

Bước 5 – Đánh giá rủi ro gián đoạn kinh doanh

BIA xác định hậu quả của việc gián đoạn.

Risk Assessment xác định điều gì có thể gây ra sự gián đoạn đó.

Các tình huống doanh nghiệp nên xem xét có thể gồm:

- Cháy nổ; Mất điện; Hỏng máy; Sự cố Utility; Tấn công mạng; Server lỗi; Mất dữ liệu; Thiên tai; Dịch bệnh; Đình công; Thiếu lao động; Supplier disruption; Logistics disruption; Sự cố chất lượng nghiêm trọng; Environmental incident; Political/security event.

Không nhất thiết phải viết một BCP riêng cho mọi rủi ro. Những rủi ro có cùng hậu quả hoặc cùng chiến lược phục hồi có thể được quản lý chung.

Bước 6 – Xây dựng chiến lược Business Continuity

Sau BIA và Risk Assessment, doanh nghiệp phải trả lời câu hỏi:

Làm thế nào để đạt được RTO và MBCO đã xác định?

Các chiến lược có thể bao gồm:

Đối với máy móc

- Máy dự phòng; Spare Part; Service contract; Thuê ngoài; Chuyển sản xuất sang dây chuyền khác.

Đối với nhà cung cấp

- Second source; Safety stock; Local sourcing; Alternative material; Emergency transportation.

Đối với IT

- Backup; Server redundancy; Cloud; Disaster Recovery Site; Alternative network.

Đối với nhân sự

- Cross-training; Multi-skill; Succession plan; Remote working; Temporary manpower.

Đối với nhà máy

- Alternate site; Mutual support giữa các nhà máy; Outsourcing; Emergency warehouse.

Một chiến lược chỉ thực sự phù hợp khi chứng minh được rằng nó đáp ứng RTO và mức hoạt động tối thiểu mà BIA yêu cầu.

Bước 7 – Xây dựng Business Continuity Plan – BCP

Từ các chiến lược đã chọn, doanh nghiệp xây dựng kế hoạch kinh doanh liên tục – BCP.

Một BCP thực tế nên làm rõ:

- Điều kiện kích hoạt; Ai có quyền kích hoạt; Người phụ trách; Danh sách liên lạc; Hành động ngay khi xảy ra sự cố; Hoạt động ưu tiên; Nguồn lực cần thiết; Địa điểm thay thế; Nhà cung cấp dự phòng; Phương án liên lạc khách hàng; Tiêu chí kết thúc tình trạng khẩn cấp; Quá trình trở lại hoạt động bình thường.

Ví dụ doanh nghiệp sản xuất có thể chuẩn bị:

BCP 01 – Gián đoạn sản xuất; BCP 02 – Mất điện và Utility; BCP 03 – Sự cố CNTT/mất ERP; BCP 04 – Đứt gãy chuỗi cung ứng; BCP 05 – Logistics disruption; BCP 06 – Thiếu nhân sự diện rộng; BCP 07 – Cháy nổ; BCP 08 – Thiên tai; BCP 09 – Sự cố chất lượng nghiêm trọng

ITVC Toàn Cầu cũng đang sử dụng cách tiếp cận dựa trên các kịch bản gián đoạn này trong nội dung dịch vụ tư vấn BCMS hiện tại. (ITVC Global)

BCP phải được liên kết với cơ chế quản lý sự cố.

Doanh nghiệp cần quy định: 

- Incident Team; Crisis Management Team; Escalation Level; Activation Criteria; Decision Authority.

Truyền thông cần xác định trước cách thức liên hệ với:

- Nhân viên; Khách hàng; Nhà cung cấp; Chính quyền; Cơ quan báo chí nếu cần; Công ty mẹ.

Danh sách liên hệ phải được cập nhật và kiểm tra định kỳ.

Bước 9 – Xây dựng hệ thống tài liệu ISO 22301

Một BCMS hiệu quả không cần quá nhiều thủ tục. Doanh nghiệp nên tập trung vào những thông tin thực sự cần thiết để hệ thống vận hành.

Một bộ hồ sơ điển hình có thể bao gồm:

- Chính sách (Business Continuity Policy), Phạm vi (Scope of BCMS); Hoạch định (Risk & Opportunity, BC Objectives); BIA (Business Impact Analysis); Risk (Business Continuity Risk Assessment); Strategy (Business Continuity Strategy); BCP (Business Continuity Plans); Crisis (Incident/Crisis Management Plan); Communication (Emergency/Crisis Communication); Exercise (Exercise & Testing Plan); Internal Audit; Management Review, Improvement - Corrective Action

Các tài liệu này không nhất thiết phải tồn tại thành từng quy trình riêng biệt. Doanh nghiệp có thể tích hợp chúng vào hệ thống đang có nếu vẫn đảm bảo kiểm soát và chứng minh được việc thực hiện.

Bước 10 – Đào tạo ISO 22301 và nâng cao nhận thức

Một trong những nguyên nhân khiến BCP thất bại trong thực tế là:

Kế hoạch được viết rất chi tiết nhưng người phải sử dụng nó không biết mình phải làm gì.

Doanh nghiệp cần tổ chức đào tạo ISO 22301 theo từng nhóm.

Ban lãnh đạo - Hiểu: 

- Business Continuity Risk; Vai trò của lãnh đạo; Crisis Decision; Nguồn lực.

BCMS Team - Cần nắm: 

- ISO 22301; BIA; Risk Assessment; BCP; Exercise; Improvement.

Process Owner - Phải hiểu: 

- RTO; MBCO; Dependency; Recovery Procedure.

Nhân viên - Cần biết: 

- Phải liên hệ với ai; Phải làm gì khi kế hoạch được kích hoạt; Địa điểm thay thế; Kênh truyền thông.

Bước 11 – Diễn tập và thử nghiệm BCP

Một BCP chưa từng được thử nghiệm chỉ là một giả định.

ISO 22301 yêu cầu doanh nghiệp có chương trình exercise và testing để kiểm chứng các giải pháp và kế hoạch Business Continuity.

Một số hình thức có thể thực hiện:

Table-top Exercise

Các thành viên ngồi cùng nhau và xử lý một kịch bản giả định. Ví dụ:

“08:30 sáng, hệ thống ERP toàn nhà máy ngừng hoạt động và IT xác nhận chưa thể khôi phục trong 12 giờ.”

Nhóm phải xác định:

- Ai kích hoạt BCP; Sản xuất tiếp tục thế nào; Quản lý kho ra sao; Giao hàng bằng cách nào; Khách hàng có phải được thông báo không.

Functional Exercise

Thực hiện một phần phương án thực tế. Ví dụ: 

- Chạy máy phát điện; Khôi phục backup; Chuyển sang server dự phòng; Thử hệ thống thông báo.

Full-scale Exercise

Mô phỏng thực tế ở phạm vi lớn hơn. Sau mọi cuộc diễn tập phải thực hiện:

Exercise → Lesson Learned → Corrective Action → BCP Update

Đây mới chính là cơ chế cải tiến thực sự của BCMS.

Bước 12 – Đánh giá nội bộ, xem xét của lãnh đạo và chuẩn bị chứng nhận ISO 22301

Sau khi BCMS đã vận hành, doanh nghiệp cần đánh giá toàn bộ hệ thống.

Internal Audit

Đánh giá nội bộ phải xem xét không chỉ tài liệu mà cả khả năng thực tế của hệ thống. Auditor nên kiểm tra:

- BIA có hợp lý không? RTO có cơ sở không? RTO có đạt được trong diễn tập không? Nhà cung cấp dự phòng có thực sự sẵn sàng? Danh sách liên hệ có chính xác? Backup có restore được không? Nhân viên có hiểu BCP không?

Management Review

Ban lãnh đạo cần xem xét:

- Kết quả BIA; Rủi ro; Exercise; Audit; KPI; Incident; Resources; Corrective Actions; Opportunity for Improvement.

Corrective Action

Các điểm yếu được: Correction → Root Cause → Corrective Action → Effectiveness Verification

Sau khi hoàn thành, doanh nghiệp có thể tiến hành đánh giá chứng nhận nếu có nhu cầu.

ISO 22301 áp dụng cho các tổ chức thuộc mọi quy mô và có thể tích hợp với các tiêu chuẩn hệ thống quản lý ISO khác. (ISO)

---

Thời gian triển khai ISO 22301 mất bao lâu?

Thời gian phụ thuộc vào:

- Quy mô doanh nghiệp; Số địa điểm; Số lượng quá trình; Mức độ phức tạp của IT; Chuỗi cung ứng; Hệ thống hiện tại; Nguồn lực dự án.

Đối với một doanh nghiệp quy mô vừa, một kế hoạch tham khảo có thể là: 4- 6 tháng

Thông thường, một dự án hoàn chỉnh có thể cần khoảng 4–6 tháng, nhưng không nên đặt mục tiêu chứng nhận nhanh bằng cách rút ngắn thời gian vận hành hoặc bỏ qua việc diễn tập BCP.

---

7 sai lầm thường gặp khi triển khai ISO 22301

1. Bắt đầu bằng việc viết BCP

Cách đúng nên là: Hiểu hoạt động → BIA → Risk Assessment → Strategy → BCP

Không nên đảo ngược trình tự.

2. Chỉ giao BCMS cho IT

Business Continuity là vấn đề của toàn doanh nghiệp. IT Disaster Recovery chỉ là một phần trong BCMS.

3. Xác định RTO theo khả năng hiện tại của IT

RTO phải xuất phát từ nhu cầu của hoạt động kinh doanh, sau đó doanh nghiệp mới đánh giá xem năng lực hiện tại có đáp ứng hay không.

4. BCP quá dài và khó sử dụng

Trong sự cố thực tế, người sử dụng cần:

- Hành động rõ ràng; Danh sách liên hệ; Quyền quyết định; Checklist.

Một BCP dài hàng trăm trang thường rất khó vận hành.

5. Không quản lý các mối phụ thuộc

Một quá trình có thể có BCP tốt nhưng vẫn không phục hồi được nếu thiếu:

- Điện; IT; Nguyên vật liệu; Nhân sự; Logistics.

6. Không diễn tập

Kế hoạch chưa được thử nghiệm không thể chứng minh rằng nó thực sự hoạt động.

7. Chỉ triển khai để lấy chứng nhận

Mục tiêu cuối cùng của ISO 22301 không phải là có một chứng chỉ treo trên tường. Mục tiêu là:

Khi sự cố xảy ra, doanh nghiệp vẫn có khả năng duy trì những hoạt động quan trọng và phục hồi trong thời gian đã cam kết.

---

Dịch vụ tư vấn ISO 22301 của ITVC Toàn Cầu

Để triển khai BCMS đúng phương pháp, doanh nghiệp cần kết hợp kiến thức về:

- ISO 22301; Quản lý quá trình; Risk Management; Supply Chain; IT; Crisis Management; Internal Audit.

ITVC Toàn Cầu cung cấp dịch vụ tư vấn và đào tạo ISO 22301 từ đánh giá khoảng cách đến hỗ trợ đánh giá chứng nhận.

Hotline/Zalo: 0914 564 579
Email: itvc.haiphong@itvc-global.com
Website: www.itvc-global.com

ITVC Toàn Cầu – Tư vấn ISO 22301 và đào tạo ISO 22301 chuyên nghiệp, giúp doanh nghiệp xây dựng hệ thống quản lý kinh doanh liên tục thực tiễn, chủ động trước rủi ro và nâng cao khả năng phục hồi trong mọi tình huống.