Kontinuitetsplan: så säkrar styrelsen verksamheten vid störningar

När servern ligger nere, lokalen är avstängd eller en nyckelperson saknas behöver reservrutinerna redan vara bestämda. En kontinuitetsplan flyttar de besluten från krisens mitt till ett vanligt arbetsmöte. Här går vi igenom vad planen ska innehålla, styrelsens roll och hur planen hålls levande. Guiden är generell vägledning, inte juridisk rådgivning.

Vad är en kontinuitetsplan?

En kontinuitetsplan beskriver hur organisationen upprätthåller eller snabbt återupptar sina verksamhetskritiska funktioner vid en allvarlig störning. Orsaken kan vara ett IT-avbrott, ett cyberangrepp, en brand, ett leverantörsbortfall eller att nyckelpersoner plötsligt inte finns tillgängliga. Planens jobb är detsamma oavsett orsak: verksamhetens viktigaste delar ska fungera, eller komma igång igen snabbt.

Kontinuitetshantering är det löpande arbetet med att identifiera kritiska aktiviteter, analysera beroenden, välja kontinuitetslösningar och öva. Kontinuitetsplanen är en del av det arbetet. Verksamhetskontinuitet är organisationens förmåga att upprätthålla eller återuppta prioriterad verksamhet vid en störning. Internationellt beskrivs arbetssättet i standarden ISO 22301. Det är inte bara en IT-fråga, även om IT ofta är den mest synliga delen. En förening som inte kan betala ut ersättningar, en BRF utan fungerande felanmälan och ett bolag som inte kan fakturera har samma grundproblem. En kritisk process har stannat.

Det här ska planen innehålla

En användbar kontinuitetsplan är konkret och kort nog att användas under press:

• Kritiska processer: vilka funktioner verksamheten inte klarar sig utan, prioriterade, med maximalt tolerabel avbrottstid per process. Det är den längsta tid processen kan vara ur funktion innan konsekvenserna blir oacceptabla.
• Kritiska beroenden: system, leverantörer, lokaler och personer som processerna vilar på.
• Reservrutiner: vad ni gör när det ordinarie inte fungerar, per process.
• Ansvar och kontaktvägar: vem som aktiverar planen, vem som beslutar och hur ni når varandra när ordinarie kanaler ligger nere.
• Kommunikationsplan: vad som sägs till anställda, medlemmar, kunder och andra samt vem som säger det.
• Test och översyn: hur ofta planen övas och när den uppdateras.

En praktisk risk är att planen bara finns i det system som ligger nere. Förvara den så att den går att nå även vid ett totalt IT-avbrott.

Styrelsens roll i kontinuitetsplaneringen

Styrelsens roll beror på organisationsform och storlek. I aktiebolag och ekonomiska föreningar, inklusive BRF:er, har styrelsen ett övergripande ansvar för organisation och förvaltning. I organisationer med VD eller annan operativ ledning ligger det praktiska arbetet ofta där. I mindre organisationer kan styrelsen själv behöva ta fram och förvalta planen. För ideella föreningar styrs ansvarsfördelningen främst av stadgar och årsmötesbeslut. När arbetet har delegerats behöver styrelsen efterfråga kontinuitetsplanering för det verksamhetskritiska, följa upp tester och begära rapportering om resultat och brister.

Ett bra sätt att göra det hanterbart är att ge kontinuitetsfrågan en fast plats i årsplaneringen, till exempel i samband med den årliga riskgenomgången. Då blir frågan rutin i stället för något som väcks först efter en incident. För vissa reglerade verksamheter är kraven dessutom formella. Exempel är finansiella företag som omfattas av EU-förordningen DORA om digital motståndskraft och verksamhetsutövare som omfattas av cybersäkerhetslagen (2025:1506).

En plan som inte testas är en förhoppning

Att planen finns räcker inte om den aldrig har övats. Kontaktlistan är tre år gammal, reservrutinen bygger på ett system som bytts ut och personen med nyckelrollen slutade i våras. Testet är det som gör planen verklig:

1. Fastställ en riskbaserad testplan. Testa de mest kritiska processerna minst årligen och anpassa frekvensen efter avbrottstolerans, förändringar och tillämpliga regelkrav.
2. Dokumentera vad som inte fungerade. Övningens värde ligger i bristerna den hittar.
3. Se över planen direkt efter övningar och verkliga incidenter. Uppdatera den när ni hittar brister eller förändrade förutsättningar.
4. Rapportera till styrelsen så att uppföljningen blir en del av styrelsens riskarbete, dokumenterad i protokollet.

Så hjälper Hippoly

En kontinuitetsplan behöver gå att nå när de egna systemen inte gör det. Hippoly drivs skilt från verksamhetens it-miljö. Ligger de interna systemen nere kan styrelsen ändå nå planen, kontaktlistorna och de styrande dokumenten i dokumentytan, från mobil, dator eller surfplatta. Att hålla styrelsens material utanför den egna it-miljön är på så sätt en kontinuitetsåtgärd i sig. Riskgenomgången får en stående punkt på dagordningen och styrelsens uppföljning dokumenteras i protokollet. Läs mer om Hippoly för aktiebolag eller för föreningar.