Страшно подумать

Теоретически кризис гарантирован для каждой компании. Вопрос в том, когда и как он произойдет

Почему же традиционное кризисное управление корпорациями уже не может считаться адекватным? Потому что оно слишком ограничено. Корпорации — и их информационные службы — готовятся отразить кризисы такого типа, с которыми они уже сталкивались. А это не может сослужить хорошую службу. Реальную угрозу несет не тот кризис, о котором все известно, а тот, о котором не знают ничего. Сейчас организациям угрожает куда большее разнообразие кризисов, нежели 30 лет назад, — это и экономические кризисы, и кризисы репутации, и кризисы кадров. И каждый из них может породить любой другой. Сбой в секторе ИТ может инициировать кризисный процесс где-либо еще, и наоборот. И какие бы антикризисные преграды человечество ни возводило, вряд ли удастся полностью избежать неприятностей.

Исследования, проведенные Митроффом, показали, что одни компании были готовы к кризисам и поэтому незначительно пострадали от них, а другие оказались более восприимчивы. В чем принципиальные различия между этими двумя типами компаний? Организации, реализующие стратегию упреждающих действий, могут быть подготовлены к кризисам, подобным тем, которые они уже пережили. Компании, медленно реагирующие на изменения, вначале сталкиваются с кризисом и только затем начинают занимать оборону.

Возникает вопрос, насколько большим может быть вклад информационной службы в обеспечение упреждающего подхода в таких компаниях. Как показала практика, специалисты по технологиям оперируют ясными, четкими формулировками. Когда в компании, придерживающейся упреждающего подхода, происходит кризис, становится понятно, что технологией управляют все-таки живые люди. Не надо долго искать примеры человеческих ошибок, упущений или недостаточной компетенции, из-за которых проваливались даже самые продуманные планы обеспечения безопасности.

Необходимо поддерживать постоянный диалог со всеми другими подразделениями компании, чтобы представлять себе, как они связаны с информационными технологиями, как можно проникнуть в их святая святых, какие бы меры защиты ни предпринимались. Если в компании действует внутренняя кризисная группа, она должна состоять из людей различных специальностей, а не только из представителей ИТ-служб. Смешанные группы могут представить большее число сценариев развития событий. Не следует исходить из предпосылки, что того или иного просто не может быть. Если же неприятное событие все же произошло, надо постараться понять, как это могло случиться.

Подготовленность имеет некие дополнительные преимущества, помимо возможности оперативной реакции. О чем идет речь? Установлено, что за три года компании, придерживающиеся упреждающего подхода, в среднем пережили 22 крупных кризиса, другие же — 33. Средний показатель отдачи от вложенных средств для первых составил около 6%, для вторых — 2%. Причинно-следственную связь здесь еще предстоит устанавливать, но в компаниях первой группы явно происходят какие-то весьма благоприятные процессы. Здесь даже этические критерии другие — люди стремятся следовать принципу «не навреди» в отношении всех и каждого. Компании другой группы действуют так, только если это выгодно. Здесь все нацелено на улучшение итоговых финансовых результатов, но по иронии судьбы первые добиваются большей рентабельности. Беды, которые могут обрушиться на информационную среду, можно разделить на три категории. Во-первых, природные бедствия (землетрясения, наводнения и т.д.) — они могут отразиться на каждом, и большинство компаний помнит об этом. Есть неприятности второго типа, они свойственны сложным системам, в которых соответственно выше и вероятность сбоев. Сложностью информационных систем вызвана, например, проблема 2000 года. Этот кризис относится к числу «нормальных». Такого рода события практически неизбежны, хотя происходят без чьей-либо злой воли. И наконец, возможны инциденты, причиной которых являются чьи-либо преступные действия. К их числу относятся, например, события вокруг Enron, поскольку они стали результатом махинаций. В сфере ИТ такие кризисы возникают, когда системы взламывают террористы либо когда в сеть запускается вирус.

Какую же роль ИТ-системы могут сыграть в предотвращении кризиса? Всегда существуют некие сигналы, признаки надвигающегося бедствия. ИТ-система может стать частью схемы раннего предупреждения — благодаря своим возможностям сбора и фильтрации информации и отправки ее представителям центральных органов компании. Отсюда предупреждения могут рассылаться в филиалы, офисы или представительства. Например, во время кризиса на Ford/Firestone центральное руководство Ford организовало специальный отдел, занявшийся расследованием проблем с автопокрышками. Но почему у автогиганта не было такого подразделения прежде? Работа ИТ-систем в «режиме раннего предупреждения» до известной степени перекрывается задачами стратегического планирования. Поэтому потребуется преодолевать стереотипы взаимоотношений между подразделениями внутри организации. Кризисы — не случайности. Скажем, бывает так, что случается один кризис, а за ним следует другой. Нужно разобраться, что делать в таких случаях. В первую очередь нужно установить связь между двумя событиями. В то же время следует отказаться от привычки готовиться к тем неприятностям, которые вам известны. Надо смотреть на вещи максимально широко и устанавливать все возможные взаимосвязи.

«Воспитание внутренних террористов» — еще одна идея, предложенная Митроффом. Что террористы сделают с ИТ-системой? Специалисты информационной службы должны сами продумать самый жесткий сценарий, при котором могут возникнуть максимальные разрушения и потребовать наибольших временных затрат для их устранения. Нужно также продумать, какие приемы саботажа может использовать некий высокообразованный злоумышленник, и проанализировать, что в вашей внутрикорпоративной культуре, в системе наказаний и поощрений может внушить сотрудникам стремление навредить свой компании.

Кризисное управление не воспринимается в компаниях как нечто первоочередное, тем более в условиях ограниченного бюджета. Многие спрашивают, зачем тратить деньги на подготовку к отражению угроз, которые вряд ли осуществятся? Лучшим ответом на этот вопрос может быть напоминание о том, во сколько обошлись кризисы Enron или Ford/Firestone. Компании из списка Fortune 500 проведение антикризисных мероприятий стоит 2 млн. долл. в год. Можно ли считать, что эти деньги вылетают в трубу? Если не предпринимать антикризисных мер, можно поставить под удар огромную компанию.