Bruk av forretningskontinuitetsplan ifbm. beredskapsplanlegging - En kvalitativ tverrsnittundersøkelse i fem bedrifter

Abstract

Dagens trusselbilde er i stadig endring, og det finnes et bredt spekter av uønskede hendelser som kan skape utfordringer for bedriftenes forretningskontinuitet. Cyberangrep (Træholt, 2022), vannmangel og pandemi (Aurdal, 2021) og fysiske angrep på ansatte (Hellstrand, 2021) er bare noen av eksemplene.

Disse overskriftene skapte interessen for forretningskontinuitet, og digital sikkerhet i bedrifter. Sammen med samarbeidsbedriften Brilliant kom vi fram til problemstillingen, hvordan kan en forretningskontinuitetsplan (BCP – business continuity plan) bevisstgjøre organisasjoner på uønskede hendelser?

For å svare på dette har jeg tatt utgangspunkt i tre forskningsspørsmål som skal hjelpe meg med å svare på problemstillingen.

1. Hvilke tanker har bedriften om BCP og sårbarheter knyttet til organisasjonen? 2. Hvilke prosesser inngår i en BCP prosess? 3. Hvordan fungerer BCP i en organisasjon?

Oppgaven tar utgangspunkt i et casedesign, der jeg har gjennomført en kvalitativ tverrsnittsundersøkelse av 5 bedrifter. Jeg har i oppgaven intervjuet 6 informanter gjennom semi-strukturerte intervjuer. Disse dataene har blitt analysert, og deretter satt opp mot relevant faglitteratur på områdene forretningskontinuitet, organisasjon, organisasjonskultur, og endring.

Resultatene viser oss at organisasjonsstruktur og organisasjonskultur er viktige elementer for hvordan bedriftene oppfatter sine egne sårbarheter og i hvilken grad de oppfatter bredden av typer uønskede hendelser som kan ramme bedriften. Videre ser vi at god forståelse av bedriften, støtte fra ledelsen og implementasjon av BCMS i organisasjonen er viktige elementer i prosessen mot en vellykket BCP. Basert på disse resultatene kan vi se at BCP er effektiv i å bevisstgjøre organisasjoner på uønskede hendelser. Oppgaven har gitt meg mye innsikt i BCP, og det har ført til noen interessante spørsmål om framtidig arbeid.

Today's threat landscape is constantly changing, and there is a wide range of disruptions that can create challenges for a companies' business continuity. Cyber-attacks (Træholt, 2022), water shortages and pandemics (Aurdal, 2021) and physical attacks on employees (Hellstrand, 2021) are just some of the examples.

These headlines sparked an interest in business continuity and cybersecurity in companies. Together with Brilliant, an IT company in Trondheim, we arrived at the problem statement, how can a business continuity plan (BCP) make organizations aware of unwanted incidents?

To answer this, I started with three research questions that will help me answer the main problem statement.

1. What thoughts does the company have about BCP and vulnerabilities? 2. What processes are included in a BCP-process? 3. How does BCP work in an organization?

The assignment is based on a case design, where I have carried out a qualitative cross-sectional study of 5 companies. In the thesis, I have interviewed 6 informants through semi-structured interviews. This data has been analyzed, and then compared to relevant literature in the areas of business continuity, organization, organizational culture, and change.

The results show us that organizational structure and organizational culture are important elements for how companies perceive their own vulnerabilities and to what extent they perceive the types of unwanted incidents that can disrupt the business operations. Furthermore, we see that a good understanding of the company, support from management and implementation of BCMS in the organization are important elements in the process towards a successful BCP. Based on these results, we can see that BCP is effective in making organizations aware of unwanted incidents. The assignment has given me a lot of insight into BCP and has led to some interesting questions about future work.