כשניהול סיכונים
הופך להווה מתמשך

מלחמה מתמשכת, טרור, תחלואה, טלטלות בשווקים, מתקפות סייבר – בעולם שבו חוסר הוודאות הפך לנורמה, ניהול סיכונים והבטחת רציפות תפקודית הם כלים הכרחיים להישרדות ולשמירה על יציבות ארגונית. בצד האתגרים הרבים, זה יכול גם לפתוח את הדלת לצמיחה עסקית

 

בשנים האחרונות, ניהול סיכונים הפך לחלק בלתי נפרד משגרת העבודה של ארגונים רבים בישראל. אנו חיים במציאות של חוסר יציבות מתמשך, הכוללת מלחמה מתמשכת, טרור, רעידות אדמה, מגיפות עולמיות, טלטלות בשווקים, גיאופוליטיקה בלתי צפויה ועוד. בצד מצבי החרום, אנו מתמודדים (יחד עם שאר העולם) עם סיכונים תפעוליים (ראה למשל תקלת מחשוב עולמית מעדכון תוכנה שגוי של חברת הסייבר CrowdsSrike), סיכונים פיננסיים (בעיות נזילות, שינויים בשער מט"ח, שערי ריבית, בורסה), התיישנות טכנולוגית, סיכונים הנובעים מהמהפכה הטכנולוגית, בדגש על מהפכת GenAI ועוד.

בעולם שבו אי-ודאות היא הנורמה, ניהול סיכונים והבטחת המשכיות עסקית הפכו לכלים חיוניים לשמירה על יציבות הארגון ואף להישרדותו. מעבר לכך, ניהול מושכל של סיכונים יכול להוות בסיס לצמיחה עסקית, ולזיהוי הזדמנויות חדשות.

מהבחינה הזאת, משבר הקורונה הוא דוגמה טובה. במהלך תקופת הקורונה, רץ ברשת מם משעשע עם השאלה: "מי הוביל את הטרנספורמציה הדיגיטלית בארגון שלך?" בין התשובות האפשריות: המנכ"ל, המנהל הטכנולוגי, או כל גורם אחר – התשובה הנכונה הייתה: וירוס הקורונה. המם הזה שיקף בצורה מדויקת את אחד הלקחים המרכזיים מהמשבר: חוסר היערכות ארגונית והעדפת צרכים שוטפים על פני אסטרטגיה ארוכת טווח גובים מחיר כבד. משבר הקורונה שימש כ"קריאת השכמה" לארגונים רבים, שנאלצו בתוך זמן קצר ליישם טרנספורמציה דיגיטלית מואצת. תהליך זה כלל שדרוג ערוצים דיגיטליים קיימים, הקמת פלטפורמות חדשות לחלוטין, פתיחת אפשרויות עבודה מרחוק לעובדים ומנהלים וכו', במטרה כפולה: לשמר את הלקוחות הקיימים ולהתחרות בשוק שהפך בלתי צפוי, ובמקביל להבטיח המשכיות עסקית גם כאשר העובדים והמנהלים פעלו מרחוק. ארגונים שהיו ערוכים מבעוד מועד נהנו מיתרון תחרותי משמעותי בתנאי השוק החדשים שנוצרו.

אז איך נערכים בעידן שבו תרחישי העתיד אינם היפותטיים אלא מציאות קונקרטית שחייבת להילקח בחשבון בכל תכנון ארגוני?

 

מפת סיכונים – זיהוי מוקדם של סיכונים ייחודיים

בישראל, האיומים כוללים מגוון רחב של סיכונים ייחודיים, ביניהם איום ביטחוני מתמשך, סגרי חירום, רעידות אדמה (לא אם, אלא מתי?) מתקפות סייבר (שוב, לא שאלה של אם אלא האם גיליתי ומתי גיליתי?) ועוד. עסקים חייבים לבצע הערכת סיכונים שמותאמת למציאות המקומית, תוך מיפוי הסיכונים האופייניים לאזור הגיאוגרפי ולתחום הפעילות שלהם. המיפוי חייב לכלול התאמות ספציפיות שיתנו מענה לאותם סיכונים כדי להבטיח יכולת תגובה מהירה ואפקטיבית.

למשל, ארגונים בישראלים חשופים כיום יותר מתמיד למתקפות סייבר. כך למשל, על פי דוח מערך הסייבר הלאומי, בשלושת החודשים הראשונים של המלחמה, חלה עלייה של פי 2.5 בכמות מתקפות הסייבר ארגונים וגופים בישראל.  דוגמה נוספת, במקרה של רעידת אדמה, חברה המפוזרת בין מספר אתרים צריכה לדעת מהי רמת הסיכון לפי מיקום האתרים ביחס למוקדי רעידה אפשריים, עמידות המבנים וכדומה.

תכנון המשכיות עסקית מותאם למצב הביטחוני

הכנת תוכניות גיבוי לשיבושים אפשריים במצבי חירום אינה בגדר המלצה אלא הכרח לחברה השואפת לשרוד. תוכניות אלו צריכות לכלול היערכות פיזית ותפעולית, גיבוי למידע הארגוני (DR), יתירות לתשתיות תקשורת בחירום, ותוכניות לטיפול במשאב האנושי. בנוסף, יש לבנות נהלים ברורים להבטחת המשך תפקוד תהליכים חיוניים גם כאשר משרדים או אולמות ייצור אינם נגישים, או כאשר העובדים אינם יכולים להגיע פיזית למקום העבודה, וכמובן לתרגל את עובדי הארגון במצבים שונים על מנת לקדם את מוכנותו (להפוך תאוריה למעשה).

על הארגונים למקד את תשומת הלב בהגדרת התהליכים הקריטיים שהם מעוניינים לשמר גם בתנאים מאתגרים, ולאפיין את הכלים הנדרשים להמשך קיומם: אתרים חלופיים, טכנולוגיות עבודה מרחוק, גיבוי נתונים בענן, והיערכות מלאה לניהול מלאים. למשל, חברות הספנות והשילוח הבינו שחסימת מצר באב-אל מנדב, במלחמת "חרבות ברזל", לתנועת אוניות ישראליות או כאלו שמובילת סחורה לישראל היא בגדר מציאות חדשה, והן לא יכולות להמשיך ולשנע מטענים מהמזרח לישראל דרך הים האדום ותעלת סואץ. לכן הן היו חייבות לגבש מודלים חדשים במטרה לעקוף את המחסום שהציבו המורדים החות'ים. לעיתים פתרון זה היה חלקי כי חלק מהמטענים לישראל לא הגיעו ישירות אלא נפרקו בנמלי הים התיכון (איטליה, יוון), ונדרש מסע ימי נוסף להביאם לישראל.

באופן דומה, לאור הסכנה הגדולה למתקפות סייבר, ומתוך הבנה שקיים סיכון לחלק גדול מהארגונים אשר בסופו של דבר יותקפו ואולי אף ייפרצו, חשוב למפות נכון את הסיכונים ולהיערך בהתאם: להקים גיבויים, תכנית התאוששות מאסון ותוכנית המשכיות עסקית. מוכנות הארגון היא קריטית להמשך תפקודו העסקי התקין. היערכות יכולה לכלול הקמת אתר חלופי למקרה בו מערכות המחשוב קורסות במטרה להגן על המידע יקר הערך של הארגון. רמה גבוהה יותר של היערכות היא לא רק להגן על המידע הארגוני, אלא לאפשר לארגון להמשיך כמעט מיידית לתפקד באמצעות האתר החלופי. הפתרון הטכנולוגי במקרה כזה הוא אתר חלופי (מחייב ניהול נכון של הסיכון והמשאבים). הקמת אתר חלופי למערכות המידע נכון שתיקח בחשבון גם מתארי סיכון אחרים (מלחמה, רעידת אדמה, צונאמי ועוד).

אבל לא רק, נדרשת התייחסות לאמינות המידע שנחשף באירוע, למידת החשיפה של המידע באירוע כופרה (האם המידע ששוחרר לא נשאר ברשת, האם מה שהוחזר טופל, ולכן יש להטיל ספק באמינותו?), האם לאחר שגילינו תקיפה וטיפלנו בפוגען, המערכות נקיות? איך נותנים מענה לפגיעה במוניטין? ועוד.

היערכות פיזית ותפעולית למצבי חירום

במדינה כמו ישראל, היערכות פיזית לתרחישי חירום היא הכרחית. עסקים חייבים להיות מוכנים להפסיק את פעילותם במקרים של התרעות ביטחוניות או פגיעה פיזית, וליישם נהלי בטיחות שמבטיחים את שלומם של העובדים ואת המשכיות הפעילות. יש להיערך לעבודה במיקומים חלופיים, להגדיל מלאי תפעולי או לייעד מלאי חירום לשם תגובה מהירה לשיבושי ייצור.

בתכנון המשכיות עסקית, יש לקחת בחשבון היבטים של תפעול ממוקד, שיבטיחו את המשך הפעילות גם בתנאים מאתגרים. בארגונים גדולים, יש להקים מרכז ניהול משברים או חמ"ל, שירכז את תפעול הארגון בזמן חירום.

שיתוף פעולה בין צוותים והנהגת תקשורת יעילה

שיתוף פעולה ותיאום בין צוותי הארגון, לצד תקשורת ברורה ויעילה, הם מרכיבים קריטיים לשמירה על תפקוד רציף במצבי חירום. במצבים בהם העבודה מתפצלת למספר אתרים או כאשר עבודה מרחוק הופכת לדומיננטית בעקבות שיבושים תחבורתיים או חוסר זמינות של עובדים, תיאום יעיל הוא הכרחי.

כמו כן, חשוב לזכור שעובדים מתמודדים עם אי-ודאות אישית ומשפחתית בתקופות חירום. על הארגון לגלות רגישות, להציע תמיכה נפשית ופרקטית לעובדים, ולהבטיח שהם יוכלו להמשיך לתפקד בתנאים הקשים תוך שמירה על איזון בין הצרכים האישיים והעסקיים. ולא לשכוח תמיכה במשפחות כשהעובדים נעדרים (למשל גיוס למילואים לתקופה ארוכה).

עדכון שוטף של תוכניות הסיכונים בהתאם למצב הביטחוני

תוכניות ניהול הסיכונים של הארגון חייבות להיות דינמיות ומתעדכנות בהתאם להתפתחויות בשטח. הערכה מחדש של איומים, ניתוח מקרים והפקת לקחים מכל אירוע חירום הם שלבים חיוניים לשיפור מתמיד ולהבטחת המשכיות. תוכנית גמישה המאפשרת מענה לאירועים לא צפויים היא המפתח להתמודדות מוצלחת עם משברים. ניהול סיכונים מתוכנן בקפידה ומתואם למציאות הביטחונית המורכבת הוא הכרחי להישרדות, ולמעשה יכול להוות גם מפתח לצמיחה עתידית של הארגון בשוק.