Perlindungan masyarakat Pedoman untuk manajemen kesiapsiagaan insiden dan kontinuitas operasional

SNI ISO/PAS 22399:2012

Perlindungan masyarakat – Pedoman untuk manajemen kesiapsiagaan insiden dan kontinuitas operasional (ISO/PAS 22399:2007, IDT)

ICS 13.200

Badan Standardisasi Nasional

“Hak Cipta Badan Standardisasi Nasional, Copy standar ini dibuat untuk penayangan di www.bsn.go.id dan tidak untuk di komersialkan”

Standar Nasional Indonesia

Hak cipta dilindungi undang-undang. Dilarang menyalin atau menggandakan sebagian atau seluruh isi dokumen ini dengan cara dan dalam bentuk apapun dan dilarang mendistribusikan dokumen ini baik secara elektronik maupun tercetak tanpa izin tertulis dari BSN BSN Gd. Manggala Wanabakti Blok IV, Lt. 3,4,7,10. Telp. +6221-5747043 Fax. +6221-5747045 Email: [email protected] www.bsn.go.id Diterbitkan di Jakarta


© BSN 2012


Daftar isi.....................................................................................................................................i Prakata .....................................................................................................................................ii Pendahuluan............................................................................................................................ iii 1 Ruang lingkup.................................................................................................................... 1 2 Acuan normatif................................................................................................................... 2 3 Istilah dan definisi .............................................................................................................. 2 4 Umum .............................................................................................................................. 12 5 Kebijakan ......................................................................................................................... 14 6 Perencanaan ................................................................................................................... 19 7 Penerapan dan operasi ................................................................................................... 31 8 Penilaian Kinerja.............................................................................................................. 38 9 Tinjauan manajemen ....................................................................................................... 43 Lampiran A (informatif) Prosedur analisis dampak............................................................... 44 Lampiran B (informatif) Program manajemen tanggap darurat ............................................. 50 Lampiran C (informatif) Program manajemen kontinuitas .................................................... 53 Lampiran D (informatif) Membangun budaya kesiapsiagaan insiden dan kontinuitas operasional .......................................................................................................... 57 Bibliografi ............................................................................................................................... 59 Gambar 1 - Konsep kesiapsiagaan insiden dan IPOCM .........................................................iv Gambar 2 - Diagram alir kesiapsiagaan insiden dan kontinuitas operasi.............................. 14 Gambar A.1 - Diagram alir analisis dampak .......................................................................... 49

© BSN 2012

i


Daftar isi


Standar Nasional Indonesia (SNI) ini dengan judul Perlindungan masyarakat – Pedoman untuk manajemen kesiapsiagaan insiden dan kontinuitas operasional, merupakan adopsi identik dari ISO/PAS 22399:2007 dengan judul Societal security – Guideline for incident preparedness and operational continuity management dengan cara terjemahan dua bahasa (bilingual). Standar ini disusun oleh Panitia Teknis 13-08, Penanggulangan Bencana. Standar ini telah dikonsensuskan di Jakarta, pada tanggal 8 Desember 2011. Konsensus ini dihadiri oleh para pemangku kepentingan (stakeholder) terkait yaitu perwakilan dari produsen, konsumen, pakar dan pemerintah. Dalam standar ini istilah “ISO/PAS” diganti dengan “SNI ISO/PAS”, dan istilah “International Standards” diganti dengan “Standar”. Apabila pengguna menemukan keraguan dalam standar ini maka disarankan untuk melihat standar aslinya yaitu ISO/PAS 22399:2007 (E) dan/atau dokumen terkait lain yang menyertainya.

© BSN 2012

ii


Prakata


Introduction

Pedoman kesiapsiagaan insiden dan kontinuitas operasional ini menetapkan proses, prinsip dan terminologi dari manajemen kesiapsiagaan insiden dan kontinuitas operasional (Incident Preparedness and Operational Continuity Management (IPOCM) dalam konteks perlindungan masyarakat. Tujuan pedoman ini adalah untuk menyiapkan dasar pemahaman, pengembangan dan pelaksanaan kesiapsiagaan insiden dan kontinuitas operasional dari suatu organisasi dan untuk meningkatkan rasa percaya diri organisasi tersebut dalam berhubungan dengan masyarakat, organisasi lainnya serta para pelanggannya. Pedoman ini merupakan alat bagi organisasi publik atau swasta dalam mempertimbangkan berbagai faktor serta langkah-langkah yang diperlukan untuk kesiapsiagaan insiden baik yang tidak disengaja, disengaja, atau secara alami yang menyebabkan insiden (gangguan, darurat, krisis atau bencana) sehingga mampu mengelola dan bertahan terhadap insiden tersebut serta dapat mengambil tindakan yang tepat untuk kelangsungan hidup organisasi. Dengan pedoman ini, organisasi dapat mengukur kemampuan IPOCM-nya secara konsisten dan tepercaya. Pedoman ini memberikan kerangka kerja umum yang dapat diberlakukan untuk segala jenis dan ukuran organisasi serta kondisi geografis, budaya, ekonomi, nasional, politik dan sosial yang beragam.

This incident preparedness and operational continuity guideline establishes the process, principles and terminology of incident preparedness and operational (business) continuity management (IPOCM) within the context of societal security. The purpose of this guideline is to provide a basis for understanding, developing and implementing incident preparedness and operational continuity within an organization and to provide confidence in organization-to-community, business-to-business and organization-tocustomer/client dealings. The guideline is a tool to allow public or private organizations to consider the factors and steps necessary to prepare for an unintentionally, intentionally, or naturally caused incident (disruption, emergency, crisis or disaster) so that it can manage and survive the incident and take the appropriate actions to help ensure the organization's continued viability. It also enables the organization to measure its IPOCM capability in a consistent and recognized manner. This guideline provides a generic framework applicable to all types and sizes of organizations enabling consideration of diverse geographical, cultural, economic, national, political and social conditions.

Pemangku kepentingan menghendaki agar organisasi secara proaktif siap menghadapi potensi gangguan dan insiden untuk menghindari tertundanya operasi dan layanan, atau jika operasi dan layanannya terganggu organisasi mampu melanjutkan secepat mungkin, seperti yang ditunjukkan pada Gambar 1. IPOCM merupakan proses manajemen holistik yang mengidentifikasi potensi yang mengancam organisasi dan menyediakan kerangka kerja untuk meminimalkan dampaknya.

Interested parties and stakeholders require that organizations proactively prepare for potential incidents and disruptions in order to avoid suspension of critical operations and services, or if operations and services are disrupted, that they resume operations and services as rapidly as required by those who depend on them, as shown in Figure 1. IPOCM is a holistic management process that identifies potential impacts that threaten an organization and provides a framework for minimizing their effect.

© BSN 2012

iii


Pendahuluan


Figure 1 - Concept of incident preparedness and IPOCM

Pemulihan Kesinambungan Level operasional

Tanggap darurat Kesiapsiagaan/ pencegahan

INSIDEN Mempersingkat periode gangguan Mengurangi dampak insiden

Waktu

Kunci 1 setelah penerapan IPOCM 2 sebelum penerapan IPOCM

Gambar 1 - Konsep kesiapsiagaan insiden dan IPOCM

© BSN 2012

iv


Key 1 after introduction implementation of IPOCM 2 before introduction implementation of IPOCM


This Publicly Available Specification provides a comprehensive set of controls based on IPOCM best practice and covers the whole IPOCM lifecycle. It is intended for use by anyone with responsibility for public or private sector organization operations, from directors and executives through all levels of the organization; from those with a single site to those with a global presence; from small and medium enterprises (SMEs) to organizations employing thousands of people. It is therefore applicable to anybody who holds responsibility for any operation, and thus the continuity of that operation. For purposes of this guide, operational continuity is the more general term for business continuity and is used to emphasize relevance to all types of organizations in the public and private sectors.

Pedoman ini merinci tentang perencanaan terpadu dan proses manajemen yang membantu organisasi secara proaktif untuk

This guideline details integrated planning and management processes that proactively help organizations to

—

memahami lingkungan tempat organisasi beroperasi, kendala yang ada dan ancaman yang dapat mengakibatkan gangguan yang signifikan;

—

understand the environment within which the organization operates, the existence of constraints, and threats to the organization that could result in a significant disruption;

—

mengukur dampak akibat gangguan pada fungsi vital dari suatu operasi atau proses bisnis;

—

quantify the impact of a disruption on critical operational (business) functions and processes;

—

menentukan bagian dari operasi dan bisnis vital untuk keberhasilan jangka pendek maupun jangka panjang;

—

determine the parts of the operations and business that are critical to its short- and long-term success;

—

mengidentifikasi infrastruktur dan sumber daya yang dibutuhkan sehingga memungkinkan organisasi terus beroperasi pada tingkat aman

—

identify the infrastructure and resources required to enable the organization to continue to operate at a minimum acceptable level;

—

mendokumentasikan sumber daya utama, infrastruktur, tugas dan tanggung jawab, yang dibutuhkan untuk mendukung fungsi yang vital untuk tetap beroperasi dalam hal terjadi gangguan;

—

document the key resources, infrastructure, tasks and responsibilities, required to support these critical operational functions in the event of a disruption;

—

menetapkan proses yang dapat menjamin informasi tetap mengalir dan tetap relevan dengan risiko dan lingkungan operasional yang berubah;

—

establish processes that ensure the information remains current and relevant to the changing risk and operational environments;

© BSN 2012

v


Pedoman ini berisi seperangkat alat kontrol berdasarkan pengalaman praktek IPOCM terbaik dan mencakup seluruh siklus IPOCM. Pedoman ini dimaksudkan untuk digunakan oleh siapa saja dalam organisasi, yang bertanggung jawab di sektor publik atau swasta, dari direksi dan eksekutif sampai semua tingkat organisasi; dari organisasi yang hanya memiliki satu lokasi sampai dengan yang memiliki cabang di seluruh dunia; dari usaha kecil dan menengah (UKM) sampai organisasi yang mempekerjakan ribuan orang. Oleh karena itu berlaku bagi siapapun yang bertanggung jawab untuk operasi yang berkesinambungan. Dalam pedoman ini kontinuitas operasional merupakan istilah lebih umum bagi kelangsungan usaha, dan digunakan untuk menekankan keterkaitan dengan semua jenis organisasi di sektor publik dan swasta.


memastikan bahwa karyawan, pelanggan, pemasok dan pemangku kepentingan lainnya menyadari adanya pengaturan kesiapsiagaan dan kontinuitas dan lebih percaya diri dalam pelaksanaannya;

—

ensure that relevant employees, customers, suppliers and other stakeholders are aware of the preparedness and continuity arrangements and, where appropriate, have confidence in their application;

—

menemukan solusi yang sesuai dan melakukan perbaikan secara terusmenerus.

—

implement solutions accordingly and provide for their continual improvement.

IPOCM yang efektif memerlukan perubahan budaya yang mendasar dalam organisasi termasuk penerimaan ketidakpastian dan ketidaksempurnaan. Semua tingkat organisasi perlu menghargai risiko yang melekat dalam setiap keputusan dan kegiatan, dan bahwa proporsi risiko ini memiliki potensi untuk menciptakan gangguan. Semua tingkat organisasi perlu mempertimbangkan cara mengelola gangguan kegiatan tersebut.

It is important to recognize that effective IPOCM requires a fundamental cultural change within the organization including an acceptance of uncertainty and imperfection. All levels of an organization need to appreciate that risk is inherent in every decision and activity, and that a proportion of this risk has the potential to create disruption. People at all levels of an organization, therefore, need to consider how they will manage such disruptions to their activities.

Dengan pedoman IPOCM ini organisasi sektor publik atau swasta dapat menilai dan mengelola risiko dengan tujuan memastikan ketahanan dan kinerja organisasi dalam jangka panjang. Pedoman ini tidak menetapkan aplikasi dengan model tertentu. Terdapat berbagai model dan metodologi, yang memadukan kesiapsiagaan insiden dan kontinuitas operasional ke dalam pelaksanaan bisnis dan operasi keseluruhan organisasi, sehingga membuat organisasi lebih efisien dan kompetitif, serta mampu memenuhi tantangan. Pedoman ini berisi seperangkat alat identifikasi dan solusi dari masalah yang dapat diimplementasikan oleh organisasi dalam berbagai cara, tergantung pada kegiatan dan kebutuhan. Dengan menggabungkan proses berbasis risiko sistematis yang dinamis ke dalam manajemen insiden dan kontinuitas, organisasi akan dapat mengambil keputusan yang sesuai dengan sumber daya. Model yang dipilih harus dapat menanamkan budaya organisasi yang mendorong perbaikan berkesinambungan.

This IPOCM guideline enables a public or private sector organization to assess and manage risk with the goal of assuring organizational resilience and long-term performance. It does not prescribe any particular model for application. There are various recognized models and methodologies which weave incident preparedness and operational continuity decision-making into the fabric of an organization's overall operational and business practices, making the organization more efficient, more competitive, and better able to meet important challenges, This guideline provides a set of problem identification and problem-solving tools that can be implemented by any organization in many different ways, depending on its activities and needs. By incorporating a dynamic systematic risk-based process into incident and continuity management, organizations can make informed decisions tailored to their resources. The model chosen should instill an organizational culture that drives continual improvement.

Biasanya, model manajemen meliputi beberapa unsur yang umum antara lain: kebijakan, perencanaan, pelaksanaan dan operasi, penilaian kinerja, perbaikan dan

Typically, management models include several common elements: policy, planning, implementation and operation, performance assessment, improvement

© BSN 2012

vi


—


and management review. This Publicly Available Specification provides guidance on addressing these common elements when developing and implementing a management model that addresses the specific needs of the organization and its place in the community.

Seluruh tindakan IPOCM harus diambil untuk berbagai model manajemen atau metodologi yang dipilih. IPOCM secara langsung berkaitan dengan organisasi pemerintahan dan menetapkan praktek manajemen yang baik. IPOCM menetapkan kerangka kerja strategis dan operasional untuk menerapkan ketahanan organisasi terhadap gangguan atau kehilangan dalam memasok produk dan jasa. Seharusnya ukuran yang dipakai tidak diambil sesaat setelah terjadinya kejadian. IPOCM membutuhkan perencanaan di banyak sisi dari suatu organisasi, oleh karena itu ketahanannya tergantung pada manajemen atau staf operasional, ataupun teknologi, dan memerlukan pendekatan holistik dalam menetapkan model IPOCM atau metodologinya.

Whichever management model or methodology is chosen, the full set of IPOCM actions should be adopted. IPOCM is directly linked to organizational governance and establishes good management practice. IPOCM establishes a strategic and operational framework to implement, proactively, an organization's resilience to disruption, interruption, or loss in supplying its products and services. It should not be a purely reactive measure taken after an incident has occurred. IPOCM requires planning across many facets of an organization; therefore its resilience depends equally on its management and operational staff, as well as technology, and requires a holistic approach to be taken in establishing the IPOCM model or methodology.

Penerapan dan pelaksanaan berbagai teknik IPOCM secara sistematis dapat memberikan hasil yang optimal bagi semua pihak yang terkait. Namun, mengadopsi pedoman ini tidak dengan sendirinya akan menjamin kesiapsiagaan dan kontinuitas operasional yang optimal. Untuk mencapai kesiapsiagaan dan kontinuitas operasional, program IPOCM harus mendorong organisasi untuk memanfaatkan pengalaman praktek terbaik yang ada, sesuai dengan teknologi serta ekonomis.

The adoption and implementation of a range of IPOCM techniques in a systematic manner can contribute to optimal outcomes for all interested and affected parties. However, adoption of this guideline will not itself guarantee optimal preparedness and continuity outcomes. In order to achieve preparedness and continuity objectives, the incident preparedness and operational continuity program should encourage organizations to consider implementation of the best available practices, techniques, and technologies, where appropriate and where economically viable. The costeffectiveness of such practices, techniques, and technologies should be taken fully into account.

IPOCM membutuhkan koordinasi dan kolaborasi berbagai institusi di sektor publik maupun swasta (seperti pejabat pemerintah dan publik di berbagai tingkatan, bisnis dan industri, organisasi non-pemerintah dan warga negara secara individu). Masing-masing institusi memiliki fokus sendiri, misi yang unik dan tanggung

IPOCM requires the coordination and collaboration of many different entities in the public and private sectors (such as government and public authorities at various levels, business and industry, nongovernmental organizations and individual citizens). Each of these entities has its own focus, unique missions and

© BSN 2012

vii


tinjauan manajemen. Pedoman ini berisi panduan untuk penempatan unsur umum ketika mengembangkan dan menerapkan model manajemen yang membahas kebutuhan spesifik organisasi dan penerapannya dalam masyarakat.


responsibilities, varied resources and capabilities, and operating principles and procedures. It should be recognized that the key IPOCM program elements relate to and interact with the functions and interests of different entities that may be involved in an incident. Therefore, the key program areas should be considered within the context of all the entities impacted and their relationship to the IPOCM program.

Respon organisasi terhadap risiko, yang bertujuan untuk meminimalkan dampak dan mengurangi kerugian sosial, harus didorong dan dihargai tanggung jawab sosialnya. Ketika terjadi suatu gangguan, organisasi harus bekerjasama dengan organisasi lainnya dalam mengalokasikan sumber daya manusia maupun fisik, karena sumber daya yang diperlukan untuk tanggap darurat dan pemulihan kemungkinan langka karena tidak terdistribusi secara optimal. Organisasi sebaiknya aktif berkontribusi pada masyarakat melalui upaya kerja sama dengan warga setempat, pemerintah daerah, dll. dengan berpartisipasi dalam kegiatan penunjang untuk menyelamatkan kehidupan manusia dan memasok kebutuhan. Organisasi juga perlu berkolaborasi dan bekerja sama dengan masyarakat responden pertama, para pihak yang berkepentingan serta mitranya dalam aspek kemanusian dan fisik.

An organization's response to risks, which aims at minimizing their impacts and reducing social loss, should be promoted and recognized as its social responsibility. When a disruptive incident occurs, an organization should understand that cooperation with other organizations in allocating human and physical resources is essential for its own operational continuity because resources required for emergency response and restoration may be scarce or not optimally distributed. An organization should make an active contribution to community through a cooperative effort with citizens, local governments, etc. by participating in supportive activities to rescue human lives and to offer supplies. It is also necessary for an organization to collaborate and cooperate with the first responder community and its stakeholders and partners in human and physical aspects.

Organisasi dapat membatasi ruang lingkup pelaksanaan dari pedoman ini dengan membatasi penerapannya terhadap suatu hal atau layanan tertentu, atau lokasi geografis tertentu. Setiap pembatasan tersebut harus didokumentasikan.

An organization may chose to limit the scope of their implementation of the guideline elements by restricting its application to specific products, services or one or more geographic locations. Any such limitation in scope should be documented.

Pedoman ini tidak menetapkan persyaratan mutlak untuk kesiapsiagaan insiden dan kontinuitas kinerja operasional di luar komitmen, untuk memenuhi persyaratan hukum dan persyaratan lain yang berlaku, risiko yang proaktif dan pencegahan gangguan, serta untuk perbaikan berkelanjutan. Pedoman ini telah mengadopsi sistem untuk perbaikan berkesinambungan, tetapi tidak dimaksudkan untuk digunakan sebagai

It should be noted that this guideline does not establish absolute requirements for incident preparedness and operational continuity performance beyond commitments, in the policy statement, to comply with applicable legal requirements and with other requirements to which the organization subscribes, proactive risk and incident/disruption prevention, and to continual improvement. This guideline has adopted a system for continual

© BSN 2012

viii


jawab, sumber daya dan kemampuan yang bervariasi, dan prinsip operasi serta prosedur. Unsur utama program IPOCM berhubungan dan berinteraksi dengan fungsi serta kepentingan institusi yang berbeda, yang mungkin terlibat dalam suatu insiden yang sama. Oleh karena itu, program utama harus dipertimbangkan dalam kaitannya dengan semua institusi yang terkena dampak dan hubungannya dengan program IPOCM.


© BSN 2012

ix


improvement, but it is not intended to be used as third-party certification/registration criteria.

sertifikasi atau kriteria pendaftaran bagi pihak ketiga.


1

Ruang lingkup

1

Scope

Pedoman ini berisi panduan umum bagi organisasi (baik swasta, pemerintah, maupun non-pemerintah) yang akan mengembangkan sendiri kriteria kinerja bagi manajemen kesiapsiagaan insiden dan kontinuitas operasional, serta mendesain sistem manajemen yang sesuai. Pedoman ini berisi dasar untuk memahami, mengembangkan dan menerapkan kontinuitas operasi dan layanan organisasi, dan memberikan rasa percaya diri dalam interaksi-interaksi bisnis, masyarakat, pelanggan, responden pertama dan organisasi. Dengan pedoman ini organisasi juga dapat mengukur ketahanannya secara konsisten dan tepercaya.

This guideline provides general guidance for an organization — private, governmental, and non-governmental organizations — to develop its own specific performance criteria for incident preparedness and operational continuity, and design an appropriate management system. It provides a basis for understanding, developing and implementing continuity of operations and services within an organization and to provide confidence in business, community, customer, first responder and organizational interactions. It also enables the organization to measure its resilience in a consistent and recognized manner

Pedoman ini berlaku untuk semua ukuran organisasi umum atau swasta yang terlibat dalam penyediaan produk, proses, atau layanan yang berkeinginan untuk:

This guideline is applicable to all sizes of public or private organizations engaged in providing products, processes, or services that wishes to:

—

—

memahami seluruh konteks yang terkait dengan operasi organisasi; mengidentifikasi tujuan vital;

—

—

understand the overall context within which the organization operates; identify critical objectives;

—

memahami hambatan, risiko, dan gangguan yang dapat menghambat tujuan vital;

—

understand barriers, risks, and disruptions that may impede critical objectives;

—

mengevaluasi risiko tersisa dan toleransi risiko untuk memahami hasil pengendalian dan strategi mitigasi;

—

evaluate residual risk and risk tolerance to understand outcomes of controls and mitigation strategies;

—

merencanakan cara organisasi untuk dapat terus mencapai tujuannya jika terjadi insiden yang mengganggu;

—

plan how an organization can continue to achieve its objectives should a disruptive incident occur;

—

mengembangkan prosedur insiden, tanggap darurat, pemulihan dan kontinuitas respons;

—

develop incident and emergency response, continuity response and recovery response procedures;

—

mendefinisikan peran, tanggung jawab, dan sumber daya untuk merespons suatu insiden;

—

define roles and responsibilities, and resources to respond to an incident;

© BSN 2012

1 dari 59


Perlindungan masyarakat – Pedoman untuk manajemen kesiapsiagaan insiden dan kontinuitas operasional


memenuhi kepatuhan terhadap persyaratan hukum, peraturan, dan persyaratan lain yang berlaku;

—

meet compliance with applicable legal, regulatory, and other requirements;

—

memberikan bantuan timbal balik dan bantuan masyarakat;

—

provide mutual and community assistance;

—

melakukan mediasi dengan responden pertama dan media;

—

interface with first responders and the media;

—

membantu perubahan budaya dalam organisasi yang menyadari bahwa risiko selalu ada dalam setiap keputusan dan aktifitas, dan harus dikelola secara efektif.

—

Promote a cultural change within the organization that recognizes that risk is inherent in every decision and activity, and must be effectively managed.

Pedoman ini menyajikan prinsip-prinsip umum dan dasar untuk kesiapsiagaan insiden dan kontinuitas operasional organisasi. Luasnya aplikasi akan tergantung pada faktor-faktor seperti kebijakan organisasi, sifat kegiatan, produk dan layanan, lokasi dan kondisi tempat organisasi berfungsi.

This guideline presents the general principles and elements for incident preparedness and operational continuity of an organization. The extent of the application will depend on factors such as the policy of the organization, the nature of its activities, products and services, and the location where and the conditions under which it functions.

Namun, ruang lingkup pedoman ini tidak mencakup kegiatan tanggap darurat khusus setelah terjadi suatu insiden, seperti bantuan bencana dan pemulihan infrastruktur sosial yang terutama harus dilakukan oleh sektor publik sesuai dengan peraturan yang relevan. Namun, koordinasi dengan kegiatan tersebut perlu dipelihara dan didokumentasikan

The scope of this guideline, however, excludes specific emergency response activities following an incident, such as disaster relief and social infrastructure recovery that are primarily to be performed by the public sector in accordance with relevant legislation. It is important, however, that coordination with these activities be maintained and documented.

2

2

Acuan normatif

Normative references

Dokumen acuan berikut ini sangat diperlukan untuk penerapan pedoman ini. Untuk acuan bertanggal, hanya edisi yang disebutkan yang berlaku. Untuk acuan tidak bertanggal, edisi terakhir dari dokumen tersebut (termasuk amandemennya) yang berlaku.

The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies.

ISO/IEC Guide 73:2002, Risk management — Vocabulary — Guidelines for use in standards.

ISO/IEC Guide 73:2002, Risk management — Vocabulary — Guidelines for use in standards.

3

3 Terms and definitions For the purposes of this document, the terms and definitions given in ISO/IEC Guide 73 and the following definitions apply.

Istilah dan definisi

Dalam pedoman ini berlaku istilah dan definisi yang ada dalam ISO/IEC Guide 73 dan definisi berikut ini.

© BSN 2012

2 dari 59


—


3.1 critical activity any function or process that is essential for the organization to deliver its products and/or services

3.2 konsekuensi akibat dari suatu kejadian

3.2 consequence outcome of an event

CATATAN 1 Satu kejadian bisa mengakibatkan lebih dari satu konsekuensi. CATATAN 2 Konsekuensi dapat bervariasi dari positif ke negatif.

NOTE 1 There can be more than one consequence from one event.

CATATAN 3 Konsekuensi dapat dinyatakan secara kualitatif atau kuantitatif.

NOTE 3 Consequences can be expressed qualitatively or quantitatively.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.3 krisis setiap kejadian, disebabkan oleh manusia atau alam, yang membutuhkan perhatian dan tindakan mendesak untuk melindungi nyawa manusia, harta benda, atau lingkungan

3.3 crisis any incident(s), human-caused or natural, that require(s) urgent attention and action to protect life, property, or environment

3.4 bencana peristiwa yang menyebabkan kerusakan atau kerugian besar

3.4 disaster event that causes great damage or loss

3.5 gangguan kejadian, terantisipasi (misalnya badai) atau tidak terantisipasi (misalnya pemadaman atau gempa bumi) yang mengganggu kegiatan normal di lokasi suatu organisasi

3.5 disruption incident, whether anticipated (e.g. hurricane) or unanticipated (e.g. a blackout or earthquake) which disrupts the normal course of operations at an organization location

CATATAN Gangguan dapat disebabkan baik oleh faktor positif atau negatif yang akan mengganggu operasi normal.

NOTE A disruption can be caused by either positive or negative factors that will disrupt normal operations.

3.6 darurat kejadian mendadak, mendesak, yang biasanya tak terduga atau peristiwa yang memerlukan tindakan segera

3.6 emergency sudden, urgent, usually unexpected occurrence or event requiring immediate action

CATATAN Suatu keadaan darurat biasanya suatu kejadian atau kondisi mengganggu yang sering dapat diantisipasi atau disiagakan tapi jarang tepat diramalkan.

NOTE An emergency is usually a disruptive event or condition that can often be anticipated or prepared for but seldom exactly foreseen.

© BSN 2012

NOTE 2 Consequences can range from positive to negative.

3 dari 59


3.1 kegiatan vital setiap fungsi atau proses yang sangat penting bagi organisasi dalam memberikan produk dan/atau layanan


3.7 exercising evaluating IPOCM programs, rehearsing the roles of team members and staff and testing the recovery or continuity of an organization's systems (e.g. technology, telephony, administration) to demonstrate IPOCM competence and capability

CATATAN 1 Latihan meliputi kegiatan yang dilakukan untuk tujuan pelatihan dan pengkondisian anggota tim dan personil dalam memberikan respons yang sesuai dengan tujuan pencapaian kinerja maksimal.

NOTE 1 Exercises include activities performed for the purpose of training and conditioning team members and personnel in appropriate responses with the goal of achieving maximum performance.

CATATAN 2 Suatu latihan dapat melibatkan penggunaan prosedur kontinuitas operasi, tetapi lebih cenderung melibatkan simulasi sebuah insiden kontinuitas operasi, diumumkan atau mendadak, yang pesertanya memainkan peran untuk menilai masalah yang mungkin timbul, sebelum benar-benar terjadi.

NOTE 2 An exercise can involve invoking operational continuity procedures, but is more likely to involve the simulation of an operational continuity incident, announced or unannounced, in which participants roleplay in order to assess what issues might arise, prior to a real invocation.

3.8 event (kejadian) terjadinya serangkaian tertentu

3.8 event occurrence of circumstances

CATATAN 1 pasti.

situasi/keadaan

Kejadian bisa pasti atau tidak

NOTE 1 The uncertain.

a

event

particular can

be

set certain

of or

CATATAN 2 Kejadian dapat berupa kejadian tunggal atau serangkaian kejadian.

NOTE 2 The event can be a occurrence or a series of occurrences.

CATATAN 3 Probabilitas kejadian dapat diperkirakan untuk jangka waktu tertentu.

NOTE 3 The probability associated with the event can be estimated for a given period of time.

3.9 bahaya kondisi fisik atau operasi, yang memiliki kapasitas untuk menghasilkan jenis efek tertentu yang tidak diinginkan atau tidak menyenangkan

3.9 hazard possible source of danger, or conditions physical or operational, that have a capacity to produce a particular type of adverse effects

3.10 dampak konsekuensi dari akibat tertentu

3.10 impact evaluated consequence of a particular outcome

© BSN 2012

4 dari 59

single


3.7 latihan mengevaluasi program IPOCM, melatih peran anggota tim dan staf dan menguji pemulihan atau kontinuitas dari sistem organisasi (misalnya teknologi, telepon, administrasi) untuk menunjukkan kompetensi dan kemampuan IPOCM


3.12 insiden peristiwa yang mungkin atau dapat menyebabkan sebuah gangguan operasi, kekacauan, kehilangan, kedaruratan atau krisis

3.11 impact analysis process of analyzing all operational functions and the effect that an operational interruption might have upon them 3.12 incident event that might be, or could lead to, an operational interruption, disruption, loss, emergency or crisis

3.13 rencana manajemen insiden rencana tindakan yang jelas terdefinisi dan terdokumentasi untuk digunakan pada saat terjadi insiden atau gangguan, yang biasanya meliputi personil kunci, sumber daya, layanan dan tindakan yang diperlukan untuk melaksanakan proses manajemen insiden

3.13 incident management plan clearly defined and documented plan of action for use at the time of an incident or disruption, typically covering the key personnel, resources, services and actions needed to implement the incident management process

3.14 kesiapsiagaan insiden kegiatan, program, dan sistem yang dikembangkan dan dilaksanakan sebelum suatu kejadian yang dapat digunakan untuk mendukung dan meningkatkan mitigasi, respons dan pemulihan gangguan, bencana, atau keadaan darurat

3.14 incident preparedness activities, programs, and systems developed and implemented prior to an incident that may be used to support and enhance mitigation of, response to, and recovery from disruptions, disasters, or emergencies

3.15 manajemen kesiapsiagaan insiden dan kontinuitas operasional IPOCM kegiatan dan tindakan sistematis dan terkoordinasi oleh organisasi untuk mengelola risiko secara optimal, dan potensi ancaman serta dampaknya yang ditimbulkan

3.15 incident preparedness and operational continuity management IPOCM systematic and coordinated activities and practices through which an organization optimally manages its risks, and the associated potential threats and impacts there from

3.16 kebijakan IPOCM keseluruhan maksud dan arah organisasi, yang terkait dengan kesiapsiagaan insiden dan kontinuitas operasi, yang dinyatakan secara resmi oleh manajemen puncak

3.16 IPOCM policy overall intentions and direction of an organization, related to its incident preparedness and operational continuity, as formally expressed by top management 3.17 mitigation limitation of any negative consequence of a particular incident

3.17 mitigasi pembatasan konsekuensi suatu kejadian tertentu

© BSN 2012

negatif

dari

5 dari 59


3.11 analisis dampak proses menganalisis semua fungsi operasi dan efek yang mungkin timbul akibat suatu gangguan operasi.


3.18 mutual aid agreement pre-arranged agreement developed between two or more entities to render assistance to the parties of the agreement

3.19 kontinuitas operasional OC kemampuan strategis dan taktis, yang disetujui sebelumnya oleh manajemen suatu organisasi untuk merencanakan dan merespons kondisi, situasi dan peristiwa untuk dapat melanjutkan operasi pada tingkat yang dapat diterima

3.19 operational continuity OC strategic and tactical capability, preapproved by management, of an organization to plan for and respond to conditions, situations and events in order to continue operations at an acceptable predefined level

CATATAN Kontinuitas operasional adalah istilah yang lebih umum untuk kontinuitas bisnis. Istilah ini tidak hanya berlaku untuk perusahaan pencari-keuntungan, namun bagi semua bentuk organisasi, seperti organisasi non-pemerintah, kepentingan publik, dan pemerintah.

NOTE Operational continuity is the more general term for business continuity. It applies not only to for-profit companies, but organizations of all natures, such as non governmental, public interest, and governmental organizations.

3.20 manajemen kontinuitas operasional OCM proses manajemen menyeluruh yang mengidentifikasi dampak potensial yang mengancam suatu organisasi dan menyediakan suatu kerangka kerja untuk membangun ketahanan yang mampu merespons secara efektif guna menjaga keselamatan para pemangku kepentingan, reputasi, merek dan kegiatan yang menciptakan nilai.

3.20 operational continuity management OCM holistic management process that identifies potential impacts that threaten an organization and provides a framework for building resilience with the capability for an effective response that safeguards the interests of its key stakeholders, reputation, brand and value-creating activities

CATATAN manajemen kontinuitas operasional juga melibatkan manajemen pemulihan atau kontinuitas insiden, serta manajemen program secara keseluruhan melalui pelatihan, gladi, dan kaji ulang, untuk memastikan rencana kontinuitas operasional tetap berjalan dan mutakhir.

NOTE Operational continuity management also involves the management of recovery or continuity in the event of an incident, as well as management of the overall program through training, rehearsals, and reviews, to ensure the operational continuity plan stays current and up-to-date.

3.21 program manajemen kontinuitas operasional manajemen dan proses tata kelola yang didukung oleh manajemen puncak dan sumber daya, untuk memastikan langkahlangkah yang perlu diambil yakni mengidentifikasi dampak potensi kerugian, menjaga rencana dan strategi pemulihan agar berjalan terus, dan menjamin kelangsungan fungsi/produk/layanan melalui latihan, gladi, pengujian, pelatihan,

3.21 operational continuity management program ongoing management and governance process supported by top management and resourced to ensure that the necessary steps are taken to identify the impact of potential losses, maintain viable recovery strategies and plans, and ensure continuity of functions/products/services through exercising, rehearsal, testing,

© BSN 2012

6 dari 59


3.18 perjanjian bantuan timbal balik perjanjian yang diatur sebelumnya antara dua pihak atau lebih untuk memberikan bantuan kepada para pihak dalam perjanjian tersebut


training, maintenance and assurance

3.22 tim manajemen kontinuitas operasional sekelompok orang yang secara fungsional bertanggung jawab untuk mengarahkan pengembangan dan pelaksanaan rencana kontinuitas operasi, menyatakan keadaan darurat/situasi krisis dan memberikan arahan selama proses pemulihan, baik pra- maupun pasca insiden

3.22 operational continuity management team group of individuals functionally responsible for directing the development and execution of the operational continuity plan, declaring an emergency/crisis situation and providing direction during the recovery process, both pre-and postdisruptive incident

CATATAN Tim manajemen kontinuitas operasional dapat mencakup individu dari organisasi maupun responden langsung dan pertama, para pemangku kepentingan, dan pihak-pihak lain yang berminat.

NOTE The operational management team may include from the organizations as well as and first responders, stakeholders, interested parties.

3.23 rencana kontinuitas operasional OCP kumpulan dokumentasi prosedur dan informasi yang dikembangkan, dihimpun dan dirawat untuk siap digunakan dalam sebuah insiden

3.23 operational continuity plan OCP documented collection of procedures and information that is developed, compiled and maintained in readiness for use in an incident

3.24 strategi kontinuitas operasional pendekatan yang dilakukan oleh organisasi untuk memastikan pemulihan dan kesinambungannya dalam menghadapi gangguan, krisis atau penghentian utama lainnya (dalam pekerjaan).

3.24 operational continuity strategy approach by an organization that will ensure its recovery and continuity in the face of a disruptive event, crisis or other major outage

3.25 tim kontinuitas operasional kelompok individu yang bertanggung jawab untuk mengembangkan, melaksanakan, melatih, dan memelihara rencana kontinuitas operasional, termasuk proses dan prosedurnya 3.26 organisasi kelompok orang dan fasilitas dengan suatu pengaturan tanggung jawab, wewenang dan hubungan

3.25 operational continuity team group of individuals responsible for developing, executing, rehearsing, and maintaining the operational continuity plan, including the processes and procedures 3.26 organization group of people and facilities with an arrangement of responsibilities, authorities and relationships

CATATAN Suatu organisasi dapat berupa pihak pemerintah atau publik, perseroan, korporasi, firma, perusahaan, institusi, lembaga sosial, perdagangan tunggal atau asosiasi, atau bagian atau kombinasi daripadanya.

NOTE An organization can be a government or public entity, company, corporation, firm, enterprise, institution, charity, sole trade or association, or parts or combinations thereof.

© BSN 2012

7 dari 59

continuity individuals immediate and other


pemeliharaan dan jaminan.


3.27 prevention measures that enable an organization to avoid, preclude, or limit the impact of a disruption

3.28 probabilitas tingkat kemungkinan suatu peristiwa dapat terjadi

3.28 probability extent to which an event is likely to occur

CATATAN 1 ISO 3534-1:1993, definisi 1.1 memberikan definisi matematika probabilitas sebagai "bilangan nyata dalam skala dari 0 hingga 1 yang melekat pada peristiwa acak. Hal ini dapat berhubungan dengan frekuensi relatif jangka panjang dari kejadian atau tingkat keyakinan bahwa suatu peristiwa akan terjadi. Untuk tingkat kepercayaan tinggi, probabilitasnya mendekati 1."

NOTE 1 ISO 3534-1:1993, definition 1.1 gives the mathematical definition of probability as "a real number in the scale of 0 to 1 attached to a random event, It can be related to a long-run relative frequency of occurrence or to a degree of belief that an event will occur. For a high degree of belief, the probability is near 1.”

CATATAN 2 Frekuensi mungkin digunakan untuk menggambarkan ketimbang probabilitas.

dapat risiko

NOTE 2 Frequency rather than probability may be used to describe risk.

CATATAN 3 Derajat keyakinan tentang probabilitas dapat dipilih dengan menggunakan kelas atau peringkat, seperti

NOTE 3 Degrees of belief about probability can be chosen as classes or ranks, such as

— jarang/tidak pasti, atau

akan/sedang/akan/hampir

— luar biasa/tidak mungkin/jauh/kadangkadang/kemungkinan/sering.

— rare/unlikely/moderate/likely/almost certain, or — incredible/improbable/remote/occasional/pr obable/frequent.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.29 sasaran waktu pemulihan RTO

3.29 recovery time objective RTO

sasaran waktu untuk restorasi dan pemulihan fungsi atau sumber daya berdasarkan pada down time yang dapat diterima jika ada gangguan operasi

time goal for the restoration and recovery of functions or resources based on the acceptable down time in case of a disruption of operations

3.30 risiko sisa risiko yang masih ada setelah penanganan risiko

3.30 residual risk risk remaining after risk treatment

3.31 ketahanan kemampuan organisasi untuk melawan pengaruh dari suatu peristiwa

3.31 resilience ability of an organization to resist being affected by an event

3.32 program respon rencana, proses, dan sumber daya untuk melakukan kegiatan dan layanan yang diperlukan untuk menjaga dan melindungi

3.32 response program plan, processes, and resources to perform the activities and services necessary to preserve and protect life,

© BSN 2012

8 dari 59


3.27 pencegahan tindakan yang memungkinkan suatu organisasi untuk menghindari, mencegah, atau membatasi dampak gangguan


property, operations, and critical assets.

CATATAN Tahapan respon umumnya meliputi pengenalan insiden, pemberitahuan, penilaian, pernyataan, pelaksanaan rencana, komunikasi, dan manajemen sumber daya.

NOTE Response steps generally include incident recognition, notification, assessment, declaration, plan execution, communications, and resources management.

3.33 risiko kombinasi dari probabilitas kejadian dan konsekuensi-konsekuensinya

3.33 risk combination of the probability of an event and its consequences

CATATAN 1 Istilah "risiko" umumnya digunakan hanya ketika setidaknya ada kemungkinan konsekuensi negatif.

NOTE 1 The term "risk" is generally used only when there is at least the possibility of negative consequences.

CATATAN 2 Dalam beberapa situasi, risiko timbul dari kemungkinan penyimpangan atas hasil atau peristiwa yang diharapkan.

NOTE 2 In some situations, risk arises from the possibility of deviation from the expected outcome or event.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.34 keberterimaan risiko keputusan untuk menerima risiko

3.34 risk acceptance decision to accept risk

CATATAN 1 Kata kerja "menerima" dipilih untuk menyampaikan ide bahwa keberterimaan memiliki arti kamus dasar.

NOTE 1 The verb "to accept" is chosen to convey the idea that acceptance has its basic dictionary meaning.

CATATAN 2 Keberterimaan tergantung pada kriteria risiko.

NOTE 2 Risk acceptance depends on the risk criteria.

risiko

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.35 penilaian risiko keseluruhan proses identifikasi, analisis dan evaluasi risiko.

3.35 risk assessment overall process of risk analysis and evaluation

CATATAN Penilaian risiko melibatkan proses identifikasi ancaman internal dan eksternal dan kerentanan, mengidentifikasi kemungkinan dari suatu peristiwa yang timbul dari ancaman atau kerentanan tersebut, mendefinisikan fungsi penting yang diperlukan untuk melanjutkan operasi organisasi, mendefinisikan pengendalian di tempat yang diperlukan untuk mengurangi paparan, dan mengevaluasi biaya kendali tersebut.

NOTE Risk assessment involves the process of identifying internal and external threats and vulnerabilities, identifying the likelihood of an event arising from such threats or vulnerabilities, defining critical functions necessary to continue the organization's operations, defining the controls in place necessary to reduce exposure, and evaluating the cost of such controls.

3.36 komunikasi risiko pertukaran atau berbagi informasi tentang risiko antara pembuat keputusan dan pemangku kepentingan lainnya

3.36 risk communication exchange or sharing of information about risk between the decision-maker and other stakeholders

CATATAN Informasi dapat terkait dengan keberadaan, sifat, bentuk, probabilitas, tingkat

NOTE The information can relate to the existence, nature, form, probability, severity,

© BSN 2012

9 dari 59

identification,


nyawa, harta benda, operasi, dan aset vital.


perlakuan

atau

acceptability, treatment or other aspects of risk.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.37 kriteria risiko kerangka acuan signifikansi risiko

3.37 risk criteria terms of reference by which significance of risk is assessed

untuk

mengkaji

the

CATATAN Kriteria risiko dapat mencakup biaya dan manfaat, persyaratan hukum dan statutori/perundang-undangan, aspek sosialekonomi dan lingkungan, perhatian para pemangku kepentingan, prioritas dan masukan lainnya untuk penilaian.

NOTE Risk criteria can include associated cost and benefits, legal and statutory requirements, socio-economic and environmental aspects, the concerns of stakeholders, priorities and other inputs to the assessment.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.38 manajemen risiko kegiatan terkoordinasi untuk mengarahkan dan mengendalikan suatu organisasi sehubungan dengan risiko

3.38 risk management coordinated activities to direct and control an organization with regard to risk

CATATAN Manajemen risiko secara umum mencakup penilaian risiko, penanganan risiko, keberterimaan risiko dan komunikasi risiko.

NOTE Risk management generally includes risk assessment, risk treatment, risk acceptance and risk communication.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.39 pengurangan risiko tindakan yang diambil untuk mengurangi probabilitas, konsekuensi negatif, atau keduanya, yang terkait dengan risiko

3.39 risk reduction actions taken to lessen the probability, negative consequences, or both, associated with a risk

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.40 alih risiko berbagi beban kerugian atau keuntungan atau manfaat dengan pihak lain, untuk suatu risiko

3.40 risk transfer sharing with another party the burden of loss or benefit or gain, for a risk

CATATAN 1 Persyaratan hukum atau perundang-undangan dapat membatasi, melarang atau mengamanatkan alih risiko tertentu.

NOTE 1 Legal or statutory requirements can limit, prohibit or mandate the transfer of certain risk.

CATATAN 2 Alih risiko dapat dilakukan melalui asuransi atau perjanjian lainnya.

NOTE 2 Risk transfer can be carried out through insurance or other agreements.

CATATAN 3 Alih risiko dapat menciptakan risiko baru atau memodifikasi risiko yang ada.

NOTE 3 Risk transfer can create new risks or modify existing risks.

CATATAN 4 Relokasi suatu pengalihan risiko.

[ISO/IEC Guide 73]

© BSN 2012

sumber

bukan NOTE 4 transfer.

Relocation of the source is not risk

[ISO/IEC Guide 73]

10 dari 59


keparahan, akseptabilitas, aspek risiko lainnya.


3.41 risk tolerance total amount of risk that an organization is prepared to accept, tolerate, or be exposed to at any point in time

3.42 penanganan risiko proses seleksi dan implementasi untuk memodifikasi risiko

3.42 risk treatment process of selection and implementation of measures to modify risk

CATATAN 1 Istilah "penanganan risiko" kadang digunakan untuk tindakan tersebut

NOTE 1 The term "risk treatment" is sometimes used for the measures themselves.

CATATAN 2 Upaya penanganan risiko dapat meliputi penghindaran, pengoptimalan, pengalihan atau pembatasan risiko.

NOTE 2 Risk treatment measures can include avoiding, optimizing, transferring or retaining risk.

[ISO/IEC Guide 73]

[ISO/IEC Guide 73]

3.43 latihan simulasi latihan yang dilakukan dengan sedapat mungkin dilaksanakan sesuai dengan kondisi sesungguhnya

3.43 simulation exercise test performed under conditions as close as practicable to real world conditions

3.44 sumber perihal atau kegiatan yang berpotensi menimbulkan suatu konsekuensi

3.44 source item or activity having a potential for a consequence

CATATAN Dalam konteks keselamatan, sumber adalah suatu bahaya.

NOTE In the context of safety, source is a hazard.

3.45 pemangku kepentingan (pihak berkepentingan) orang atau kelompok yang memiliki kepentingan demi kinerja atau keberhasilan organisasi

3.45 stakeholder (interested party) person or group having an interest in the performance or success of an organization

CATATAN Istilah ini meliputi orang-orang dan kelompok yang berkepentingan dengan aktifitas dan pencapaian organisasi, misalnya pelanggan, mitra, karyawan, pemegang saham, pemilik, masyarakat setempat, responden pertama, pemerintah dan pembuat regulasi.

NOTE The term includes persons and groups with an interest in an organization, its activities and its achievements, e.g. customers, partners, employees, shareholders, owners, the local community, first responders, government and regulators.

3.46 tabletop exercise metoda uji yang dengan simulasi terbatas menyajikan suatu skenario gangguan, darurat atau krisis, dalam format narasi agar peserta dapat meninjau-ulang dan membahas (tapi tidak memperagakan)

3.46 tabletop exercise test method that presents a limited simulation of a disruption, emergency or crisis scenario in a narrative format in which participants review and discuss, not perform, the policy,

© BSN 2012

11 dari 59


3.41 toleransi risiko risiko yang dapat diterima atau ditoleransi oleh sebuah organisasi yang disiagakan untuk menerima paparan risiko setiap saat.


methods, procedures, coordination, and resource assignments associated with plan activation

3.47 pengujian kegiatan untuk menguji beberapa bagian dari rencana kontinuitas operasi guna memastikan bahwa rencana tersebut memuat informasi yang sesuai dan menghasilkan yang diinginkan

3.47 testing activity in which some part(s) of the operational continuity plan(s) is/are followed to ensure that the plan(s) contain(s) the appropriate information and produces the desired result

3.48 ancaman penyebab potensial dari suatu kejadian yang tidak diinginkan, yang dapat mengakibatkan kerugian bagi orang, sistem atau organisasi, lingkungan atau masyarakat

3.48 threat potential cause of an unwanted incident, which may result in harm to individuals, a system or organization, the environment or the community

3.49 manajemen puncak direksi dan manajer dari sebuah organisasi yang dapat menjamin sistem manajemen yang efektif, termasuk pengawasan keuangan dan sistem kontrol, untuk melindungi aset, kapasitas produktif dan reputasi organisasi

3.49 top management directors and officers of an organization that can ensure effective management systems, including financial monitoring and control systems, have been put in place to protect assets, earning capacity and the reputation of the organization

4

4

Umum

Pendekatan manajemen kesiapsiagaan insiden dan kontinuitas operasional dan proses perbaikan berkelanjutan diperlihatkan pada Gambar 2. IPOCM adalah kerangka kerja yang harus terus dipantau dan ditinjau secara berkala agar memberikan arahan efektif untuk kesiapsiagaan insiden dan manajemen kontinuitas operasional organisasi ketika merespon perubahan faktor internal dan eksternal. Semua tingkat dalam organisasi bertanggung jawab untuk mencapai kesiapsiagaan insiden dan penyempurnaan operasional yang berjalan terus menerus. Pertimbangan IPOCM dapat diintegrasikan ke dalam semua keputusan operasional dan bisnis organisasi.

© BSN 2012

General

The incident preparedness and operational continuity management approach and the ongoing process of continual improvement are shown in Figure 2. IPOCM is an organizing framework that should be continually monitored and periodically reviewed to provide effective direction for an organization's incident preparedness and operational continuity management in response to changing internal and external factors. All levels in the organization should accept responsibility for working to achieve incident preparedness and operational continuity improvements, as applicable. IPOCM considerations can be integrated into all the organization's operational and business decisions.

12 dari 59


kebijakan, metode, prosedur, koordinasi, dan sumber daya yang terkait dengan tupoksi untuk rencana aktifasi


13 dari 59

© BSN 2012


Figure 2 — Incident preparedness and operational continuity flow diagram


5.5.Kebijakan Kebijakan 5.3 5.3Kepemimpinan Komitmen danmanajemen kepemimpinan dan komitmen manajemen 5.4 5.4Pengembangan Pengembangankebijakan kebijakan

9. Tinjauan manajemen

8. Pengkajian kinerja 8.1 Evaluasi sistem 8.2 Pemantauan dan pengukuran kinerja 8.3 Pengujian dan latihan 8.4 Tindakan korektif dan preventif 8.5 Pemeliharaan 8.6 Audit dan penilaian internal

Peningkatan berkesinambungan

6. Perencanaan 6.2 Persyaratan hukum dan lainnya 6.3 Penilaian risiko dan analisis dampak 6.7 Program IPOCM 6.7.2 Program pencegahan dan mitigasi 6.7.3 Program manajemen respon

7. Pelaksanaan dan operasi 7.1 Sumber daya, peran, tanggungjawab dan wewenang 7.2 Membangun dan menanmkan IPOCM dalam budaya organisasi 7.3 Kompetensi, pelatihan dan kewaspadaan 7.4 Komunikasi dan peringatan 7.5 Pengendalian operasional 7. Keuangan dan administrasi

Gambar 2 — Diagram alir kesiapsiagaan insiden dan kontinuitas operasi

5

Kebijakan

5

Policy

5.1 Membuat program

5.1 Establishing the program

Tujuan dari pembentukan program kesiapsiagaan insiden/kontinuitas operasional adalah untuk memastikan bahwa seluruh aktifitas manajemen risiko dan aktifitas kontinuitas yang lain dilaksanakan dan sesuai dengan persetujuan dan dalam kontrol organisasi, sehingga mencapai kemampuan yang memenuhi kebutuhan operasional yang berubah-ubah dan sesuai dengan ukuran, kompleksitas maupun sifat organisasi. Pembuatan program IPOCM ini menghasilkan suatu kerangka kerja yang jelas untuk kemampuan manajemen kontinuitas operasi yang sedang berlangsung.

The purpose of establishing an incident preparedness/operational continuity program is to ensure that all risk management and continuity activities are conducted and implemented in an agreed and controlled manner within the organization, thereby achieving a capability that meets the changing operational needs and is appropriate to the size, complexity and nature of the organization. It establishes a clearly defined framework for the ongoing management of the operational continuity capability.

Tatalaksana kegiatan, yang biasanya berbentuk suatu proyek, menggabungkan

The set-up activities, which usually take the form of a project, incorporate the end-

© BSN 2012

14 dari 59


Mulai: kenali organisasi anda - defisikan lingkup program IPOCM - identifikasikan tujuan, operasi, fungsi, produk dan jasa vital - penentuan awal skenario risiko dan konsekuensinya


to-end designing, building, implementing, and initial testing and exercising of the operational continuity capability. Early integration of IPOCM techniques and procedures in the organizational or business process design, planning, operations, training, and financial and economic policies and procedures should be considered. The ongoing maintenance and management activities include ensuring that operational continuity is embedded within the organization, is regularly tested and updated, and is considered whenever there is a significant change (e.g. environment, personnel, process or technology). IPOCM should also ensure the protection of stakeholders from possible adverse impact due to the disruption of the organization's operations and functions.

Singkatnya, program manajemen merupakan tatalaksana organisasi, dan manajemen kontinuitas operasional.

In summary, the management program represents the set-up, organization and ongoing management of the operational continuity capability.

5.2 Mendefinisikan lingkup program

5.2 Defining program scope

Organisasi harus menetapkan, mendokumentasikan, menerapkan, memelihara, mengevaluasi dan terus meningkatkan kesiapsiagaan insiden dan program-program kontinuitas operasi.

The organization should establish, document, implement, maintain, evaluate and continually improve its incident preparedness and operational continuity programs.

Organisasi harus menentukan kegiatan dan tujuan operasi yang vital sebagaimana tercantum dalam strategi, rencana bisnis, misi dan kebijakan, rencana manajemen risiko, dan alat manajemen seperti analisis SWOT (Kekuatan, Kelemahan, Peluang dan Ancaman) dan balanced scorecard. Proses yang vital harus diidentifikasi dan didokumentasikan. Hal ini agar organisasi dapat fokus pada sumber daya yang dibutuhkan untuk mengoperasikan fungsi dan kegiatan yang vital tersebut dengan keterbatasan keuangannya.

The organization should determine its critical operational objectives and activities as identified in strategies, business plans, policy and mission statements, risk management plans, and management tools such as SWOT analysis (Strengths, Weakness, Opportunities and Threats) and balanced scorecard. Operational critical processes should be identified and documented. This will allow the organization to focus the resources required to operate the organization's critical activities and functions within the context of the economic constraints of the organization.

Organisasi harus menetapkan dasar pembenaran bagi program IPOCM untuk menentukan keuntungan dari mengadopsi suatu pendekatan. Hal ini mungkin didasarkan pada:

The organization should establish justification for the IPOCM program determine the advantages of adopting organization-wide approach. This may based on:

© BSN 2012

15 dari 59

a to an be


dari awal sampai akhir kegiatan rancang bangun, implementasi, uji awal dan latihan kemampuan kontinuitas operasional. Halhal yang harus dipertimbangkan adalah integrasi awal prosedur dan teknik IPOCM dalam proses perancangan organisasi atau bisnis, perencanaan, operasi, pelatihan, dan kebijakan keuangan dan ekonomi. Kegiatan manajemen dan pemeliharaan diantaranya memastikan bahwa kelangsungan operasi tertanam dalam organisasi, diuji secara berkala dan diperbaharui, dan dipertimbangkan apabila terjadi perubahan signifikan (misalnya lingkungan, personil, proses atau teknologi). IPOCM juga harus menjamin perlindungan pemangku kepentingan dari dampak yang merugikan karena terganggunya fungsi dan operasi suatu organisasi.


— historical risk organization;

— risiko yang muncul saat ini;

— current and emerging risk exposures;

— kecenderungan gangguan dan insiden sebelumnya;

operasi

events

— operational disruption prior incidents;

within

trends

the

and

— kenaikan biaya dan kerugian pendapatan akibat dari gangguan potensial;

— cost increases and revenue losses arising from potential disruptions;

— biaya risiko;

— risk financing costs;

— kewajiban;

— liabilities;

— tanggung jawab sosial;

— social responsibilities;

— keberhasilan dan kegagalan proyek dan program IPOCM lainnya.

— success and failure of other IPOCM projects and programs.

Organisasi harus menetapkan dan mendokumentasikan lingkup sistem IPOCM nya. Organisasi memiliki kebebasan dan fleksibilitas untuk menentukan batas-batasnya, dan dapat memilih untuk melaksanakan pedomanini yang berkenaan dengan seluruh organisasi atau unit operasi atau kegiatan tertentu dari organisasi. Untuk ini perlu dipertimbangkan hubungan dengan organisasi lain (organisasi mitra) dan pemangku kepentingan yang berkontribusi terhadap atau mempengaruhi operasi organisasi, termasuk pengaruh yang disebabkan oleh proses / kegiatan dari luar dan rantai pasokan. Ruang lingkup harus terkait langsung dengan kegiatan, fungsi, produk, dan pelayanan vital, yang menentukan parameter penilaian risiko dan pengembangan program berdasarkan tingkat pentingnya dan kemungkinan potensi serta konsekuensi dari suatu insiden.

The organization should define and document the scope of its IPOCM system. An organization has the freedom and flexibility to define its boundaries, and may choose to implement this guideline with respect to the entire organization or to specific operating units or activities of the organization, It should consider, however, relationships with other organizations (partner entities) and stakeholders that contribute to or influence the organization's operations, including influences due to the outsourcing of processes/activities and the supply chain. The scope should be directly related to the critical activities, functions, products, and services of the organization, defining the parameters for risk assessment and program development based on their criticality and the potential likelihood and consequences of an incident.

5.3 Komitmen dan kepemimpinan manajemen Agar efektif, program IPOCM harus berupa sebuah proses manajemen terpadu yang berasal dari manajemen puncak, didukung dan dipromosikan oleh jajaran manajer utama dan eksekutif. Program ini harus dikelola baik di tingkat operasional maupun tingkat organisasi.

5.3 Management leadership and commitment To be effective, an IPOCM program should be an integrated management process driven from the top of the organization, endorsed and promoted by the principal managers and executives. It should be managed at both the operational and

© BSN 2012

16 dari 59


— Kejadian terkait risiko yang terjadi dalam organisasi;


organizational levels.

5.4 Pengembangan kebijakan

5.4 Policy development

Organisasi harus mengembangkan kebijakan IPOCM. Awalnya, mungkin dimulai dari tingkat tinggi kemudian dilakukan penyempurnaan dan peningkatan sejalan dengan berkembangnya kemampuan. Kebijakan tersebut harus secara berkala ditinjau dan diperbarui sesuai dengan kebutuhan operasi.

The organization should develop an IPOCM policy. Initially, this may be at a high level with further refinement and enhancement as the capability is developed. The policy should be regularly reviewed and updated in line with operational needs.

Kebijakan IPOCM harus berisi prinsip tertulis yang berisi aspirasi dan dengan prinsip tersebut kemampuan IPOCM dapat diukur

The IPOCM policy should provide the organization with documented principles to which it will aspire and against which its IPOCM capability should be measured.

Proses kebijakan organisasi harus terdiri dari unsur-unsur berikut:

The policy process of an organization should be composed of the following elements:

A number of professional incident preparedness and OCM practitioners and staff from other management disciplines and departments may be required to support and manage the IPOCM program. The quantity of resources required will be dependent upon the size and diversity of the organization.

—

Manajemen puncak harus memutuskan pengembangan program IPOCM dan menyampaikan keputusan tersebut ke seluruh organisasi;

—

top management should decide to develop an IPOCM program and communicate the decision throughout the organization;

—

Manajemen puncak harus membuat kebijakan IPOCM dasar;

—

top management should establish a basic IPOCM policy;

—

Manajemen puncak harus menyampaikan kegiatan IPOCM ke pemangku kepentingan internal dan eksternal yang tepat;

—

top management should communicate IPOCM activities of the organization to appropriate internal and external stakeholders;

—

Manajemen puncak harus menjamin ketersediaan sumber daya, seperti anggaran dan personil yang diperlukan untuk melakukan kegiatan sesuai dengan kebijakan IPOCM dasar;

—

top management should ensure the availability of resources, such as budget and personnel necessary to perform activities in line with the basic IPOCM policy;

—

Manajemen puncak harus berpartisipasi dalam proses pengembangan program IPOCM.

—

top management should participate in a process of IPOCM program development.

—

© BSN 2012

17 dari 59


Sejumlah praktisi profesional di bidang kesiapsiagaan insiden dan manajemen kontinuitas operasional serta staf dari disiplin ilmu dan jurusan manajemen lain mungkin diperlukan untuk mendukung dan mengelola program IPOCM. Jumlah sumber daya yang diperlukan akan tergantung pada ukuran dan keragaman organisasi.


5.5 Policy Review

Organisasi harus menetapkan kaji-ulang kebijakan IPOCM secara teratur, dengan mempertimbangkan antara lain:

An organization should establish regular review of the IPOCM policy, considering the following, including but not limited to:

—

hasil kaji-ulang sistem IPOCM;

—

results of IPOCM system review;

—

perubahan lingkungan fisik;

—

changes in physical environment;

—

perubahan profil risiko;

—

changes in risk profile;

—

perubahan personil kunci, operasi, layanan, proses, produk, pemasok, distributor, pengaturan sumber internal dan eksternal, dan kekuatan pasar;

—

changes in key personnel, operations, services, processes, products, suppliers, distributors, sourcing and outsourcing arrangements, and market forces;

—

merger dan akuisisi;

—

mergers and acquisitions;

—

perubahan penting dalam legislatif dan peraturan.

—

significant changes in the legislative and regulatory environment.

aspek

Kaji ulang kebijakan IPOCM harus diintegrasikan sebagai bagian dari bisnis organisasi dan proses perencanaan operasi yang disetujui oleh manajemen puncak. Kebijakan IPOCM tingkat organisasi harus diturunkan ke setiap kebijakan IPOCM tingkat fungsional di bawahnya.

The IPOCM policy review should be integrated as part of the organizationwide business and operational planning process approved by top management. An organization-wide IPOCM policy should be cascaded down to each functional IPOCM policy.

5.6 Struktur pelaksanaan

5.6 Organizational implementation

organisasi

untuk

Kebijakan dan strategi untuk program ini dikembangkan dan dilaksanakan oleh tim proyek. Berikut adalah dasar untuk menentukan kebutuhan struktur manajemen proyek formal maupun informal: — persyaratan untuk melanjutkan visibilitas dan keterlibatan manajemen puncak; — persyaratan ketrampilan;

structure

for

Policy and strategy for the program is developed and implemented by the project team. Determine the need for formal or informal project management structures based on: —

requirements for continuing top management visibility and involvement;

—

skills requirements;

—

persyaratan sumber daya, anggaran, dan pembiayaan untuk proyek;

—

resource, budget, and requirements for the project;

—

pengetahuan spesialis organisasi;

—

specialist knowledge organization;

—

bidang organisasi yang terlibat dalam proyek.

—

areas of organization involved in the project.

Suatu organisasi dapat menunjuk koordinator program IPOCM yang © BSN 2012

financing

of

the

An organization may appoint an IPOCM program coordinator who should have responsibility for establishing the IPOCM

18 dari 59


5.5 Tinjauan kebijakan


Panitia program IPOCM lintas-fungsional dapat dibentuk. Para anggotanya harus terdiri dari mereka yang terlibat dalam fungsi-fungsi utama yang berkaitan dengan program IPOCM untuk menangani berbagai isu-isu di sekitar organisasi.

6

Perencanaan

program. The IPOCM program coordinator should be responsible for coordinating incident preparedness and operational continuity projects, managing incident preparedness and operational continuity organizational structure, obtaining support from top management, developing and implementing the IPOCM program, providing training, and regularly reviewing the incident preparedness and operational continuity program among others. Responsibility and authority of top management should be defined in order to make it clear where ultimate responsibility lies in the organization.

A cross-functional IPOCM program committee may be formed. Its members should be composed of those involved in the major functions relating to the IPOCM program in order to enable it to address various organization-wide issues.

6

Planning

6.1 Umum

6.1 General

Organisasi harus menetapkan, menerapkan, dan menggunakan prosedur untuk identifikasi ancaman dan bahaya; penilaian risiko, kerentanan, dan kekritisan; dan analisis dampak. Fase ini menetapkan parameter untuk tahap perencanaan dan strategi sehingga organisasi mampu meminimalkan gangguan dan terus memenuhi tujuannya selama ada gangguan pada tingkat operasi yang dapat diterima. Pemahaman organisasi berasal dari identifikasi dan evaluasi potensi risiko dan ancaman gangguan terhadap organisasi serta penentuan lamanya gangguan yang masih dapat diterima oleh pemangku kepentingan. Pemahaman akan produk dan layanan yang dihasilkan suatu organisasi dan bagaimana hal ini disampaikan melalui aktifitas dalam organisasi menjadi pra-syarat penting untuk langkah selanjutnya dalam tahap ini. Pemetaan proses dan alat manajemen lainnya dapat membantu organisasi untuk mendokumentasikan pemahaman tentang

The organization should establish, implement, and maintain procedures to perform threat and hazard identification; risk, vulnerability, and criticality assessments; and impact analysis. This phase sets the parameters for the strategy and planning stages that will enable the organization to minimize the likelihood of a disruption and continue to meet its objectives during a disruption by performing at an acceptable level of operation. An understanding of the organization comes from identifying and evaluating potential risks and threats of disruptions to the organization as well as determining the duration of a disruption that is tolerable to its stakeholders. It is an essential pre-requisite for the following steps in this stage that the organization should understand its products and services, and how these are delivered by activities within the organization. Process mapping and other management tools may assist an organization to document this understanding of their critical operations.

© BSN 2012

19 dari 59


bertanggung jawab untuk membuat program IPOCM. Koordinator program IPOCM bertanggung jawab antara lain untuk mengkoordinasikan kesiapsiagaan insiden dan proyek kontinuitas operasional, mengelola kesiapsiagaan insiden dan struktur organisasi untuk kontinuitas operasional, memperoleh dukungan dari manajemen puncak, mengembangkan dan melaksanakan program IPOCM, memberikan pelatihan, dan secara teratur mengkaji-ulang program kesiapsiagaan insiden dan kontinuitas operasional. Tanggung jawab dan wewenang manajemen puncak harus ditetapkan untuk memperjelas tanggung jawab utama yang ada dalam organisasi.


6.2 Persyaratan hukum dan lainnya

6.2 Legal and other requirements

Organisasi harus menetapkan dan memelihara prosedur untuk mengidentifikasi dan mengevaluasi persyaratan hukum, peraturan, dan persyaratan lainnya yang terkait dengan ancaman dan risiko yang dapat berpengaruh pada fasilitas, kegiatan, produk, layanan, kontraktor, dan rantai pasokannya. Organisasi harus menjaga agar informasi ini tetap mutakhir (up to date), dan menyampaikan informasi mengenai persyaratan hukum dan persyaratan lainnya kepada karyawannya dan pihak ketiga yang relevan termasuk kontraktor.

The organization should establish and maintain procedures to identify and evaluate the applicable legal, regulatory, and other requirements to which the organization subscribes that are related to the threats and risks that are applicable to its facilities, activities, products, services, contractors, and supply chain. The organization should keep this information up-to-date, and communicate relevant information on legal and other requirements to its employees and other relevant third parties including contractors.

Sistem IPOCM harus memiliki komitmen untuk mematuhi undang-undang dan peraturan yang berlaku, sesuai dengan petunjuk dan kebijakan, dan mempertimbangkan praktik industri yang baik berkenaan dengan kegiatan IPOCM, produk, atau layanannya.

The IPOCM system should commit to comply with applicable legislation and regulations, conform to directives and policies, and consider industry good practices concerning IPOCM activities, products, or services.

6.3 Penilaian risiko dan analisis dampak

6.3 Risk analysis

Ada berbagai metodologi untuk penilaian risiko dan analisis dampak yang akan menentukan urutan langkah-langkah analisis yang diadopsi.

There are various methodologies for risk assessment and impact analysis which will determine the order of the analysis steps adopted.

6.4 Identifikasi ancaman

6.4 Hazard, identification

bahaya,

risiko,

dan

Identifikasi bahaya, risiko, dan ancaman harus mencakup antara lain:

assessment

risk,

and

and

impact

threat

Hazard, risk, and threat identification should include, but not be limited to:

bahaya alam yang terjadi tanpa pengaruh orang dan memiliki potensi berdampak langsung maupun tidak langsung pada operasi organisasi, orang, harta benda dan/ atau lingkungan (bahaya geologi, meteorologi dan biologi);

—

naturally occurring hazards that can occur without the influence of people and have potential for direct or indirect impact on the organization's operations, people, property and/or environment (geological, meteorological and biological hazards);

Manusia dan teknologi yang menyebabkan peristiwa/kejadian (tidak disengaja dan disengaja); — peristiwa terkait bisnis (positif dan negatif).

—

human and technology caused events (accidental and intentional);

—

business-related events (positive and negative).

—

—

© BSN 2012

20 dari 59


operasi vitalnya.


Risk identification should be an ongoing activity, The organization should find out sources and potentials to cause damage and identify risks. The organization should consult with appropriate authorities and other public services to identify potential risks to the organization and the stakeholders.

6.5 Penilaian risiko

6.5 Risk assessment

Organisasi dapat menggunakan proses evaluasi formal dan tertulis untuk mengidentifikasi risiko dan ancaman, kemungkinan kejadiannya, dan kerentanan serta kondisi kritis orang, harta benda, lingkungan, dan organisasi itu sendiri terhadap ancaman tersebut. Organisasi sebaiknya secara kuantitatif maupun kualitatif mengestimasi kemungkinan atau probabilitas potensi risiko yang sudah diidentifikasi tersebut dan signifikansi dampaknya bila benar-benar terjadi. Hasil estimasi ini harus digunakan sebagai masukan untuk evaluasi risiko agar dapat memprioritaskan risiko potensial.

The organization may use a formal and documented evaluation process to identify its risks and threats, the likelihood of their occurrence, and the vulnerability and criticality of people, property, the environment, and the organization itself to those threats. An organization should quantitatively or qualitatively estimate likelihood or probability of the identified potential risks and significance of impacts of the potential risks when they are realized. These estimation results should be used as input to risk evaluation to prioritize the potential risks.

Organisasi harus menilai risiko potensial dengan menggunakan kriteria yang masuk akal dan pertimbangan bahwa semua risiko potensial tersebut sudah dikenal. Organisasi harus mempertimbangkan berbagai unsur seperti kehidupan manusia, aset, kompensasi, laba, kredit dan lingkungan alam. Organisasi harus menganalisa informasi risiko, dan memilih risiko yang dapat menimbulkan konsekuensi yang signifikan dan/atau risiko yang akibatnya sulit ditentukan apakah cukup signifikan.

An organization should assess potential risks on the basis of reasonable criteria by giving due consideration to all potential risks to its operations that it recognizes, The organization should consider various elements such as human lives, assets, compensation, profit, credit and natural environment. An organization should analyze information on risks, and select those risks which may cause significant consequences and/or those risks whose consequence is hard to be determined in terms of significance.

Organisasi harus menyimpan informasi terkait dengan ancaman, risiko dan penilaian kondisi kritis yang mutakhir dan rahasia, sebagaimana layaknya. Penilaian ancaman, risiko dan kondisi kritis harus dievaluasi ulang bila ada perubahan dalam organisasi atau dibuat untuk lingkungan operasi, prosedur, fungsi, dan pelayanan organisasi.

The organization should keep information related to its threat, risk and criticality assessments up-to-date and confidential, as is appropriate. Threat, risk and criticality assessments should be re-evaluated within the context of changes within the organization or made to the organization's operating environment, procedures, functions, and services.

© BSN 2012

21 dari 59


Identifikasi risiko harus menjadi kegiatan yang terus berlangsung. Organisasi harus mencari tahu sumber dan potensi penyebab kerusakan dan mengidentifikasi risiko. Organisasi harus berkonsultasi dengan pihak yang berwenang dan pelayanan publik lainnya untuk mengidentifikasi risiko yang potensial terhadap organisasi dan para pemangku kepentingan.


6.6 Impact analysis

Organisasi sebaiknya menganalisis dampak gangguan pada operasi dan mengidentifikasi operasi bisnis vital yang diberikan prioritas tinggi untuk tujuan restorasi, untuk menetapkan sasaran waktu pemulihan (RTO), lihat Lampiran A.

An organization should analyze impacts of disruptions to its operations and identify critical business operations that are given high priority for restoration, in order to set up recovery time objectives (RTO), see Annex A.

Organisasi harus melakukan analisis dampak untuk menentukan potensi dampak merugikan dari gangguan terhadap operasi, antara lain sebagai berikut:

The organization should conduct an impact analysis to determine the potential for detrimental impacts of a disruption on operations including, but not limited to, the following:

—

kesehatan dan keselamatan orang di daerah terdampak pada saat insiden (cedera dan kematian);

—

health and safety of persons in the affected area at the time of the incident (injury and death);

—

kesehatan dan keselamatan personil yang menangani insiden;

—

health and safety of responding to the incident;

—

kelangsungan operasi;

—

continuity of operations;

—

harta benda, fasilitas, dan infrastruktur;

—

property, facilities, and infrastructure;

—

pemberian pelayanan;

—

delivery of services;

—

lingkungan hidup;

—

the environment;

—

kesejahteraan pemangku kepentingan;

—

welfare of stakeholders;

—

dampak ekonomi dan keuangan (termasuk analisis biaya-manfaat);

—

economic and financial impacts (including cost–benefit analysis);

—

kewajiban peraturan dan kontrak;

—

regulatory and contractual obligations;

—

reputasi atau organisasi.

—

reputation of or confidence in the organization.

kepercayaan

dalam

personnel

Di antara produk dan layanan yang diberikan oleh rantai pasokan, organisasi harus mengidentifikasi hal penting sebagai pendukung operasi yang vital dan mengambil tindakan pengamanan yang diperlukan untuk hal itu.

Among products and services provided by the supply chain, an organization should identify which are essential for support of the critical operations and take necessary precautions.

Organisasi tergantung pada infrastruktur pelayanan yang semakin kompleks dan saling tergantung mencakup listrik, air, gas, transportasi dan komunikasi. Hampir setiap organisasi tergantung pada infrastruktur kerja efektif, dan karenanya, tergantung pada kelangsungan pelayanan utilitas. Konsekuensinya adalah bahwa organisasi sangat rentan terhadap gangguan, ketika utilitas atau infrastruktur vital gagal, oleh karena itu organisasi harus mengevaluasi dampak gangguan layanan pada operasi vitalnya.

Organizations are dependent on an increasingly complex and interdependent service infrastructure comprising electricity, water, gas, transport and communications. Almost every organization is dependent on an effective working infrastructure, and hence, on the continuity of utility services. The corollary to this is that organizations are particularly vulnerable to disruption, from a continuity perspective, when a utility or

© BSN 2012

22 dari 59


6.6 Analisis dampak


6.7

Program manajemen kesiapsiagaan insiden dan kontinuitas operasional

6.7.1

Umum

6.7 Incident preparedness and operational continuity management programs 6.7.1 General

Program IPOCM harus dapat diukur bila dapat dipraktekkan dan konsisten dengan kebijakan IPOCM dan menekankan komitmen untuk pencegahan insiden dan gangguan, kepatuhan terhadap persyaratan hukum yang berlaku dan persyaratan lain yang diikuti organisasi dan perbaikan berkesinambungan.

The IPOCM program should be measurable where practicable and consistent with the IPOCM policy and emphasize a commitment to incident and disruption prevention, compliance with applicable legal requirements and with other requirements to which the organization subscribes and continual improvement.

Organisasi harus menetapkan, menerapkan, dan memelihara program untuk mencapai tujuan dan sasaran pada semua fungsi dan tingkat organisasi, termasuk:

The organization should establish, implement, and maintain programs for achieving its objectives and targets at all relevant functions and levels of the organization, including:

—

sarana dan jangka waktu yang akan dicapai;

—

a means and timeframe by which they will be achieved;

—

penetapan mencapai tersebut.

—

designation of responsibility for achieving the objectives and targets.

tanggung jawab untuk tujuan dan sasaran

Program IPOCM, yang bersifat pencegahan atau reaktif, harus selaras dan terintegrasi satu sama lain sehingga tidak ada konflik fungsional, respon, kebutuhan sumber daya atau waktu. Tinjauan rencana sebagai kesatuan terpadu yang menjamin aliran informasi dan tindakan seyogyanya logis, konsisten dan kolaboratif. Alokasi dan penggunaan sumber daya seyogyanya efisien, efektif, dan dapat tercapai. Sebuah organisasi dapat menunjuk seorang anggota manajemen puncak sebagai manajer atau © BSN 2012

IPOCM programs, whether deterrent or responsive in nature, should be aligned and integrated with each other such that there are no conflicts of functionality, response, resource requirements or timings. Review plans as an integrated suite ensuring information flows and actions are logical, consistent and collaborative and resource allocations and usage are efficient, effective, and achievable. An organization may appoint a member of top management as

23 dari 59


Organisasi harus mempertimbangkan waktu, biaya, dan sumber daya yang diperlukan untuk mengembalikan fungsi vital dan membereskan pekerjaan tertunda akibat gangguan termasuk solusi dan urusan kontinuitas dengan organisasi lain.

critical infrastructure fails, therefore the organization should evaluate the impact on service disruptions on its critical operations. The organization should consider the amount of time, cost, and resources required to restore critical functionality and clear backlogs resulting from the disruption including workarounds and continuity arrangements with other organizations.


the overall IPOCM program manager or coordinator.

6.7.2 Program pencegahan dan mitigasi

6.7.2 Prevention programs

Program pencegahan dan mitigasi harus didasarkan pada hasil suatu identifikasi ancaman/bahaya dan penilaian risiko. Dalam hal insiden, program harus meminimalkan efek, rencana untuk merespon dan mencapai pemulihan tepat waktu.

The prevention and mitigation program should be based on the results of a threat and hazard identification and risk assessment. In case of an incident, the program should minimize the effects, plan to respond and achieve prompt recovery.

Program tersebut harus mempertimbangkan pembuangan, penghilangan, atau mitigasi ancaman dan bahaya melalui pilihan metodologi dan teknologi, dan pengalaman pihak lain dengan memperhatikan keuangan, kebutuhan operasional dan bisnis serta pandangan dari organisasi mitra, dan para pemangku kepentingan.

The program should consider removing, eliminating, or mitigating the threats and hazards through methodological and technological options, and the experience of other entities while taking into account financial, operational and business requirements as well as the views of partner organizations, and stakeholders.

Program pencegahan dan mitigasi harus mempertimbangkan manfaat dan biaya. Ini harus mencakup, tetapi tidak terbatas pada, solusi teknologi, perkiraan efek dari upaya IPOCM, sifat dan biaya dari upaya yang berjalan, biaya dalam hubungan dengan dampak strategi terhadap upaya non-IPOCM, dan laba atas investasi untuk organisasi.

The prevention and mitigation program should consider benefits and costs. These should include, but not be limited to, technological solutions, estimates of the effects of IPOCIVI efforts, the nature and costs of ongoing efforts, costs in relationship to the strategy's impact on non-IPOCM efforts, and the return on investment for organizations.

Program pencegahan dan mitigasi harus mempertimbangkan pemindahan orang dan harta benda yang berisiko; relokasi, perbaikan dan penyediaan sistem atau peralatan pelindung, informasi, data, dokumen, dan keamanan jaringan maya; penetapan peringatan ancaman atau bahaya dan prosedur komunikasi, dan kelebihan atau duplikasi personil kunci, sistem vital, peralatan, informasi, operasi, atau bahan, termasuk dari lembagalembaga mitra.

The prevention and mitigation program should consider removal of people and property at risk; relocation, retrofitting and provision of protective systems or equipment; information, data, document, and cyber security; establishment of threat or hazard warning and communication procedures; and redundancy or duplication of essential personnel, critical systems, equipment, information, operations, or materials, including those from partner agencies.

Rencana mitigasi harus menetapkan tindakan sementara dan jangka panjang untuk menghilangkan bahaya yang berdampak pada manusia atau untuk mengurangi dampak dari ancaman atau bahaya, risiko, tersebut yang tidak bisa dihilangkan. Organisasi harus mengevaluasi tindakan ini untuk

The mitigation plan should establish interim and long-term actions to eliminate hazards that impact the entity or to reduce the impact of those hazards, risks, and threats that cannot be eliminated. The organization should evaluate these actions to determine if these prevention and mitigation measures have themselves

© BSN 2012

24 dari 59

and

mitigation


koordinator keseluruhan program IPOCM.


introduced new risks. Therefore, it is necessary to examine and assess risks associated with the prevention and mitigation solutions when developing the mitigation plan, as well as consider the consequences of any risk transfer strategies.

6.7.3 Program manajemen respon

6.7.3 Response management programs

Organisasi harus merencanakan respon darurat dan pemulihan insiden, dengan memperhatikan kegiatan inti, kewajiban kontrak, kebutuhan karyawan dan masyarakat sekitar, kontinuitas operasi, dan rehabilitasi lingkungan. Tiap organisasi memiliki pendekatan yang berbeda untuk mengelola krisis. Terlepas dari pendekatan ini, ada tiga langkah generik dan respon manajemen yang saling terkait yang memerlukan perencanaan dan penerapan preventif jika ada insiden mengganggu:

The organization should plan for incident response and recovery, taking into account, core activities, contractual obligations, employee and neighboring community necessities, operational continuity, and environmental remediation. Organizations have different approaches to managing crises. Regardless of the approach, there are three generic and interrelated management response steps that require pre-emptive planning and implementation in case of a disruptive incident:

—

Tanggap darurat. Tanggapan awal terhadap suatu kejadian yang mengganggu, biasanya menyangkut perlindungan orang dan harta benda dari kerusakan langsung. Reaksi awal oleh manajemen menjadi bagian dari respon pertama organisasi;

—

Emergency response. The initial response to a disruptive incident usually involves the protection of people and property from immediate harm. An initial reaction by management may form part of the organization's first response;

—

Tanggapan Kontinuitas: Proses, kontrol dan sumber daya untuk memastikan bahwa organisasi terus memenuhi tujuan operasional yang vital;

—

Continuity response: Processes, controls and resources are made available to ensure that the organization continues to meet its critical operational objectives;

—

Tanggapan Pemulihan: Proses, sumber daya dan kemampuan organisasi terus ditingkatkan untuk memenuhi kebutuhan operasi yang berjalan. Hal ini sering mencakup pendahuluan perbaikan organisasi yang signifikan bahkan sampai pada batas penajaman kembali tujuan strategis atau operasional.

—

Recovery response: Processes, resources and capabilities of the organization are re-established to meet ongoing operational requirements. This will often include the introduction of significant organizational improvements even to the extent of refocusing strategic or operational objectives.

Semua rencana respon memiliki unsur umum, yang mencakup: —

peran dan tanggung jawab fungsional lembaga-lembaga internal dan eksternal, organisasi, departemen, dan individu yang harus diidentifikasi;

© BSN 2012

All response plans elements, including: —

25 dari 59

have

common

the functional roles and responsibilities of internal and external agencies, organizations, departments, and individuals should be identified;


menentukan apakah langkah pencegahan dan mitigasi itu membawa risiko baru. Oleh karena itu, perlu untuk memeriksa dan menilai risiko yang terkait dengan solusi pencegahan dan mitigasi ketika mengembangkan rencana mitigasi, serta mempertimbangkan konsekuensi dari setiap strategi transfer risiko.


jalur kewenangan untuk badan-badan, organisasi, departemen, dan individu yang harus ditetapkan atau diidentifikasi;

—

lines of authority for those agencies, organizations, departments, and individuals should be established or identified;

—

kompetensi yang dibutuhkan yang harus ditentukan;

—

the competencies required should be specified;

—

kebutuhan sumber daya minimum yang harus diidentifikasi dan lokasi aman.

—

minimum resource requirements should be identified and locations secured.

Organisasi juga harus mempertimbangkan jangkauan dan sifat saling ketergantungan eksternal. Organisasi harus mengidentifikasi rincian kontak (bisnis dan di luar jam); harapan para pemangku kepentingan (tingkat pelayanan minimum, persyaratan wajib, dll. yang disetujui); alternatif hubungan fungsional (misalnya lokasi untuk pengiriman, frekuensi interaksi yang berubah, dll.); dan sumber alternatif untuk persyaratan kontrak. Pertimbangan harus diberikan pada relasi dengan pelanggan, pemasok, mitra strategis, kontraktor, regulator, dan pesaing.

The organization should also consider the range and nature of external interdependencies. The organization should identify contact details (business and after hours); stakeholder expectations (agreed minimum service levels, mandatory requirements, etc.); alternate functional relationships (e.g. locations for deliveries, changed frequency of interactions, etc.); and alternate sources for contract requirements. Consideration needs to be given to relationships with customers, suppliers, strategic partners, contractors, regulators, and competitors.

Manajemen puncak dapat mengambil keputusan untuk tidak melakukan apa pun tergantung pada tingkat keparahan dan dampak kejadian sebuah organisasi. Dalam hal ini, manajemen puncak dapat menentukan risiko yang akan diterima dan dalam batas toleransi risiko organisasi, tetapi harus dilakukan secara eksplisit dan tercatat. Kadang dampak risiko berada di luar batas toleransi risiko normal organisasi, tetapi karena rendahnya kemungkinan terjadi risiko dan/atau biaya non-ekonomis bagi pengendaliannya, manajemen puncak dapat menerima risiko tersebut.

It should be recognized that depending on the severity and impact of the incident an organization, at the top management level, may make the decision to do nothing. In this case, top management may determine the risk to be acceptable and within the organization's risk tolerance. However, this should be done explicitly and documented. In some circumstances, the impact of a risk might be outside the organization's normal risk tolerance, but, due to the low likelihood of the risk occurring and/or the uneconomic cost of control, top management may accept the risk.

6.7.4 Program darurat

6.7.4 Emergency management program

manajemen

tanggap

Tujuan utama dari program manajemen tanggap darurat adalah perlindungan kehidupan dan harta benda, lihat Lampiran B. Program ini harus mengidentifikasi kriteria atau pemicu untuk mengelola insiden dan melaksanakan tanggap darurat. Manajemen insiden harus merupakan proses yang dapat dipicu dengan cepat dan harus diaktifkan setiap kali suatu insiden mulai terlihat jelas sehingga: © BSN 2012

response

The principal purpose of the emergency response management program is the preservation of life and property, see Annex B. It should identify the criteria or triggers for managing the incident and implementing the emergency response. Incident management should be a process that can be rapidly triggered and should be activated whenever a likely incident starts to become apparent so that:

26 dari 59


—


— Keputusan dibuat menurut keperluan; — Langkah

membatasi peristiwa.

awal dan

diambil untuk mengendalikan

Organisasi memiliki tanggung jawab langsung untuk menjaga kesejahteraan karyawan, kontraktor, pengunjung / pelanggan di mana insiden apa pun menimbulkan risiko langsung terhadap nyawa, penghidupan dan kesejahteraan. Perhatian khusus harus diberikan kepada setiap kelompok di atas yang memiliki cacat atau kebutuhan khusus lainnya (misalnya kehamilan, cacat sementara karena cedera). Perencanaan untuk memenuhi persyaratan di awal dapat mengurangi risiko, meningkatkan waktu respon dan meyakinkan yang terkena dampak. Karena tanggap darurat bersifat sensitif terhadap waktu, skenario harus ditinjau berdasarkan penilaian risiko. Selain itu, organisasi harus membangun suatu sistem untuk komunikasi risiko dengan para pemangku kepentingan serta sistem yang bertanggung jawab sosial untuk bantuan timbal balik dengan organisasi lain dan para pemangku kepentingan. Untuk memastikan manajemen puncak mengetahui dengan cepat insiden telah terjadi, organisasi sebaiknya menentukan beberapa tingkat keparahan dan menentukan siapa yang harus diberitahu dan dihubungi untuk setiap tingkat keparahan. Organisasi harus menetapkan dan mengkomunikasikan apa yang harus dilaporkan termasuk apa yang terjadi, di mana hal itu terjadi, betapa seriusnya hal ini, mengapa hal itu terjadi, seberapa cepat dapat dipulihkan, dan apakah bantuan eksternal perlu diminta. Rencana harus disesuaikan dengan tingkat respon yang dinginkan dan meliputi: — peran tim dalam struktur responorganisasi (strategis/ taktis/ operasional); —

suatu

© BSN 2012

proses

yang

jelas

—

no time is lost;

—

decisions are made on what needs to be done;

—

early steps are taken to contain and control events.

Organizations have a direct responsibility to safeguard the welfare of employees, contractors, visitors/customers where any incident poses a direct risk to life, livelihood and welfare. Special attention should be paid to any of the above groups with disabilities or other specific needs (e.g. pregnancy, temporary disability due to injury). Planning to meet these requirements in advance can reduce risk, enhance response times and reassure those affected. Due to the time sensitive nature of emergency response, scenarios should be considered based on the risk assessment. Furthermore, organizations should establish a system for risk communication with stakeholders as well as a socially responsible system for mutual assistance with other organizations and stakeholders.

In order to ensure top management is immediately notified that an incident has occurred, an organization should define multiple levels of severity and specify who should be notified and contacted for each level of severity. The organization should define and communicate what should be reported including what happens, where it happens, how serious it is, why it happens, how quickly it may be restored, and whether external assistance needs to be called in. Plans should be tailored for the intended level of response and include: —

yang 27 dari 59

the role of the team within the organization's response structure (strategic/tactical/operational);


— Tidak ada waktu yang terbuang;


—

tempat/kamar/ruang bagi tim untuk bertemu harus diidentifikasi dahulu. Area ini akan menjadi titik fokus untuk respon organisasi. Suatu titik pertemuan alternatif juga harus dinominasikan jika akses ke lokasi primer ditolak.

—

a clearly defined process for providing team leaders with the information needed to inform their decision as to whether to invoke or mobilize a response team;

—

a location/room/space for the team to meet should be pre-identified. This area will be the focal point for the organization's response. An alternate meeting point should also be nominated in case access to the primary location is denied.

Program manajemen tanggap darurat harus menunjukan strategi terkait kesejahteraan manusia yang mencakup prosedur dan tim tanggap darurat dengan peran dan tanggung jawab yang jelas untuk mengkoordinasikan kebutuhan kesejahteraan manusia dalam organisasi. Rencana harus disiapkan termasuk ketentuan tentang peran dan tanggung jawab tim dengan pelatihan yang sesuai untuk melakukan kegiatan dan fungsi tersebut.

The emergency response management program should outline human welfare strategies that include emergency response procedures and defined teams with clear roles and responsibilities for coordinating human welfare needs within the organization. Plans should be prepared including provisions for roles and responsibilities of teams with appropriate training to undertake such activities and functions.

Agar efektif, rencana manjemen dan tanggap darurat perlu disusun lebih dulu dan diperjuangkan di tingkat tertinggi organisasi. Mereka harus memiliki manajemen puncak yang baik, uraian tugas untuk semua peran dan personel yang terlibat, dan anggaran. Dalam organisasi yang lebih besar, mereka juga mungkin memiliki manajer atau koordinator program tertentu dan tim pengembangan yang bertanggung jawab untuk pengembangan program strategis.

To be effective, emergency response and management plans need to be preprepared and championed at the highest levels of the organization. They should have top management buy-in, job descriptions for all roles and personnel involved, and a budget. In larger organizations, they may also have an identified program manager or coordinator and development team responsible for strategic program development.

Sumber daya untuk rencana tanggap darurat dan manajemen harus secara spesifik diidentifikasi. Sumber daya harus tersedia tepat waktu dan memiliki kemampuan untuk melakukan fungsi yang dimaksudkan. Keterbatasan dalam penggunaan sumber daya harus diperhitungkan, dan penggunaannya tidak boleh melebihi kewajiban sehingga dapat menyebabkan kegagalan dalam menggunakannya. Biaya sumber daya tidak boleh lebih besar daripada manfaatnya.

Resources for the emergency response and management plans should be specifically identified. A resource should be available in a timely manner and should have the capability to do its intended function. Restriction on the use of the resource should be taken into account, and application of the resource should not incur more liability than would failure to use the resource. The cost of the resource should not outweigh the benefit.

6.7.5 Program manajemen kontinuitas

6.7.5 Continuity management program

© BSN 2012

28 dari 59


menyediakan pemimpin tim dengan informasi yang dibutuhkan untuk menyampaikan keputusannya, apakah untuk meminta atau memobilisasi suatu tim respons;


Continuity plans are developed and documented in a comprehensive and simple manner that allows the organization to respond flexibly to a wide variety of potentially disruptive incident scenarios, see Annex C.

Suatu organisasi dapat menentukan bahwa setiap unit operasional memiliki rencana OCM khusus yang akan dijalankan, dan bahwa organisasi akan memiliki rencana OCM menyeluruh untuk mengelola kegiatan dari setiap unit operasional dan untuk mengkoordinasikan aset yang diperlukan untuk kegiatan perbaikan dan pemulihan.

An organization may determine that each operational unit has specialized OCM plans that will be enacted, and that the organization will have an overarching OCM plan to manage the activities of each operational unit and to coordinate assets required for restoration and recovery activities,

Rencana OCM adalah seperangkat alat yang dapat dipakai dan diaktifkan oleh tim manajemen insiden berdasarkan kebutuhan respon terhadap insiden itu. Rencana ini membantu menyediakan informasi yang diperlukan untuk menjaga organisasi pada saat insiden. Tujuan utama dari program OCM adalah agar organisasi dapat mempertahankan fasilitas vital apabila terjadi gangguan utama yang mempengaruhi operasi normal. Rencana OCM ini dikembangkan untuk merespon konsekuensi insiden dan didasarkan pada penilaian risiko (menegaskan poin utama risiko yang memerlukan manajemen) dan analisis dampak (yang akan mengidentifikasi kegiatan khusus yang vital untuk organisasi dan mendesak, ketika mereka harus dipulihkan). Rencana OCM menggambarkan dan merinci tujuan, prosedur, kegiatan dan informasi kontak vital yang harus diikuti ketika terjadi insiden yang mempengaruhi kemampuan organisasi, baik secara menyeluruh maupun sebagian, agar berfungsi dengan aman, untuk menstabilkan fungsi dan kegiatan operasional sebelum pemulihan jangka menengah sampai jangka panjang.

The OCM plan is the toolbox that the incident management team can call upon and invoke/activate, based on the needs of the response to the incident. It helps to provide, through a set of logical sections, the information that would be required to maintain the organization at a time of a disruptive incident. The main objective of an OCM plan is to enable an organization to maintain what is critical in the event of a major interruption affecting its normal operations as usual. The OCM plan is developed in response to the anticipated consequences of incidents and is based on the risk assessment (highlighting the main areas of risk that require management) and the impact analysis (which would have identified the specific activities that are critical to the organization and the urgency in which they have to be recovered). The OCM plan describes and details the critical objectives, procedures, activities and contact information to be followed in the event of a disruptive incident affecting the ability of an organization, in whole or in part, to function at the agreed acceptable level in order to stabilize the critical operational functions and activities prior to medium- to long-term recovery.

Komponen dan isi rencana OCM berbeda antar organisasi dan memiliki tingkat detil yang berbeda menurut skala, lingkungan budaya, dan kompleksitas teknis industri dan solusi yang terkait, profil risiko dan

The components and contents of OCM plans vary from organization to organization and have a different level of detail based on the scale, environment, culture and technical complexity of the

© BSN 2012

29 dari 59


Rencana kontinuitas dikembangkan dan didokumentasikan secara komprehensif dan sederhana yang memungkinkan organisasi untuk merespon secara fleksibel terhadap berbagai skenario insiden yang berpotensi mengganggu, lihat Lampiran C.


industry and associated solutions, risk profile and environment in which it operates. Large organizations might require separate documents for each of their critical operation areas/functions, whereas smaller organizations might be able to cover what is critical to them within a single document.

Organisasi sebaiknya mengidentifikasi peralatan, perlengkapan, dan interaksi rantai pasokan yang menunjang kegiatan kritisnya dan mengembangkan strategi untuk mengamankan operasi dan rantai pasokan. Strategi rencana OCM berusaha untuk meningkatkan ketahanan organisasi terhadap insiden dengan memastikan kegiatan vital tetap berlanjut pada tingkat minimum yang dapat diterima dan kerangka waktu yang disepakati, yang ditetapkan dalam analisis risiko dan dampak. Tujuan utamanya adalah untuk membangun kembali operasi dalam kerangka waktu yang disepakati, sementara tetap mempertahankan fungsifungsi yang diperlukan untuk mempertahankan operasi dan layanan, dan untuk memenuhi tujuan dan kewajiban utama.

The organization should identify equipment, supplies, and supply chain interactions that support its critical activities and develop strategies to secure operations and the supply chain. OCM plan strategies seek to improve the organization's resilience to a disruptive incident by ensuring that critical activities continue at an acceptable minimum level and to agreed timeframes stipulated within the risk and impact analysis. The ultimate aim is to re-establish operations within agreed timeframes, whilst maintaining the functions required to maintain operations and services, -and to fulfill the key deliverables and obligations.

6.7.6 Program manajemen pemulihan

6.7.6 Recovery management program

Tujuan utama rencana manajemen pemulihan adalah agar organisasi kembali secara bertahap ke tingkat kegiatan normal pra-insiden sambil tetap memperhatikan peningkatan kemampuan dan kinerja. Organisasi harus merencanakan pemulihan insiden/ gangguan dengan mempertimbangkan kewajiban kontrak, kegiatan inti, karyawan dan kebutuhan masyarakat sekitar, kontinuitas operasional, pengurangan risiko, rehabilitasi lingkungan, dan perbaikan proses.

The principle purpose of the recovery management plan is the staged return to a level of normal pre-incident activity while considering improved c apabil iti es and performanc e. The organization should pl an incident/disruption recovery taking into account contractual obligations, core activities, employee and neighboring community necessities, operational continuity, risk reduction, environmental remediation, and process improvement.

Rencana manajemen pemulihan harus menetapkan target dan prosedur pemulihan khusus untuk pelaksanaan kegiatan yang relevan. Setelah meninjau informasi tentang tingkat kerusakan dan dampak operasional yang dikumpulkan oleh tim kontinuitas dan tanggap darurat, manajemen puncak harus memilih tindakan yang akan diambil dan

The recovery management plan should set specific recovery targets and procedures for implementing relevant activities. After reviewing information on the extent of the damage and its operational impact collected by emergency response and continuity teams, top management should select measures to be taken and specify

© BSN 2012

30 dari 59


lingkungan tempat beroperasi. Organisasi besar mungkin memerlukan dokumen terpisah untuk masing-masing wilayah/ operasi fungsi vital, sedangkan untuk organisasi yang lebih kecil hal yang penting bisa dicakup dalam satu dokumen saja.


recovery milestones, time and level of resource allocation. Based on the prioritization of operations predetermined in impact analysis, an organization should prioritize the actual measures, comprehensively considering the extent of damage on equipment, actual availability of personnel and prospective progress of restoration. In accordance with this priority, the organization should establish a plan for allocation of resources such as personnel and supplies.

Rencana pemulihan harus mengidentifikasi manajemen puncak, para pengambil keputusan, dan pihak lain yang terkait dan akan mempertimbangkan:

The recovery plan should identify top management, decision makers, and other appropriate parties that will consider:

—

kemajuan dan jadual untuk pemulihan operasi;

—

progress and time table for restoration of operations;

—

sejauh mana operasi dapat dipulihkan;

—

to what extent operations can be restored;

—

penundaan seluruhnya atau sebagian dari beberapa operasi;

—

total or partial suspension of some operations;

—

kapan harus operasi;

semua

—

when to resume all operations;

—

investasi sumber daya tambahan yang diperlukan;

—

additional required;

—

peningkatan proses, infrastruktur fisik, dan operasi;

—

improvement of processes, physical infrastructures, and operations;

—

ancaman dan peluang pesaing dan mitra;

—

competitor and partner threats and opportunities;

—

rencana pencegahan pembelajaran

—

Pre-emptive planning lessons learned.

7

Penerapan dan operasi

melanjutkan

berdasarkan

7

resource

investment

based

on

Implementation and operation

7.1 Sumber daya, peran, tanggung jawab dan wewenang

7.1 Resources, roles, responsibility and authority

Organisasi harus menetapkan dan menyediakan sumber daya dan pengaturan kemitraan yang penting untuk penerapan dan pengendalian sistem IPOCM dan untuk terus meningkatkan efektivitasnya. Sumberdaya mencakup sumberdaya manusia pelaksana pekerjaan yang mempengaruhi sistem IPOCM dan ketrampilan khusus, infrastruktur, teknologi dan sumber daya keuangan, dan informasi

The organization should determine and provide resources and any necessary partnership arrangements essential to the implementation and control of the IPOCM system and to continually improve its effectiveness. Resources include human resources performing work affecting the IPOCM system and specialized skills, infrastructure, technology and

© BSN 2012

31 dari 59


menetapkan tahapan pemulihan, waktu dan tingkat alokasi sumber daya. Berdasarkan prioritas operasi yang telah ditentukan dalam analisis dampak, organisasi harus memprioritaskan langkahlangkah yang sebenarnya, yang secara komprehensif mempertimbangkan tingkat kerusakan pada peralatan, ketersediaan personil dan perbaikan yang diharapkan. Sesuai dengan prioritas ini, organisasi harus menetapkan rencana alokasi sumber daya seperti personil dan perlengkapan.


financial resources, and information and intelligence. Personnel should be competent on the basis of appropriate education, training, skills, and experience.

peran, tanggung jawab, dan kewenangan harus ditentukan, didokumentasikan, dan dikomunikasikan untuk mendapatkan IPOCM yang efektif.

Roles, responsibilities, and authorities should be defined, documented, and communicated in order to facilitate effective IPOCM.

Manajemen puncak harus menunjuk kepemimpinan dan perwakilan manajemen spesifik (terlepas dari tanggung jawab lain), yang harus mempunyai peran, tanggung jawab dan wewenang untuk:

The organization's top management should appoint leadership and a specific management representative(s) who, irrespective of other responsibilities, should have defined roles, responsibilities and authority for:

—

—

—

memastikan bahwa unsur dan proses sistem IPOCM ditetapkan, diterapkan dan dipelihara; menilai, meninjau dan melaporkan kepada manajemen puncak tentang pencapaian kinerja sistem IPOCM sebagai dasar untuk perbaikannya; Memastikan promosi kesadaran terkait unsur sistem IPOCM seluruh organisasi.

—

ensuring that IPOCM system elements and processes are established, implemented and maintained;

—

assessing, reviewing and reporting to the top management about achieving the performance of the IPOCM system as a basis for its improvement;

—

ensuring the promotion of awareness of the IPOCM system elements throughout the organization.

Organisasi harus menetapkan kemampuan logistik dan prosedur untuk mencari, memperoleh, menyimpan, mendistribusikan, memelihara, menguji, dan memperhitungkan layanan, personil, sumber daya, material dan fasilitas yang diproduksi atau disumbangkan untuk mendukung sistem IPOCM.

The organization should establish logistical capabilities and procedures to locate, acquire, store, distribute, maintain, test, and account for services, personnel, resources, materials and facilities produced or donated to support the IPOCM system.

Tujuan manajemen sumber daya yang ditetapkan harus mempertimbangkan, namun tidak terbatas pada, hal sebagai berikut:

The resource management objectives established should consider, but not be limited to, the following:

−

−

personil, peralatan, pelatihan, fasilitas, pendanaan, pengetahuan pakar, materi/ bahan, dan kerangka waktu yang dibutuhkan dari sumber daya organisasi dan dari setiap entitas mitra; kuantitas, waktu respons, kemampuan, keterbatasan, biaya, dan kewajiban yang berhubungan dengan penggunaan sumber daya yang terlibat.

7.2 Membangun dan menanamkan IPOCM dalam budaya organisasi

© BSN 2012

— personnel,

equipment, training, facilities, funding, expert knowledge, materials, and the timeframes within which they will be needed from organization's resources and from any partner entities;

— quantity, response time, capability,

limitations, cost, and liability connected with using the involved resources. 7.2 Building and embedding IPOCM in the organization's culture

32 dari 59


serta intelijen. Personil harus kompeten berdasarkan pendidikan, pelatihan, keterampilan, dan pengalaman yang sesuai.


Building, promoting and embedding an IPOCM culture within an organization ensures that it becomes part of the organization's core values and corporate governance, see Annex D. Effectively established, it instills confidence with stakeholder in the ability of the organization to cope with major disruptions.

Agar berhasil, maka IPOCM harus "dimiliki" oleh setiap orang dalam organisasi. Semua tingkat manajemen, baik atas maupun menengah, memainkan peran penting dalam penyusunan awal kegiatan dan proses vital, dengan demikian dukungan manajemen pada tahap awal adalah vital. Semua staf harus yakin bahwa IPOCM merupakan masalah serius bagi organisasi dan bahwa mereka memiliki peran penting dalam mempertahankan pengiriman produk dan jasa kepada klien dan pelanggan. Program penyadaran dan pelatihan penting untuk ditetapkan sebagai bagian dari pengenalan keseluruhan IPOCM.

To be successful IPOCM should be "owned" by everyone within an organization. All management levels, top and middle, play an essential role in the initial charting of critical activities and processes, so gaining their support at an early stage is vital. All staff should be convinced that IPOCM is a serious issue for the organization and that they have an important role to play in maintaining the delivery of products and services to their clients and customers. It is essential that awareness and training programs be established as part of the overall introduction of IPOCM.

Meningkatkan kesadaran bagi semua staf organisasi adalah penting untuk memastikan bahwa staf organisasi sadar IPOCM sedang dan mengapa diperkenalkan. Staf perlu diyakinkan bahwa IPOCM adalah inisiatif abadi yang mendapat dukungan dari pimpinan organisasi. Mereka perlu memiliki keyakinan bahwa pekerjaan mereka akan dilindungi sementara setiap insiden yang mengganggu dibatasi. Individu-individu yang disebutkan dalam rencana IPOCM juga harus mengetahui tindakan apa yang harus mereka ambil ketika rencana dilaksanakan.

Raising awareness with all the organization's staff is important to ensure that they are aware that IPOCM is being introduced and why. They will need to be convinced that this is a lasting initiative that has the support of the leadership of the organization. They need to have confidence that their jobs will be protected whilst any disruptive incident is being contained. It is also critical that individuals named in the IPOCM plans know what actions they are required to take when plans are invoked.

Anggota baru sebuah organisasi harus disadarkan tentang kebijakan IPOCM dan peranannya dalam setiap rencana. Hal ini dapat dilakukan dengan memasukkan materi IPOCM ke dalam program pengangkatan staf.

New recruits to an organization should be made aware of the IPOCM policy and their part in any plans. This can be done by incorporating IPOCM material into staff induction programs.

Kesadaran akan keseluruhan program IPOCM harus dijaga. Metodenya dapat berupa surat kabar internal, email, intranet organisasi, pertemuan tim dan komunikasi dari manajemen puncak. Di dalamnya

Awareness of the overall IPOCM program should be maintained. Methods may include internal newspapers, emails, the organization's intranet, team meetings and communications from top management. These might highlight examples where the

© BSN 2012

33 dari 59


Membangun, mempromosikan dan menanamkan budaya IPOCM dalam sebuah organisasi menjadi bagian dari nilai-nilai inti organisasi dan tata kelola perusahaan, lihat Lampiran D. Jika ditetapkan secara efektif, hal itu akan menanamkan kepercayaan kepada para pemangku kepentingan akan kemampuan organisasi untuk mengatasi gangguan besar.


organization successfully incident or near-miss and involved. The organization upon lessons identified failures.

7.3 Kompetensi, kesadaran

7.3 Competence, aw areness

pelatihan

dan

managed an praising those may also draw from external

training

and

Organisasi harus memastikan bahwa setiap orang yang bekerja untuk atau atas nama organisasi memiliki potensi untuk mencegah, menyebabkan, merespon, mengurangi atau dipengaruhi oleh ancaman / bahaya, risiko, dan dampak yang signifikan, diidentifikasi melalui organisasi yang memiliki kompetensi dasar pendidikan, pelatihan, atau pengalaman . yang sesuai dan i menyimpan rekaman terkait

The organization should ensure that any persons performing tasks for it or on its behalf that have the potential to prevent, cause, respond, mitigate or be affected by significant hazards, risks, threats and their corresponding impacts identified by the organization are competent on the basis of appropriate education, training, or experience and retain associated records.

Organisasi harus menilai kebutuhan pelatihan dan harus mengembangkan dan melaksanakan kurikulum pelatihan dan pendidikan untuk mendukung program IPOCM. Kurikulum pelatihan dan pendidikan harus memenuhi semua persyaratan peraturan yang berlaku. Tujuan pelatihan harus mampu menyadarkan dan meningkatkan keterampilan yang diperlukan untuk mengembangkan, menerapkan, memelihara dan melaksanakan program IPOCM.

The organization should assess training needs and should develop and implement a training and educational curriculum to support the IPOCM program. The training and education curriculum should comply with all applicable regulatory requirements. The objective of the training should be to create awareness and enhance the skills required to develop, implement, maintain and execute the IPOCM program.

Frekuensi dan lingkup pelatihan harus diidentifikasi.

The frequency and scope of training should be identified.

Organisasi harus menetapkan, menerapkan dan memelihara prosedur untuk memastikan orang yang bekerja untuk atau atas nama organisasi menyadari:

The organization should establish, implement and maintain procedures to ensure persons working for it or on its behalf are aware of:

— pentingnya

kesesuaian dengan kebijakan dan prosedur IPOCM, dan dengan unsur-unsur sistem IPOCM;

— the importance of conformity with the

— ancaman dan risiko yang signifikan

— the significant threats and risks and

serta dampak aktual atau potensial terkait dengan pekerjaannya dan manfaat peningkatan kinerja perorangan;

related actual or potential impacts, associated with their work and the benefits of improved personal performance;

— peran dan tanggung jawabnya dalam

IPOCM policy and procedures, and with the elements of the IPOCM system;

— their

mencapai tujuan dan sasaran program IPOCM; © BSN 2012

34 dari 59

roles and responsibilities in achieving objectives and goals of the IPOCM program;


mungkin disajikan contoh tentang keberhasilan organisasi dalam mengelola insiden dan memuji mereka yang terlibat. Organisasi dapat juga menarik pelajaran dari kegagalan di tempat lain.


respon dan insiden/gangguan;

— the procedures for incident/disruption

pemulihan

deterrence, mitigation, response and recovery;

potensial akibat menyimpang dari prosedur yang telah ditetapkan.

— the potential consequences of departure

— konsekuensi

from specified procedures.

7.4 Komunikasi dan peringatan

7.4 Communications and warning

Sehubungan dengan ancaman dan risiko dan sistem IPOCM, organisasi harus menetapkan, menerapkan dan memelihara prosedur untuk menyebarkan dan merespon permintaan untuk pra-insiden, insiden / gangguan, dan informasi pascainsiden. Ini harus mencakup prosedur untuk memberikan informasi kepada khalayak internal dan eksternal, termasuk media, dan berurusan dengan pertanyaannya juga mempertimbangkan persyaratan rutin dan darurat, untuk:

With regard to its threats and risks and IPOCM system, the organization should establish, implement and maintain procedures to disseminate and respond to requests for pre-incident, incident/disruption, and post-incident information. This should include procedures to provide information to internal and external audiences, including the media, and deal with their inquiries considering the requirements for routine and emergency states, for:

— komunikasi internal antara berbagai

— internal communication between the

tingkat dan fungsi dengan pihak mitra;

organisasi dan

mendokumentasikan dan menanggapi komunikasi yang relevan dari pihak eksternal yang berkepentingan;

various levels and functions of the organization and with partner entities;

— menerima,

— receiving,

— mengadaptasi dan mengintegrasikan

— adapting and integrating any national

setiap sistem laporan ancaman atau risiko baik nasional maupun regional atau yang setara ke dalam perencanaan dan penggunaan operasional aktual;

or regional risk or threat advisory system or equivalent into planning and actual operational use;

— Memperingatkan

orang yang berpotensi terkena dampak insiden IPOCM aktual atau mendatang;

— Memfasilitasi

komunikasi terstruktur dengan responden darurat;

— Menjamin

ketersediaan sarana komunikasi dengan penekanan pada situasi krisis dan gangguan;

— Menjamin

interoperabilitas organisasi dan personil;

beragam

documenting and responding to relevant communication from external interested parties;

— alerting people potentially impacted by

an actual incident;

or

impending

IPOCM

— facilitating structured communication

with emergency responders; — assuring

availability of the communication means with emphasis on a crisis situation and disruption;

— assuring the interoperability of multiple

responding personnel;

organizations

and

informasi vital terkait insiden, tindakan dan keputusan yang diambil;

— recording of vital information about the

— Kebutuhan fasilitas kontak pusat atau

— the need for a central contact facility or

— Pencatatan

incident, actions taken and decisions made;

pusat komunikasi. © BSN 2012

35 dari 59


— prosedur untuk pencegahan, mitigasi,


Dengan mendasarkan pada keselamatan hidup sebagai prioritas pertama dan setelah berkonsultasi dengan para pemangku kepentingan, organisasi harus memutuskan dan mendokumentasikan keputusannya apakah perlu mengkomunikasikan dengan pihak luar organisasi (eksternal) terkait ancaman dan risiko signifikan, baik sebelum dan sesudah insiden,. Jika keputusannya adalah untuk mengkomunikasikan, maka organisasi harus menetapkan dan menerapkan metode untuk komunikasi, kewaspadaan, dan peringatan eksternal ini. Data yang dikomunikasikan harus menjaga integritas informasi sensitif dan hanya membuat informasi non-sensitif tersedia sebagai informasi publik sesuai untuk mengkoordinasikan IPOCM.

The organization should decide, based on life safety as the first priority and in consultation with stakeholders, whether to communicate externally about its significant risks and threats, both before and after an incident, and should document its decision. If the decision is to communicate, the organization should establish and implement methods for this external communication, alerts, and warnings. The data communicated should preserve the integrity of sensitive information and make only non-sensitive information publicly available as is appropriate to coordinate IPOCM.

Sebelum insiden, organisasi harus mengembangkan strategi komunikasi berdasarkan:

Prior to an incident the organization should develop communications strategy based on:

— siapa yang membutuhkan informasi;

— who needs information;

— apa dan kapan informasi dibutuhkan

— what and when information is needed

atau diperlukan;

or required;

— kendala atau pembatasan organisasi

— what

organizational restrictions exist;

yang ada; — siapa yang memiliki kewenangan untuk

menyetujui komunikasi;

dan

or

— who has the authority to approve and

menyebarkan

— bagaimana berinteraksi dengan media

constraints

disseminate communications; — how to interface with the media and

how to conduct rumor control.

dan cara untuk mengendalikan desasdesus. Organisasi dapat mengembangkan komunikasi untuk dirilis sebelum insiden termasuk pedoman tindakan proaktif dan kesadaran akan program IPOCM. Strategi ini juga harus menentukan cara-cara untuk berbagai jenis komunikasi akan disebarluaskan kepada masing-masing pemangku kepentingan.

The organization may develop communications for release before an incident including proactive action guidelines and awareness of the IPOCM program. The strategy should also define the means by which different types of communications will be promulgated to each of the stakeholders.

Sistem IPOCM komunikasi harus secara teratur diuji.

The IPOCM communications should be regularly tested.

7.5 Pengendalian operasional

7.5 Operational control

Organisasi © BSN 2012

harus

menetapkan

dan

system

The organization should establish and

36 dari 59


communications hub.


implement a system of documented operational procedures and controls consistent with IPOCM policy, threats, risk and criticality assessment, impact analysis and organizational objectives. The organization should plan these operations, including maintenance, in order to ensure that they are carried out under specified conditions by:

— menetapkan,

— establishing,

menerapkan dan memelihara prosedur internal tertulis;

— menetapkan

kriteria prosedur internal;

operasi

dalam

maintaining procedures;

implementing and documented internal

— stipulating

operating criteria in the internal procedures;

pemeliharaan terkait ancaman /bahaya dan risiko signifikan, terhadap organisasi dan mengkomunikasikan prosedur dan persyaratan yang berlaku kepada rantai pasokan, termasuk kontraktor.

implementing and maintaining procedures related to the identified significant risks, threats and hazards to the organization and communicating applicable procedures and requirements to the supply chain, including contractors.

Untuk meminimalkan kemungkinan insiden yang mengganggu, prosedur ini harus mencakup pengendalian desain, instalasi, operasi, perbaikan, dan modifikasi item peralatan, instrumentasi, dll yang terkait dengan risiko. Apabila pengaturan yang ada direvisi atau pengaturan baru diperkenalkan, yang berdampak pada operasi dan kegiatan, organisasi harus mempertimbangkan untuk meminimalkan ancaman dan risiko sebelum pelaksanaannya.

To minimize the likelihood of a disruptive incident, these procedures should include controls for the design, installation, operation, refurbishment, and modification of risk related items of equipment, instrumentation, etc., as appropriate. Where existing arrangements are revised or new arrangements introduced, that could impact on operations and activities, the organization should consider the associated minimization of threats and risks before their implementation.

Pengendalian dan prosedur operasional harus menitikberatkan pada kehandalan dan ketahanan, keselamatan dan kesehatan manusia, serta perlindungan aset dan lingkungan yang terkena dampak insiden yang mengganggu.

The operational procedures and controls should address reliability and resiliency, the safety and health of people, and the protection of property and the environment impacted by a disruptive incident.

Organisasi harus menetapkan prosedur untuk menciptakan dan memelihara sistem dokumentasi IPOCM yang diperlukan untuk menjamin efektifitas perencanaan, operasi dan pengendalian proses terkait sistem IPOCMnya.

The organization should establish procedures to create and maintain an IPOCM documentation system necessary to ensure the effective planning, operation and control of processes that relate to its IPOCM system.

7.6 Keuangan dan administrasi

7.6 Finance and administration

Organisasi

The

— menetapkan prosedur penerapan dan

© BSN 2012

harus

mengembangkan

— establishing

37 dari 59

organization

should

develop


menerapkan sistem prosedur dan kontrol operasional tertulis yang konsisten dengan kebijakan IPOCM, ancaman, risiko dan penilaian vital, analisis dampak dan tujuan organisasi. Organisasi harus merencanakan operasi tersebut, termasuk pemeliharaan, untuk memastikan bahwa semuanya dilakukan dengan kondisi tertentu:


financial and administrative procedures to support the IPOCM program before, during, and after an incident. Procedures should be established to ensure that fiscal decisions can be expedited and should be in accordance with established authority levels and accounting principles. The procedures should include, but not be limited to, the following:

— menetapkan

— establishing

— otoritas keuangan, termasuk hubungan

— finance authority, including its reporting

dan mendefinisikan tanggung jawab untuk program; pelaporannya program ;

kepada

and defining responsibilities for the program;

koordinator

relationships coordinator(s);

to

the

program

— prosedur pengadaan program;

— program procurement procedures;

— gaji;

— payroll;

— sistem akuntansi untuk melacak dan

— accounting

systems document costs.

mendokumentasikan biaya. 8

Penilaian Kinerja

8

to

track

and

Performance assessment

8.1 Evaluasi sistem

8.1 System evaluation

Organisasi harus mengevaluasi rencana, prosedur, dan kemampuan IPOCM melalui tinjauan berkala, pengujian, laporan pasca-insiden, pembelajaran, evaluasi kinerja, dan latihan. Perubahan signifikan dalam faktor-faktor ini seharusnya langsung tercermin dalam prosedur.

The organization should evaluate IPOCM plans, procedures, and capabilities through periodic reviews, testing, post-incident reports, lessons learned, performance evaluations, and exercises. Significant changes in these factors ought to be reflected immediately in the procedures.

Konsisten dengan komitmen untuk taat, organisasi harus menetapkan, menerapkan dan memelihara prosedur untuk secara berkala mengevaluasi kepatuhan terhadap persyaratan hukum yang berlaku, praktek-praktek terbaik industri, dan kesesuaian dengan kebijakan dan tujuan organisasi.

Consistent with its commitment to compliance, the organization should establish, implement and maintain procedures for periodically evaluating compliance with applicable legal requirements, industry best practices, and conformance with its own policy and objectives.

Organisasi harus menyimpan rekaman hasil dari evaluasi berkala.

The organization should keep records of the results of the periodic evaluations.

8.2 Pemantauan kinerja

8.2 Performance monitoring

dan

pengukuran

Pemantauan proaktif harus digunakan untuk memeriksa kesesuaian dan efektivitas program IPOCM, sementara pemantauan reaktif harus digunakan untuk menginvestigasi, menganalisis, dan © BSN 2012

measurement

and

Proactive monitoring should be used to check conformity and effectiveness of the IPOCM program, while reactive monitoring should be used to investigate, analyze, and record

38 dari 59


prosedur keuangan dan administrasi untuk mendukung program IPOCM sebelum, selama, dan setelah insiden. Prosedur harus dibuat untuk memastikan bahwa keputusan fiskal dapat dipercepat dan harus sesuai dengan tingkat kewenangan yang ditetapkan dan prinsip akuntansi. Prosedur harus mencakup, tetapi tidak terbatas pada hal sebagai berikut:


system failures, events disruptions, including near-misses.

Organisasi harus menetapkan dan memelihara prosedur untuk memonitor dan mengukur kinerja secara teratur. Prosedur ini harus mencakup:

The organization should establish and maintain procedures to monitor and measure performance on a regular basis. These procedures should provide for: — both qualitative and quantitative measures, appropriate to the needs of the organization;

— tindakan

baik kualitatif maupun kuantitatif, sesuai dengan kebutuhan organisasi;

and

— pemantauan

sejauh mana tujuan IPOCM organisasi sedang dipenuhi;

— monitoring of the extent to which the

— langkah kinerja proaktif yang memantau

— proactive measure of performance

kesesuaian program IPOCM, kriteria operasional dan perundang-undangan dan persyaratan peraturan yang berlaku;

that monitor conformity with IPOCM program, operational criteria and applicable legislations and regulatory requirements;

— langkah kinerja reaktif untuk memantau

— reactive measures for performance

aktifitas dan gangguan, termasuk yang hampir-luput, dan bukti lain tentang rendahnya kinerja IPOCM;

to monitor events and disruptions, including near-misses, and other evidence of deficient IPOCM performance;

— pencatatan data dan hasil pemantauan

dan pengukuran yang cukup untuk memudahkan analisis tindakan korektif dan preventif selanjutnya.

organization's IPOCM objectives are being met;

— recording

of data and results of monitoring and measurement sufficient to facilitate subsequent corrective and preventative action analysis.

8.3 Pengujian dan latihan

8.3 Testing and exercises

Suatu program latihan harus konsisten dengan tujuan organisasi dan tunduk pada peraturan pemerintah. Latihan dapat mencakup uji yang mengantisipasi hasil yang telah ditentukan, tabletop, simulasi, dan latihan operasional penuh. Latihan harus didasarkan pada skenario realistis yang direncanakan dan disepakati oleh para pemangku kepentingan, sehingga dimungkinkan risiko gangguan minimal terhadap proses operasional. Setiap latihan harus memiliki sasaran dan tujuan yang jelas dan laporan pasca-latihan yang berisi rekomendasi. Laporan ini harus diformalkan dan digunakan untuk meningkatkan pengaturan IPOCM tepat waktu.

An exercise program should be consistent with the objectives of the organization and the regulatory regimes to which it is subject. Exercises may include tests which anticipate a predetermined outcome, tabletops, simulations, and full operational exercises. Exercises should be based on realistic scenarios that are carefully planned and agreed with stakeholders, so that there is minimum risk of disruption to operational processes. Every exercise should have clearly defined aims and objectives and a post-exercise report that contains recommendations. This report should be formalized and used to improve IPOCM arrangements in a timely manner.

Latihan memungkinkan untuk:

Exercises enable:

— verifikasi

— verification that the IPOCM program

bahwa program IPOCM mencakup kegiatan vital organisasi dan kegiatan prioritas serta kegiatan yang

© BSN 2012

incorporates the critical activities

39 dari 59

organizational and their


mencatat kegagalan sistem, peristiwa dan gangguan, termasuk yang hampir-luput


— orientasi dan pengujian bagi personil

— orientation

and testing of those charged with the responsibility for the IPOCM program with their roles and responsibilities;

yang diberi tanggung jawab untuk program IPOCM; — perbaikan yang berkelanjutan program

— continuous

improvement IPOCM program;

IPOCM; — pengujian

sistem operasional yang sifatnya teknis, logistik, administratif, prosedural dan lain-lain dari rencana IPOCM;

— testing

— pengujian organisasi dan infrastruktur

— testing

of

the

of the technical, logistical, administrative, procedural and other operational systems of the IPOCM plans; of IPOCM organization and infrastructure (including command centers and work areas);

IPOCM (termasuk pusat komando dan wilayah kerja); dan

and telecommunications resource recovery, availability and relocation of staff;

— pencatatan data dan hasil pengujian

— recording of data and results of testing

dan latihan yang cukup untuk memudahkan analisis tindakan korektif dan preventif selanjutnya.

and exercises sufficient to facilitate subsequent corrective and preventative action analysis.

— pemulihan sumber daya teknologi dan

telekomunikasi, relokasi staf;

ketersediaan

Persyaratan pengujian harus tetapi tidak terbatas, pada:

meliputi,

— technology

Testing requirements should include, but not be limited to:

— rencana staf;

—

staff plans;

— rencana manajemen insiden;

—

incident management plans;

— rencana komunikasi;

—

communication plans;

— pemulihan kegiatan vital;

—

recovery of critical activities;

— site plan;

—

site plans;

dan

—

data back-up and recovery, physical and computer security;

yang diberlakukan oleh

—

requirements imposed by law.

— back-up

dan recovery data, keamanan fisik dan komputer;

— persyaratan

and

hukum. 8.4 Tindakan korektif dan preventif

8.4 Corrective and preventive action

Organisasi harus menetapkan, menerapkan dan memelihara prosedur korektif untuk mengatasi kekurangsempurnaan program aktual serta potensial dan untuk mengambil langkah perbaikan dan tindakan pencegahan. Prosedur ini harus menentukan kriteria untuk:

The organization should establish, implement and maintain corrective procedures for dealing with actual and potential program shortfalls and for taking corrective action and preventive action. The procedures should define criteria for:

—

mengidentifikasi dan memperbaiki kekurangsempurnaan program dan mengambil tindakan untuk mengurangi dampaknya;

—

identifying and correcting program shortfalls and taking actions to mitigate their impacts;

—

menyelidiki

—

investigating

© BSN 2012

kekurangsempurnaan

40 dari 59

program

shortfalls,


dependencies and priorities;

tergantung padanya;


—

mengevaluasi kebutuhan tindakan untuk mencegah kekurangsempurnaan program dan menerapkan tindakan yang dirancang untuk menghindari terjadinya;

—

evaluating the need for actions to prevent program shortfalls and implementing appropriate actions designed to avoid their occurrence;

—

merekam hasil tindakan perbaikan dan tindakan pencegahan yang diambil;

—

recording the results of corrective actions and preventive actions taken;

—

meninjau efektifitas tindakan perbaikan dan tindakan pencegahan yang diambil.

—

reviewing the effectiveness of corrective actions and preventive actions taken.

Tindakan yang diambil harus sesuai dengan besarnya masalah dan risiko serta potensi dampak yang dihadapi. Organisasi harus memastikan bahwa setiap perubahan yang diperlukan dibuat untuk dokumentasi sistem IPOCM.

Actions taken should be appropriate to the magnitude of the problems and the risk and their potential impacts encountered. The organization should ensure that any necessary changes are made to IPOCM system documentation.

8.5 Pemeliharaan

8.5 Maintenance

Program pemeliharaan IPOCM yang terdefinisi dan terdokumentasi dengan jelas harus ditetapkan. Program ini harus menjamin bahwa setiap perubahan (internal atau eksternal) yang mempengaruhi organisasi ditinjau dalam kaitannya dengan POCK. Program ini juga harus mengidentifikasi kegiatan vital baru yang perlu dimasukkan dalam program pemeliharaan IPOCM.

A clearly defined and documented IPOCM maintenance program should be established. This program should ensure that any changes (internal or external) that impact the organization are reviewed in relation to POCK It should also identify any new critical activities that need to be included in the IPOCM maintenance program.

Program pemeliharaan secara berkala:

The IPOCM maintenance program should periodically:

IPOCM

harus

—

meninjau-ulang dan menguji setiap asumsi yang dibuat dalam analisis dampak;

—

review and challenge any assumptions made in the impact analysis;

—

mendistribusikan perbaharuan, amandemen atau perubahan pada kebijakan, strategi, solusi, proses dan rencana IPOCM untuk personil kunci dengan proses kendali perubahan secara formal.

—

distribute updated, amended or changed IPOCM policy, strategies, solutions. processes and plans to key personnel under a formal change (version) control process.

Hasil dari proses pemeliharaan IPOCM harus mencakup:

The outcomes from the IPOCM maintenance process should include:

—

bukti terdokumentasi atas manajemen dan tata-kelola yang proaktif terhadap program IPOCM;

—

documented evidence of the proactive management and governance of the organization's IPOCM program;

—

verifikasi adanya proses atau prosedur

—

verification

© BSN 2012

41 dari 59

that

effective

change


determining their causes and taking actions in order to avoid their recurrence;

program, menentukan penyebabnya dan mengambil tindakan untuk mencegah terulangnya;


efektif

terhadap

(version) control processes procedures are in place;

perubahan

or

—

verifikasi bahwa personil kunci yang menerapkan strategi dan rencana IPOCM ada di tempat;

—

verification that key people who are to implement the IPOCM strategy and plans remain in place;

—

identifikasi dan dokumentasi pemeliharaan IPOCM;

jadual

—

identification and documentation of the IPOCM maintenance schedule;

—

verifikasi pemantauan pengendalian risiko IPOCM dihadapi oleh organisasi.

dan yang

—

verification of the monitoring and control of the IPOCM risks faced by the organization.

8.6 Audit dan penilaian internal

8.6 Internal audits and self assessment

Organisasi harus memastikan bahwa audit dan penilaian internal terhadap sistem IPOCM dilakukan pada interval yang direncanakan untuk menentukan apakah sistem IPOCM sesuai dengan pengaturan yang direncanakan untuk IPOCM dan bahwa program IPOCM telah diterapkan dan terpelihara. Penilaian internal harus mempertimbangkan pentingnya ketahanan operasi yang bersangkutan dan hasil audit sebelumnya.

The organization should ensure that internal audits and self-assessment of the IPOCM system are conducted at planned intervals to determine whether the IPOCM system conforms to planned arrangements for IPOCM and that the IPOCM program has been properly implemented and is maintained. The self-assessment should take into consideration the importance of the resilience of operations concerned and the results of previous audits.

Prosedur audit dan penilaian internal harus ditetapkan, diterapkan dan dipelihara, yang memuat tanggung jawab dan persyaratan untuk perencanaan dan pelaksanaan audit, pelaporan hasil dan mempertahankan catatan yang terkait; penentuan kriteria audit, ruang lingkup, frekuensi dan metode, dan memberikan informasi hasil audit kepada manajemen. Pemilihan auditor dan pelaksanaan audit harus menjamin objektivitas dan ketidakberpihakan proses audit.

Audit and self-assessment procedures should be established, implemented and maintained that address responsibilities and requirements for planning and conducting audits, reporting results and retaining associated records, determination of audit criteria, scope, frequency and methods, and provide information on the results of audits to management. Selection of auditors and conduct of audits should ensure objectivity and the impartiality of the audit process.

Penilaian internal atas program IPOCM harus menyertakan verifikasi bahwa:

Self-assessment of the organization's IPOCM program should incorporate verification that:

—

kegiatan vital dan ketergantungannya telah diidentifikasi dan dimasukkan dalam strategi IPOCM;

—

the critical activities and their dependencies have been identified and included in the organization's IPOCM strategy;

—

kebijakan, strategi, kerangka kerja dan rencana IPOCM, selalu secara akurat mencerminkan prioritas dan persyaratan;

—

the organization's IPOCM policy, strategies, framework and plans continue to accurately reflect its priorities and requirements;

—

kompetensi dan kemampuan IPOCM efektif dan sesuai serta memungkinkan manajemen, komando, pengendalian dan koordinasi insiden IPOCM;

—

the organization's IPOCM competence and its IPOCM capability are effective and fit-forpurpose and will permit

© BSN 2012

42 dari 59


kendali (versi);


—

solusi IPOCM efektif, mutakhir dan sesuai dengan tingkat risiko yang dihadapi oleh organisasi;

—

the organization's IPOCM solutions are effective, up-to-date and fit-forpurpose, and appropriate to the level of risk faced by the organization;

—

program latihan dan pemeliharaan IPOCM telah dilaksanakan secara efektif;

—

the organization's maintenance and program have been implemented;

—

strategi dan rencana IPOCM menggabungkan pembelajaran yang dipetik dari latihan, sebagaimana tercantum dalam laporan pasca-latihan, dan perubahan yang timbul dari program pemeliharaan;

—

IPOCM strategies and plans incorporate lessons learned from exercises, as contained in a postexercise report, and amendments arising from the maintenance program;

—

proses kontrol perubahan tersedia dan beroperasi secara efektif.

—

change control processes are in place and operate effectively.

IPOCM exercising effectively

Penilaian internal harus dilakukan terhadap tujuan organisasi. Penilaian internal sebaiknya mempertimbangkan juga standar industri yang relevan dan praktik yang baik.

Self assessment should be conducted against the organization's objectives. It should also take into account relevant industry standards and good practice.

9

9 Management review

Tinjauan manajemen

Manajemen puncak harus meninjau sistem IPOCM organisasinya, pada interval yang direncanakan untuk memastikan kesesuaian, kecukupan dan efektifitas. Tinjauan harus mencakup penilaian atas peluang perbaikan dan kebutuhan untuk perubahan sistem IPOCM, termasuk kebijakan IPOCM dan tujuan IPOCM. Rekaman dari tinjauan manajemen harus disimpan. Masukan untuk tinjauan manajemen harus meliputi, antara lain: —

hasil audit internal dan evaluasi ketaatan terhadap persyaratan hukum dan persyaratan lain yang diikuti organisasi;

—

Top management should review the organization's IPOCM system, at planned intervals, to ensure its continuing suitability, adequacy and effectiveness. Reviews should include assessing opportunities for improvement and the need for changes to the IPOCM system, including the IPOCM policy and IPOCM objectives. Records of the management reviews should be retained. Input to management reviews should include, but not be limited to: —

results of internal audits and evaluations of compliance with legal requirements and with other requirements to which the organization subscribes;

komunikasi dari pihak eksternal yang berkepentingan, termasuk keluhan;

—

communication(s) from interested parties, complaints;

—

kinerja kesiapsiagaan insiden dan kontinuitas operasional organisasi;

—

incident preparedness and operational continuity performance of the organization;

—

lingkup tujuan organisasi yang telah

© BSN 2012

43 dari 59

external including


management, command, control and coordination of a IPOCM incident;


— —

—

—

—

extent to which organizational objectives have been met;

—

status of corrective and preventive actions;

—

follow-up actions from management reviews;

—

changing threats and hazards, circumstances, including developments in legal and other requirements related to its risks, threats and hazards;

—

recommendations for improvement.

status tindakan korektif dan preventif; tindak lanjut dari tinjauan manajemen sebelumnya; ancaman/bahaya keadaan yang berubah termasuk perkembangan dalam persyaratan hukum dan lainnya yang terkait dengan risiko, dan ancaman/bahaya; rekomendasi untuk perbaikan.

Hasil dari tinjauan manajemen harus mencakup setiap keputusan dan tindakan yang terkait dengan kemungkinan perubahan kebijakan IPOCM, tujuan, sasaran dan unsur lain dari sistem IPOCM, konsisten dengan komitmen untuk perbaikan berkelanjutan.

The outputs from management reviews should include any decisions and actions related to possible changes to IPOCM policy, objectives, targets and other elements of the IPOCM system, consistent with the commitment to continual improvement.

Annex A (informative) Impact analysis procedure

Lampiran A (informatif) Prosedur analisis dampak A.1 Umum © BSN 2012

previous

A.1 General 44 dari 59


dipenuhi;


When performing an impact analysis for the disruption of operations, an organization should categorize disruptions by extent in the following way:

a) Dampak akibat insiden terbatas pada tempat organisasi;

a)

Impact due to an incident limited to the organization's premises;

b) Dampak akibat insiden menyebar ke sekitar organisasi;

b)

Impact due to an incident is spread into neighboring areas of the organization;

c) Dampak akibat insiden di daerah luas dan kerusakannya menyebar ke warga setempat, organisasi lain di masyarakat, infrastruktur masyarakat, dan rantai pasokan.

c)

Impacts due to an incident in wide areas and where damage is spread through local citizens, other organizations in the community, community infrastructure, and supply chain.

A.2 Prosedur analisis dampak

A.2 Impact analysis procedure

Tergantung pada urgensi dan sifat kegiatan vital yang dipengaruhi oleh insiden, organisasi harus membuat keputusan menyeluruh tentang dampak operasional dan langkah pemulihan, termasuk, namun tidak terbatas pada, langkah interaktif berikut:

Depending on the urgency and nature of critical operations affected by an incident, an organization should make an overall decision about operational impacts and restoration measures, including but not limited to the following interactive steps:

a) Estimasi waktu yang bisa diterima

a) Estimation of acceptable downtime

sebuah organisasi tidak beroperasi (acceptable downtime) dan penanganan insiden yang mengganggu: Perkiraan periode gangguan maksimum yang dapat ditoleransi dengan pertimbangan kemungkinan reaksi dari semua pemangku kepentingan terutama pihak yang mungkin akan terganggu kiriman produk dan jasa. Biaya-biaya terukur dan dampak yang tak berwujud harus dinilai. Organisasi harus mengevaluasi dampak risiko prioritas utama yang ditentukan dalam evaluasi dan penilaian risiko terhadap manajemen organisasi, dan memperkirakan berapa lama operasi dapat ditunda; b) Penentuan operasi vital: Organisasi harus mengidentifikasi operasi vital yang diprioritaskan untuk berlanjut jika ada risiko. Organisasi harus mengevaluasi

and treatment for a disruptive incident: Estimation of maximum tolerable period of disruption by considering the possible reaction of all stakeholders especially those to whom the delivery of products and services would be disrupted. Quantifiable costs and intangible impacts should both be assessed. The organization should evaluate impacts of the high-priority risks determined in the risk evaluation and assessment on its organizational management, and estimate how long operations can be suspended;

© BSN 2012

b) Determination of critical operations:

The organization should identify critical operations that are given high priority for continuation when risks are realized. An organization should

45 dari 59


Ketika melakukan analisis mengenai dampak atas gangguan operasi, organisasi sebaiknya mengkategorikan gangguan dengan batas sebagai berikut:


c) Antisipasi kerusakan pada operasi

vital: Organisasi harus mengantisipasi tingkat kerusakan pada operasi vital dengan mempertimbangkan dampak terhadap berbagai unsur seperti fasilitas, peralatan, personil, bahan baku, transportasi, pengemasan, dan pelanggan. Organisasi terutama harus mempertimbangkan risiko prioritas utama ketika mengantisipasi kerusakan. Namun organisasi harus mencatat penundaan fungsinya ketika mengantisipasi kerusakan, sehingga dapat menerapkan hasil antisipasi kerusakan terhadap risiko potensial dan risiko yang tidak terduga lainnya; d) Menyiapkan

sasaran waktu pemulihan (RTO): Berdasarkan hasil analisis dampak, hubungan dengan para pemangku kepentingan dan misi sosial, organisasi harus menetapkan RTO untuk mengembalikan operasi vital ketika mempertimbangkan periode maksimum gangguan operasi vital yang dapat ditoleransi. Jika RTO diatur dalam kontrak, undangundang atau peraturan khusus, organisasi harus mematuhi persyaratan tersebut ketika mengatur RTO sendiri. Dalam hal bencana berdampak luas seperti bencana alam, organisasi harus memahami bahwa kerjasama dengan organisasi lain dalam pengalokasian sumber daya lokal manusia dan fisik yang tersedia sangat penting bagi pemulihan operasional sendiri karena sumber daya yang diperlukan untuk respon atau restorasi mungkin langka atau tidak didistribusikan secara optimal. Memperkirakan kemajuan kegiatan pemulihan masyarakat, organisasi harus menetapkan RTO dengan cara

© BSN 2012

quantitatively evaluate impacts of suspension of the critical operations on its organizational management as these may increase over time; c) Anticipation

of damage on the critical operations: The organization should anticipate degree of damage on the critical operations by considering impacts on various elements such as facilities, equipment, personnel, raw materials, transport, packaging and customers. The organization should primarily consider the highpriority risks when anticipating damage. The organization, however, should note suspension of its functions, when anticipating damage, so that it can apply the damage anticipation results to other potential risks and unexpected risks;

d) Setting

up recovery time objectives (RTO): Based on the impact analysis results, relationship with stakeholders and social mission, an organization should set up RTOs to restore the critical operations while considering maximum tolerable period of disruption of the critical operations. If the RTO is stipulated in contracts, special laws or ordinances, an organization should abide by such requirements when setting up its own RTO. In the event of widearea disaster such as natural disaster, an organization should understand that cooperation with other organizations in allocating locally-available human and physical resources is essential for its own operational restoration because resources required for response or restoration may be scarce or not optimally distributed. Estimating progress of community recovery activities, the organization should set up its RTO in a way not to hinder rescue of human lives and local emergency operations, but to enable an

46 dari 59


secara kuantitatif dampak dari penundaan operasi vital terhadap manajemen organisasi karena akan meningkat seiring waktu;


e) Mengidentifikasi sumber daya yang

penting untuk restorasi: Berdasarkan antisipasi kerusakan pada operasi vital, organisasi harus mengidentifikasi dan mengalokasikan sumber daya penting seperti fasilitas utama, peralatan, personil dan informasi penting untuk kembalinya kegiatan manufaktur dan pemulihan operasinya.

© BSN 2012

organization to perform assistance activities in collaboration and cooperation with community's recovery activities;

e) Identify

important resources essential for restoration: Based on anticipated damage on the critical operation, an organization should identify and allocate such important resources as major facilities, equipment, personnel and information essential for resumption of its manufacturing activities and restoration of its operations

47 dari 59


yang tidak menghalangi penyelamatan nyawa manusia dan operasi darurat lokal, melainkan memungkinkan organisasi untuk melakukan kegiatan bantuan dalam kolaborasi dan kerjasama dengan kegiatan pemulihan masyarakat;


This is a generalized flow diagram - other methodologies may be used for the impact analysis.

Figure A.1 — Impact analysis flow diagram

© BSN 2012

48 dari 59


NOTE


Identifikasikan operasi, fungsi, produk dan jasa vital

Penentuan awal skenario risiko dan konsekuensinya

Penilaian risiko

Tentukan lingkup analisis dampak

Estimasikan waktu henti operasi (downtime)

Tentukan operasi vital

Antisipasi kerusakan bagi operasi vital

Dampak operasional

Korban manusia

Dampak finansial

Citra dan reputasi

Tentukan penghentian (outage) maksimum

Tentukan sasaran waktu pemulihan (RTO)

Persayaratan sumberdaya untuk pemulihan

CATATAN

Ini adalah diagram alir umum - metodologi lainnya dapat digunakan untuk analisis dampak ini.

Gambar A.1 - Diagram alir analisis dampak

© BSN 2012

49 dari 59


Definisikan lingkup program IPOCM


A n n e x B (informative)

Program manajemen tanggap darurat

Emergency response management program

B.1 Peran dan tanggung jawab untuk program manajemen tanggap darurat

B.1 Roles emergency programs

Rencana harus disiapkan termasuk ketentuan tentang peran dan tanggung jawab tim dengan pelatihan yang sesuai untuk melakukan kegiatan dan fungsi sebagai berikut:

Plans should be prepared including provisions for roles and responsibilities of teams with appropriate training to undertake such activities and functions including, but not limited to, the following:

— tempat evakuasi, tempat peralatan

—

dan logistik, dan titik kumpul; — layanan kepindahan; — bantuan transportasi

termasuk arahan yang diperlukan; — penghubung yang ditunjuk dan informasi kontak untuk pelayanan darurat, badan yang sesuai, dan responden pertama;

— — —

and responsibilities for response management

site evacuation, staging areas, and assembly points; translation services; transport assistance including directions as required; designated liaisons and contact information for emergency services, appropriate agencies, and first responders; emergency contact with a chosen next of kin contact; information sharing with internal and external stakeholders;

kerabat

—

informasi dengan pemangku kepentingan internal dan eksternal; — mencari tenaga kerja atau kontraktor pengungsi; — mengelola saluran telepon bantuan; — rehabilitasi dan pelayanan konseling (fisik dan emosional).

—

B.2 Persyaratan sumber daya untuk program manajemen tanggap darurat

B.2 Resource requirements for emergency response management programs

Ketika mengembangkan program manajemen respon, persyaratan sumber daya minimum harus diidentifikasi dan lokasi dipastikan untuk unsur-unsur sebagai berikut:

When developing response management programs minimum resource requirements should be identified and locations secured for elements including, but not limited to:

— kontak

darurat

dengan

terdekat; — berbagi

— catatan

vital elektronik);

(hardcopy

— — —

dan

— daftar kontak staf; © BSN 2012

locating displaced workforce or contractors; managing telephone help lines; rehabilitation and counseling services (physical and emotional).

— vital

records electronic);

(hardcopy

— contact lists of staff; 50 dari 59

and


Lampiran B (informatif)


— operating and procedure manuals;

— prosedur dan rencana pemulihan

— IT technical recovery plans and

teknis IT;

procedures;

— lokasi fasilitas penyimpanan luar

— location of offsite storage facilities

kantor yang sedang digunakan oleh organisasi;

being used by the organization; — alternate

office and locations (if required);

— kantor dan lokasi operasi yang

berubah; — wewenang/pendelegasian

operation

— authorities/delegations

for the payment of emergency expenses;

untuk

pembayaran biaya darurat;

— a list of staff with expertise required

— Daftar staf dengan keahlian yang

by the operational units;

dibutuhkan oleh unit operasional; — Infrastruktur dan aplikasi IT;

— IT infrastructure and applications;

— Dukungan telekomunikasi;

— telecommunications support;

— peralatan

— office and specialist equipment;

kantor

dan

peralatan

khusus; — utilities (water, power, etc.).

— utilitas (air, listrik, dll).

Sumber daya untuk rencana manajemen dan tanggap darurat harus secara spesifik diidentifikasi. Sumber daya harus tersedia tepat waktu dan memiliki kemampuan untuk menjalankan fungsinya. Hambatan terhadap penggunaan sumber daya harus diperhitungkan, dan penggunaan sumber daya tidak boleh berlebihan sehingga akan menimbulkan kegagalan. Biaya sumber daya tidak boleh lebih besar daripada manfaatnya.

Resources for the emergency response and management plans should be specifically identified. A resource should be available in a timely manner and should have the capability to do its intended function. Restriction on the use of the resource should be taken into account, and application of the resource should not incur more liability than would failure to use the resource. The cost of the resource should not outweigh the benefit.

Sumber daya ini meliputi hal sebagai berikut:

These resources include, but are not limited to, the following:

— lokasi,

kuantitas, aksesibilitas, operabilitas, dan pemeliharaan peralatan (misalnya tugas berat, pelindung, transportasi, pemantauan, dekontaminasi, respon, peralatan pelindung diri);

— persediaan (misalnya bahan untuk

kesehatan, kebersihan pribadi, bahan habis pakai, administrasi, es); — sumber

energi (misalnya listrik, bahan bakar);

— pembangkit

daya

darurat

— the

locations, quantities, accessibility, operability, and maintenance of equipment (e.g. heavy duty, protective, transportation, monitoring, decontamination, response, personal protective equipment);

— supplies (e.g. medical, personal

hygiene, administrative, ice);

consumable,

— sources of energy (e.g. electrical,

fuel); — emergency

power

production

(generators);

(generator); — sistem komunikasi;

— communications systems;

— makanan dan air;

— food and water;

© BSN 2012

51 dari 59


— manual operasi dan prosedur;


— technical information;

— pakaian dan tempat tinggal;

— clothing and shelter;

— personil

— specialized

— kelompok

— specialized volunteer groups (e.g.

khusus (misalnya kesehatan, keagamaan, organisasi relawan, staf manajemen bencana/darurat, tenaga utilitas, pemeriksa mayat dan kontraktor swasta);

personnel (e.g. medical, religious, volunteer organizations, disaster/emergency management staff, utility workers, morticians and private contractors);

relawan khusus (misalnya, palang merah, radio amatir, organisasi bantuan keagamaan, badan amal);

— relawan,

masyarakat, dukungan tanggap darurat;

red cross, amateur radio, religious relief organizations, charitable agencies); — volunteer,

community, and emergency response support;

dan

internasional, propinsi, kabupaten/kota, adat dan lembaga setempat lainnya.

— external international federal, state,

B.3 Unsur tambahan untuk program manajemen tanggap darurat

B.3 Additional elements for emergency response management programs

Apabila diperlukan, rencana tersebut juga dapat mencakup:

Where appropriate, the plan may also include:

— lembaga

provincial, tribal, local agencies.

— peta/grafik/rencana/foto

dan informasi lainnya yang berguna untuk sebuah tim respon; respon tertulis yang disetujui pihak ketiga (mitra patungan, kontraktor, pemasok, dll);

territorial,

and

— maps/charts/plans/photographs

and other information useful to a response team;

— strategi

— documented

— rincian tempat peralatan;

— details of equipment staging areas;

— denah jalan masuk;

— site access plans;

— rencana manajemen klaim yang

— claims

memastikan jaminan asuransi dan tuntutan hukum untuk atau terhadap organisasi yang memenuhi persyaratan peraturan dan kontrak.

© BSN 2012

52 dari 59

response strategies agreed with third parties, as appropriate (joint venture partners, contractors, suppliers, etc.);

management plan that ensures insurance and legal claims for or against the organization meet regulatory and contractual requirements.


— informasi teknis;


Annex C (informative)

Program manajemen kontinuitas

Continuity management program

C.1 Konsolidasi dan dokumentasi rencana OCM

C.1 Consolidation and documentation of OCM plans

Konsolidasi dan dokumentasi rencana OCM harus mengidentifikasi unsur-unsur sebagai berikut:

Consolidation and documentation of OCM plans should identify elements including, but not limited to:

— fungsi operasional, unit atau lokasi

organisasi yang dicakup dengan rencana tersebut;

— the

operational organizational unit covered by the plan;

or

function, location

— strategi respon yang didukung oleh — the response strategy supported by

rencana tersebut; — tindakan

dan kegiatan yang dibutuhkan untuk melaksanakan strategi respon dan operasi pemeliharaan/pemulihan;

— poin pemicu tertentu pada tempat

diberlakukannya rencana; — lamanya

waktu untuk setiap langkah yang harus diambil pada kondisi tertentu; yang bertanggung jawab untuk melaksanakan kegiatan tersebut;

the plan; — the actions and activities required

to implement the response strategy and maintain/restore operations; — specific trigger points at which the

plans should be enacted; — the length of time that each action

step should take under specified conditions;

— orang

— pengganti atau cadangan untuk

setiap individu yang bertanggung jawab; — keterampilan

dan pengetahuan penting untuk operasi vital;

— teknologi informasi, data, dan aset

teknologi yang dibutuhkan, termasuk back-up informasi; — daftar dokumen pendukung atau

informasi kontak yang diperlukan untuk menyelesaikan kegiatan (termasuk tapi tidak terbatas pada: rincian kontak untuk pemasok sumber daya yang vital, pelanggan dan staf; hirarki panggilan; dan dokumentasi (hardcopy atau data) yang dibutuhkan untuk melakukan kegiatan); — rincian kontak lembaga eksternal

yang diperlukan untuk dukungan, atau untuk diberitahu (misalnya penyedia tempat pemulihan, © BSN 2012

53 dari 59

— the

person responsible undertaking these activities;

for

— alternates or stand-ins for each

responsible individual; — essential skills and knowledge for

critical operations; — information technology, data, and

technology assets needed, including back-up of information; — a

list of any supporting documentation or contact information required to complete the activity [including by not limited to: contact details for critical resource suppliers, customers and staff; call out hierarchy/trees; and documentation (hardcopy or data) required to undertake the activity);

— contact details of external agencies

required for support, or to be notified (e.g. recovery site providers, consultants, storage facilities, alternate


Lampiran C (informatif)


— a

primary and alternative operations centre from which direction and control are exercised if needed;

— pusat operasi utama dan alternatif

untuk pengarahan pengendalian jika diperlukan;

dan

— utilitas dan pelayanan publik yang

— utilities and public services required

dibutuhkan untuk operasi.

for operations.

C.2 Mengidentifikasi peralatan, pasokan, dan interaksi rantai pasokan

C.2 Identify equipment, supplies, and supply chain interactions

Organisasi harus mengidentifikasi peralatan, pasokan, dan interaksi rantai pasokan yang menunjang kegiatan vital dan mengembangkan strategi untuk mengamankan operasi dan rantai pasokan antara lain sebagai berikut:

The organization should identify equipment, supplies, and supply chain interactions that support its critical activities and develop strategies to secure operations and the supply chain including, but not limited to:

— penyimpanan pasokan tambahan di

— storage of additional supplies at

lokasi lain;

another location;

— perjanjian

dengan pihak ketiga untuk pengiriman stok dalam waktu singkat;

— arrangements with third parties for

— pengalihan pengiriman tepat-waktu

— diversion of just-in-time deliveries

delivery of stock at short notice;

to other locations;

ke lokasi lain; — penyimpanan

bahan di gudang atau tempat pengiriman;

— pengalihan operasi sub-perakitan

ke lokasi alternatif;

— holding of materials at warehouses

or shipping sites; — transfer

of sub-assembly operations to an alternate location;

— penyimpanan

— holding

— mitigasi

— additional risk mitigation for unique

peralatan tua sebagai pengganti darurat atau suku cadang; risiko tambahan untuk peralatan unik atau waktu pemesanan lama (long lead time);

of older equipment as emergency replacement or spares;

or long lead time equipment;

— keragaman geografis proses vital;

— geographic

diversity

of

critical

— beragam pemasok;

— multiple suppliers;

— sistem berlebihan;

— redundant systems;

— perjanjian kontrak dengan pemasok

— contractual agreements with key

processes;

suppliers;

utama; — pemasok alternative tercatat;

— identified alternate suppliers;

— perjanjian kerja sama dengan mitra

— cooperative agreement with supply

chain partners in advance;

rantai pasokan sebelumnya; — kontrak pabrik peralatan asli dan

perjanjian pesaing.

© BSN 2012

bantuan

dengan

54 dari 59

— original

equipment manufacturer contracts and assistance agreements with competitors.


accommodation);

konsultan, fasilitas penyimpanan, akomodasi alternatif);


C.3 OCM plan strategy options

Pilihan meliputi, antara lain:

Options include, but are not limited to:

— Pengalihan atau relokasi proses: Ini

— Process transfer or relocation: This

melibatkan pengalihan kegiatan vital baik secara internal ke bagian lain organisasi, maupun eksternal kepada pihak ketiga, baik secara mandiri maupun melalui perjanjian bantuan timbal balik atau saling menguntungkan;

involves the transfer of critical activities either internally to another part of the organization, or externally to a third party, either independently or through a reciprocal or mutual aid agreement;

— Perjanjian

bantuan timbal balik: Perjanjian bantuan timbal balik antara pihak mungkin merupakan cara yang efektif untuk mendapatkan sumber daya dan harus dikembangkan jika mungkin. Perjanjian bantuan timbal balik harus dilakukan secara tertulis, ditinjau oleh penasehat hukum, ditandatangani oleh pejabat yang bertanggung jawab, mendefinisikan kewajiban, dan detil pengaturan pendanaan dan biaya. Perjanjian bantuan timbal balik dapat meliputi perjanjian bantuan kerjasama, kontrak antar pemerintah, atau istilah lain yang umum digunakan untuk berbagi sumber daya;

— Mutual aid agreements: Mutual aid

— Solusi sementara: Ini merupakan

— Temporary workaround: This is an

alternatif bagi pengalihan proses. Mungkin layak untuk mengadopsi cara kerja yang berbeda yang tetap memberikan hasil akhir yang sama atau serupa tetapi dapat diterima. Mungkin solusi ini akan lebih memakan waktu dan/atau padat karya (misalnya operasi manual ketimbang sistem otomatis). Karena itu solusi hanya dipertimbangkan berdasarkan jangka pendek-menengah dan kelonggaran dibuat sebagai strategi yang direncanakan untuk kembali ke normal;

alternative to transferring a process. It might be feasible to adopt a different way of working which nonetheless provides the same, or similar, but acceptable, end results. It is probable that the workaround will be more time consuming and/or labor-intensive (e.g. a manual operation as opposed to an automated system). For these reasons, workaround should only be considered on a short-medium term basis and allowances made in the strategy for planned return to normal;

— Perubahan,

penundaan atau penghentian: Dalam beberapa situasi mungkin cocok untuk mengubah, menunda atau mengakhiri layanan, produk, fungsi atau proses. Opsi ini hanya dipertimbangkan bila tidak ada konflik dengan tujuan organisasi,

© BSN 2012

55 dari 59

agreements between entities may be an effective means to obtain resources and should be developed whenever possible. Mutual aid agreements should be in writing, be reviewed by legal counsel, be signed by a responsible official, define liability, and detail funding and cost arrangements. The mutual aid agreement may include cooperative assistance agreements, intergovernmental compacts, or other terms commonly used for the sharing of resources;

— Change, suspension or termination:

In some circumstances it might be appropriate to change, suspend or end the service, product, function or process. This option should only be considered where there is no conflict with the organization's objectives, statutory compliance


C.3 Pilihan strategi rencana OCM


— Asuransi:

(Pembelian premi asuransi dapat memberikan semacam rekompensasi bagi beberapa kerugian, tapi tidak akan memenuhi semua biaya (misalnya peristiwa, merek, reputasi, keuntungan pemangku kepentingan, pangsa pasar dan nilai kemanusiaan yang tidak diasuransikan). Sebuah penyelesaian keuangan saja tidak mungkin untuk sepenuhnya melindungi organisasi dan memenuhi keinginan pemangku kepentingan. Perlindungan asuransi lebih mungkin digunakan bersama dengan satu atau lebih strategi lainnya.

© BSN 2012

56 dari 59

and stakeholder expectation. This approach is most likely to be considered where a product or service has a limited lifespan;

— Insurance: Purchase of insurance

can provide some financial recompense for some losses, but will not meet all cost (e.g. uninsured events, brand, reputation, stakeholder value, market share and human consequences). A financial settlement alone is unlikely to fully protect the organization and satisfy stakeholder expectations. Insurance cover is more likely to be used in conjunction with one or more other strategies.


kepatuhan hukum dan keinginan pemangku kepentingan. Pendekatan ini paling mungkin untuk dipertimbangkan ketika suatu produk atau jasa memiliki masa terbatas;


Annex D (informative)

Membangun budaya kesiapsiagaan insiden dan kontinuitas operasional

Building an incident preparedness and operational continuity culture

D.1 Unsur

D.1 Elements

Untuk berhasil menanamkan budaya IPOCM, berikut ini harus ada, antara lain:

To successfully embed an IPOCM culture, the following should be present, but not limited to:

— Persetujuan dewan pengurus dan

— the

acceptance by the organization's board and leadership that IPOCM supports organizations values and is an integral part of good governance;

pimpinan organisasi bahwa IPOCM mendukung nilai-nilai organisasi dan merupakan bagian integral dari tata pemerintahan yang baik; — Publikasi

pernyataan kebijakan IPOCM yang jelas yang disepakati dan "ditandatangani" oleh pengurus organisasi dan eksekutif manajemen;

— the publication of a clearly defined

— Pemahaman tentang budaya yang

— an understanding of the culture

ada di dalam dan di luar organisasi;

that exists within and outside the organization;

IPOCM policy statement agreed and "signed off" by the organization's board and executive management;

— Penunjukan

wakil manajemen puncak yang bertanggung jawab untuk dan mendorong implementasi kebijakan IPOCM;

— the

— Proses konsultasi dengan manajer

— a

appointment of a top management representative to be accountable for and champion the implementation of the organization's IPOCM policy; consultation process with middle managers, supervisors and operational staff throughout the organization concerning the implementation of the IPOCM policy, which achieves their engagement in the program;

tengah, supervisor dan staf operasional seluruh organisasi mengenai pelaksanaan kebijakan IPOCM, supaya terlibat dalam program ini;

— ownership of IPOCM across

— Kepemilikan

IPOCM di seluruh organisasi (tidak hanya dalam fasilitas atau IT) dan penunjukan IPOCM terunggul dalam unit operasional utama dalam organisasi;

— Pendidikan,

kewaspadaan dalam latihan.

dan

— education, awareness training and

pelatihan partisipasi

Selain itu, beberapa hal berikut ini mungkin ada: — Integrasi IPOCM ke dalam proses © BSN 2012

the organization (not just within facilities or IT) and the appointment of IPOCM champions within the key operational units within the organization; participation in exercises. In addition, the following may be present: — the

integration of IPOCM into the organization's reward and recognition

57 dari 59


Lampiran D (informatif)


dan

penghargaan

process; — the

— Integrasi IPOCM ke dalam proses

kinerja dan penilaian organisasi;

integration of IPOCM into the organization's performance and appraisal process;

— the — Integrasi

peran IPOCM, akuntabilitas, tanggung jawab dan wewenang dalam perangkat uraian tugas dan keterampilan organisasi;

— Dimasukkannya

IPOCM sebagai agenda pada pertemuan tim;

— Partisipasi

aktif oleh pengguna bisnis dan manajemen puncak di gladi bersih, latihan dan uji IPOCM;

— Program untuk memastikan bahwa

pemasok dan distributor utama memiliki pemahaman yang jelas tentang IPOCM dan telah membentuk proses internal yang sesuai; — Pengembangan

proses IPOCM untuk memantau efektifitas kegiatan pendidikan, pelatihan dan kewaspadaan di seluruh organisasi.

© BSN 2012

integration of IPOCM roles, accountabilities, responsibilities and authority within the organization's job descriptions and skills set;

— the inclusion of IPOCM as an agenda

item at team meetings; — active participation by business users

and top management in IPOCM rehearsals, exercises and tests; — a program to ensure that key suppliers

and distributors have a clear understanding of IPOCM and have established appropriate in-house processes; — the

development of an IPOCM process to monitor the effectiveness of the education, training and awareness activities across the organization.

58 dari 59


pengakuan organisasi;


Bibliography

[1] BS 25999-1:2006, Business continuity

[1]

BS 25999-1:2006, Business continuity

management — Code of practice, BSI

management — Code of practice, BSI

British Standards

British Standards

[2] HB221:2004,

Business continuity

management,

[2]

HB221:2004, Business continuity management,

Standards

Standards

Australia/Standards New Zealand,

Australia/Standards New Zealand,

ISBN 0-7337-6250-6

ISBN 0-7337-6250-6

[3] Sl 24001:2007, Security and continuity

management systems — Requirements and

guidance

for

use,

Standards

Institution of Israel [4] NFPA

1600:2004,

Standard

on

disaster/emergency management and

[3] Sl 24001:2007, Security and continuity management systems — Requirements and guidance for use, Standards Institution of Israel [4] NFPA 1600:2004, Standard on disaster/emergency management and business continuity programs, National Fire Protection Association (USA)

business continuity programs, National Fire Protection Association (USA) [5] Business

Continuity

Plan

Drafting

[5]

Business Continuity Plan Drafting Guideline, Ministry of Economy, Trade and Industry (Japan), 2005

[6]

Business Continuity Guideline, Central Disaster Management Council, Cabinet Office, Government of Japan, 2005

Guideline, Ministry of Economy, Trade and Industry (Japan), 2005 [6] Business

Central

Continuity Disaster

Guideline, Management

Council, Cabinet Office, Government of Japan, 2005

© BSN 2012

59 dari 59


Bibliografi

Perlindungan masyarakat Pedoman untuk manajemen kesiapsiagaan insiden dan kontinuitas operasional

Recommend Documents