Zarządzanie kryzysowe w firmie – jak przygotować organizację do działania?

Kiedy incydent staje się sytuacją kryzysową?

Nie każde zdarzenie wymaga angażowania zarządu, uruchamiania zespołu kryzysowego albo zmiany normalnego sposobu działania firmy.

W wielu przypadkach organizacja może poradzić sobie w ramach standardowych kompetencji. Facility management usuwa awarię, ochrona reaguje na naruszenie zasad dostępu, HR zajmuje się problemem pracowniczym, a IT obsługuje incydent techniczny.

Sytuacja zaczyna wymagać innego sposobu zarządzania wtedy, gdy standardowe mechanizmy przestają wystarczać.

Może się tak zdarzyć, gdy problem zagraża ludziom lub kluczowym zasobom, dotyczy kilku funkcji organizacji jednocześnie, wymaga szybkiej decyzji wykraczającej poza codzienne kompetencje albo powoduje istotne zakłócenie działalności.

Znaczenie ma również tempo rozwoju sytuacji. Zdarzenie, które początkowo wydaje się lokalne, może w krótkim czasie wymagać współpracy ochrony, facility managementu, HR, IT, zarządu i podmiotów zewnętrznych.

Najważniejsza nie jest jednak sama definicja kryzysu.

Firma powinna wcześniej wiedzieć, po czym rozpozna, że problem przestał być zwykłym incydentem i wymaga przejścia na wyższy poziom zarządzania.

Zarządzanie kryzysowe nie zaczyna się w chwili kryzysu

Najgorszym momentem na ustalanie struktury reagowania jest chwila, w której zdarzenie już trwa.

Wtedy pojawiają się pytania, na które wcześniej nie było odpowiedzi:

Dlatego przygotowanie do sytuacji kryzysowej zaczyna się wcześniej: od analizy ryzyka, podziału odpowiedzialności, sposobu eskalacji informacji, komunikacji i przygotowania ludzi.

Nie chodzi o tworzenie rozbudowanego systemu na każdą możliwą sytuację.

Chodzi o to, aby podczas zdarzenia organizacja nie musiała od początku ustalać, kto ma zrobić pierwszy krok.

Eskalacja i decyzje – kto powinien wiedzieć i kto może zdecydować?

Jednym z najważniejszych elementów systemu jest sposób przejścia od pierwszej informacji do decyzji.

Pierwsza informacja i eskalacja

Pierwsza wiadomość o zdarzeniu bardzo często nie trafia do prezesa, dyrektora bezpieczeństwa ani osoby odpowiedzialnej za zarządzanie kryzysowe.

Może otrzymać ją recepcja, ochrona, sekretariat, dział techniczny, HR, kierownik zmiany albo zwykły pracownik.

Dlatego ludzie nie muszą samodzielnie oceniać pełnej skali zagrożenia, ale powinni wiedzieć:

Jeżeli informacja przez kilkanaście minut krąży pomiędzy przypadkowymi osobami, firma traci czas właśnie wtedy, gdy jest najbardziej potrzebny.

Decyzja i zakres odpowiedzialności

Procedura może dokładnie opisywać sposób postępowania, a mimo to zawieść w jednym punkcie:

W kryzysie mogą pojawić się decyzje dotyczące bezpieczeństwa ludzi, ograniczenia dostępu, zatrzymania procesu, komunikacji z pracownikami, wezwania dodatkowego wsparcia czy uruchomienia rozwiązania zastępczego.

Nie wszystkie muszą należeć do jednej osoby.

Organizacja powinna jednak wiedzieć:

Zastępstwa

W dokumentacji często można znaleźć zapis:

Ale dyrektor może być na urlopie, prowadzić spotkanie poza obiektem, nie odbierać telefonu albo sam znajdować się w części budynku objętej zdarzeniem.

Dlatego model powinien obejmować zastępstwa i alternatywne ścieżki decyzyjne.

Nie oznacza to przekazania wszystkim pełnych uprawnień.

Oznacza natomiast, że organizacja nie może utracić zdolności do działania tylko dlatego, że jedna wskazana osoba jest chwilowo niedostępna.

Czy każda firma potrzebuje zespołu kryzysowego?

Nie.

Duża organizacja, przedsiębiorstwo wielolokalizacyjne czy zakład produkcyjny mogą potrzebować formalnie określonego zespołu kryzysowego.

W mniejszej firmie wystarczający może być prostszy model:

Najważniejsza nie jest nazwa zespołu.

Znaczenie ma to, czy osoby uczestniczące w zarządzaniu zdarzeniem wiedzą, kiedy są uruchamiane, kto prowadzi działania, skąd otrzymują informacje i jakie decyzje należą do ich zakresu.

Organizacja potrzebuje wspólnego obrazu sytuacji

Podczas rozwijającego się zdarzenia każda część firmy może widzieć tylko jego fragment.

Ochrona wie, co wydarzyło się przy wejściu.

Facility management zna stan infrastruktury.

HR ma informacje dotyczące pracowników.

IT ocenia funkcjonowanie systemów.

Zarząd widzi konsekwencje dla działalności.

Jeżeli te informacje pozostają rozproszone, osoby podejmujące decyzje mogą działać na podstawie niepełnego obrazu.

Dlatego potrzebny jest prosty sposób raportowania:

To nie musi być rozbudowany formularz.

W kryzysie bardziej wartościowy może być prosty i konsekwentnie stosowany model wymiany informacji niż skomplikowany dokument, którego nikt nie będzie w stanie szybko wypełnić.

Komunikacja jest częścią reagowania, a nie tylko elementem PR

Komunikacja kryzysowa bywa traktowana jako jeden z najbardziej widocznych elementów reagowania.

Z perspektywy bezpieczeństwa organizacji zaczyna się jednak znacznie wcześniej — od przekazania ludziom informacji potrzebnej do właściwego działania.

Pracownik podczas zdarzenia nie potrzebuje pełnej analizy sytuacji.

Potrzebuje wiedzieć:

Dopiero równolegle organizacja może prowadzić komunikację z klientami, partnerami, mediami lub innymi interesariuszami.

Komunikacja kryzysowa nie powinna zastępować zarządzania kryzysem. Powinna wspierać decyzje i działania organizacji.

Procedury kryzysowe powinny wspierać decyzje, a nie próbować przewidzieć wszystko

Nie da się stworzyć instrukcji dla każdej możliwej kombinacji zdarzeń.

Dlatego dobra procedura nie powinna opierać się wyłącznie na zasadzie:

„jeżeli wydarzy się X, wykonaj dokładnie Y”.

Organizacja potrzebuje również wspólnego mechanizmu:

Dopiero pod nim można umieszczać procedury dla konkretnych zagrożeń.

To pozwala działać również wtedy, gdy rzeczywiste zdarzenie nie odpowiada dokładnie wcześniej opisanym scenariuszom.

Procedury bezpieczeństwa – opracowanie i wdrożenie →

Analiza ryzyka, kryzys i ciągłość działania – trzy różne pytania

Te obszary są ze sobą powiązane, ale nie są tym samym.

Nie każdy kryzys musi prowadzić do uruchomienia BCP.

Jeżeli jednak konsekwencją jest poważne zakłócenie działalności, oba obszary zaczynają się ze sobą łączyć.

Pojawiają się wtedy pytania:

BCP nie zastępuje zarządzania kryzysowego i zarządzanie kryzysowe nie zastępuje BCP.

Analiza ryzyka w organizacji i ciągłość działania →

Ćwiczenia pokazują, czy system działa także poza dokumentem

Można posiadać procedury, listy kontaktowe, strukturę odpowiedzialności i ustalone role, a mimo to dopiero podczas ćwiczenia odkryć, że:

numer alarmowy jest nieaktualny,

osoba wskazana jako zastępca nie zna swojej funkcji,

część zespołu interpretuje komunikat inaczej,

decyzja wymaga zgody osoby, która nie jest dostępna,

albo różne działy zakładają, że za kontakt ze służbami odpowiada ktoś inny.

Nie zawsze potrzebna jest rozbudowana symulacja.

Co powinien sprawdzić zarząd?

Zamiast pytać wyłącznie:

warto sprawdzić kilka bardziej praktycznych kwestii.

Jeżeli odpowiedzi są niejasne, problemem nie musi być brak kolejnego dokumentu.

Problemem może być brak operacyjnego modelu zarządzania sytuacją kryzysową.

Jak przygotować organizację do zarządzania sytuacją kryzysową?

Nie każda firma potrzebuje takiego samego rozwiązania.

W małej organizacji wystarczający może być prosty model eskalacji, odpowiedzialności i komunikacji.

W większej potrzebne mogą być role kryzysowe, wielopoziomowa eskalacja, zespół decyzyjny, rozwiązania ciągłościowe oraz regularne ćwiczenia.

Dlatego przygotowanie warto rozpocząć od:

To podejście odpowiada Metodyce RiskCom.

Nie zakłada tworzenia maksymalnie rozbudowanego systemu.

Zakłada przygotowanie rozwiązania adekwatnego do rzeczywistej skali organizacji, charakteru działalności i konsekwencji możliwych zdarzeń.

Jednym z elementów przygotowania osób odpowiedzialnych za decyzje mogą być:

`/szkolenia-kryzysowe/`

Kryzysu nie da się zaplanować. Można przygotować sposób działania

Zarządzanie kryzysowe w firmie nie polega na stworzeniu dokumentu zawierającego odpowiedź na każdy możliwy scenariusz.

Takiego dokumentu nie da się przygotować.

Można jednak wcześniej ustalić:

To właśnie te elementy ograniczają zależność od improwizacji.

Organizacja nadal może zetknąć się ze zdarzeniem, którego wcześniej nie przewidziała.

Różnica polega na tym, że nie zaczyna wtedy od zera.

Ma przygotowanych ludzi, odpowiedzialność, sposób wymiany informacji i mechanizm podejmowania decyzji.