긴축과 비용절감 등 어려운 상황 하에서 조직의 BCP 담당자는 적은 예산을 가지고 많은 것을 할 수 있는 가장 효과적이고 효율적인 방안을 짜내야 한다. 이번 호에는 시간과 노력을 아끼면서 BCP 전 프로세스를 아우를 수 있는 6가지 효율화 기법을 소개한다.
ㆍ스크 기반 접근법 활용
ㆍ데이터 취합을 위한 기 정의된 형식 활용
ㆍ계획수립 절차를 위한 표준화된 포맷 활용
ㆍ유지보수작업을 줄이는 문서작성 기술 활용
ㆍ단일 단계 vs. 다중 단계 데이터 취합방법 활용
ㆍBCP 솔루션(시스템)의 활용
In the current environment with tight budgets, BCP planners (similar to other staff) need to do more with less. It is important for BCP planners to be both efficient and effective in developing and maintaining the business continuity plans for their organization. The BCP stakeholders are critical to the BCP process and have more duties and responsibilities. It is important for the BCP planner to also use his or her time efficiently. This article describes several approaches and methodologies for streamlining the BCP process and presents several efficiency techniques that will help save time and effort. Major topics include:
ㆍUsing a risk-based approach
ㆍUsing pre-formatted data gathering forms
ㆍUsing a standardized format for the plan procedures
ㆍUsing writing techniques that reduce maintenance
ㆍUsing a single step data gathering vs. multiple steps
ㆍUsing BCP software

리스크 기반 접근법
조직이 크게 노출돼 있는 취약 영역을 파악, 평가할 수 있는 상위개념(high-level)의 리스크분석 선행이 중요하다. BCP 담당자는 이를 위해 많은 시간을 들여 세부적이고 아주 포괄적인 분석을 수행할 수도 있으나, 복잡하지 않으면서도 명료한 리스크분석 프로세스도 목적적합성 측면에서 적절할 수 있다. 아래에서 제시된 내용들을 포함하고 있다면 무난하다.
ㆍ첫째: 1-5까지의 다섯가지 점수수준을 부여해 예상할 수 있는 재해와 재난 사건의 발생가능성(possibility)를 정의, 결정한다.
ㆍ둘째: 사건 발생이 미치는 영향(impact, consequences와 같은 의미) 역시 다섯가지 점수수준으로 평가, 결정한다.
ㆍ셋째: 발생가능성과 영향을 곱한 점수를 계산한다.
ㆍ넷째: 계산된 점수를 바탕으로 우선순위를 결정한다.(일례로, 계산된 점수가 1점~5점 영역에 해당되면 무의미한(insignificant), 6점~10점 사이는 중요하지 않음(minor), 11점~15점 사이는 보통(moderate), 16점~20점 사이는 심각함(severe), 21점~25점 사이인 경우에는 매우 중요함(catastrophic)으로 순서를 매김)
Risk-Based Approach
It is important to perform a high-level risk analysis to assess the potential areas of high exposure to the organization. The BCP planner can conduct a highly detailed and comprehensive analysis that could be very time intensive. However, a straight forward and uncomplicated risk analysis process may be more appropriate as described below. It also may be more efficient and perhaps as effective as a more complicated methodology.
ㆍFirst: Determine the possibility of the potential disaster event on a five-point scale (e.g. 1 through 5).
ㆍSecond: Determine the impact (consequences) if the event occurred on a five-point scale.
ㆍThird: Calculate the score (possibility x impact).
ㆍFourth: Determine the ranking based on the calculated score (e.g. insignificant = 1-5, minor = 6-10, moderate = 11-15, severe = 16-20, catastrophic = 21-25).

BCP 담당자는 이런 분석과 평가를 통해 조직에 가장 중요하고, 심각한 리스크가 무엇인지, 이에 노출돼 있는 운영프로세스 또는, 업무가 무엇인지를 식별하고 파악할 수 있다. 이 결과에 따라 해당 리스크에 대한 대응과 관리 업무에 선택과 집중이 가능하다. 불필요한 곳에 예산을 낭비하지 않을 수 있기 때문에 결국 BCP 계획과 체계수립에 있어서 많은 능률과 경제적 효익을 제공할 수 있으며, 주요 리스크 영역에 비용효과적인 경감 전략을 집중해 개발할 수 있는 기회를 제공한다.
BCP planners can use the results of this process to identify the critical and highest risk operations in the organization. Accordingly the BCP planners can then focus on these critical operations first in the plan development process and add less critical operations later. This approach provides many efficiencies and economies throughout the plan development process. This approach can also be used to focus on cost-effective mitigation strategies for the high risk areas.

기 정의된 데이터취합 양식 이용
여러 가지 분석과 설문조사 등 정보취합에 있어서 기 정의된 데이터취합 양식(pre-formatted data gathering forms)을 활용하는 것은 보다 많은 정보의 취합과 BCP 계획수립에 많은 도움이 된다. 해당 조직 별로 적절한 양식이 배포, 제공됨으로써 정확한 정보확보와 BCP 계획작성에 있어서 완전성을 제고할 수 있으며, 중복되거나 미 취합된 부분에 대한 추가작업 등에 소요되는 시간도 절약할 수 있다. 아래에 몇 가지 데이터취합 양식을 소개한다.
Using Pre-Formatted Data Gathering Forms
Pre-formatted data gathering forms can facilitate gathering much of the information needed to write and support a complete business continuity plan. The forms can be sent to the appropriate business units within the organization. Utilizing the efforts of the employees throughout the organization decreases the amount of time necessary to gather the information and involves the employees in the planning process. The information gathered should be segregated by business unit and organized into an understandable format. Some of this information may already be available in the organization. Accordingly, for efficiency it is not necessary to use these specific forms if the information is available is another format. Potential data gathering forms are listed below.

- 팀 업무할당 양식
상세복구계획 수립 시 관련되는 여러 업무들과 연계해 반드시 작성돼야 하며, 주로 재해발생 시 복구활동을 수행할 때 미리 해당 업무를 할당하기 위해 필요하다. 이 양식의 목적은 각 업무복구 팀 별로 할당된 일과 해당인력의 비상연락망 정보를 기술하기 위함이다.
Team Assignment Forms
The team assignment forms should be completed in conjunction with other activities related to developing the detailed plan. These completed forms would be needed at the time of the disaster event to facilitate the recovery effort. The purpose of these forms is to document the employees assigned to each recovery team and their contact information.

- 통지(비상연락망 가동) 양식
이 양식 역시 상세복구계획 수립 시 관련되는 여러 업무들과 연계해 반드시 작성돼야 하며, 주로 재해발생 시 복구활동을 수행할 때 미리 해당 업무를 할당하기 위해 필요하다. 다음 사항들을 포함해야 한다.
ㆍ비상연락망
ㆍ재해선포 권한을 보유한 임직원 연락망
ㆍ재해복구서비스 관련 연락망 (제공업체 연락처 포함)
Notification Forms
The notification forms should be completed in conjunction with other activities related to developing the detailed plan. These completed forms would be needed at the time of the disaster event to facilitate the recovery effort. Examples include:
ㆍEmergency contact list
ㆍDisaster declaration authorization listing Employee call list
ㆍRecovery services contracts Vendor call list

- 복구업무 양식
BCP가 발동될 때만 사용되는 양식이다. 예를 들어 아래와 같은 사항들을 꼽을 수 있다.
ㆍ백업 업무(근무직) 리스트
ㆍ대체사업장 양식
ㆍ통지(비상연락망가동) 체크리스트
ㆍ사업장 배치 및 배열
ㆍ원격지 저장소 인벤토리(장비 및 자료목록)
ㆍ사업장 지원 요구사항
ㆍ임직원 보유기술 목록
ㆍ파일 백업 및 보유 스케쥴
ㆍ재해대비 비상구급함(Disaster kits)
ㆍ자원요구사항 목록
ㆍ비용지출 대장(원장)
ㆍ복구팀 교대근무시간 스케쥴
ㆍ최초 재해(사건) 보고서 작성 양식
ㆍ피해 집계 및 평가 체크리스트
ㆍ복구 현황 및 진행상황 보고서
ㆍ응용프로그램 및 시스템 복구 우선순위
ㆍ전화통화 로그 및 기록
Recovery Forms
Most of the recovery forms are only used at the time the BCP is activated. Examples include:
ㆍBack-up position listing
ㆍAlternative location form
ㆍNotification checklist
ㆍOffice configuration
ㆍOff-site storage inventory
ㆍOffice area support requirements
ㆍSkills roster
ㆍFile backup/retention schedule
ㆍDisaster kits
ㆍResource requirements listing
ㆍExpense ledger
ㆍRecovery team shift schedule
ㆍInitial disaster report
ㆍDamage assessment checklist
ㆍRecovery status report
ㆍApplication and system recovery priorities
ㆍTelephone call log

- 지휘센터 운영(일지기록) 양식
이 양식 역시 상세복구계획 수립 시 관련되는 여러 업무들과 연계해 반드시 작성돼야 하며, 주로 재해발생 시 복구활동을 수행할 때 미리 해당 업무를 할당하기 위해 필요하다. 지휘센터 운영이 가동된 경우에만 사용된다.
Command Center Forms
Command center forms should be completed in conjunction with other activities related to developing the detailed plan. These completed forms would be needed at the time of the disaster event to facilitate the recovery effort. A command center log is only used at the time the command center is activated.

- 보유목록 양식
이 양식은 상세복구계획 수립 시 관련되는 여러 업무들과 연계해 반드시 작성돼야 하며, 주로 재해발생 시 복구활동을 수행할 때 미리 해당 업무를 할당하기 위해 필요하다. 일례로 컴퓨터 하드웨어 장비목록과 소프트웨어(프로그램) 목록, 컴퓨터 사용자 기술요구사항 및 다른 장비와 요구사항 목록 관련 정보들을 들 수 있다.
Inventory Forms
The inventory forms should be completed in conjunction with other activities related to developing the detailed plan. These completed forms would be needed at the time of the disaster event to facilitate the recovery effort. Examples include computer hardware inventory, computer software inventory, user technology requirements, and other inventory related information.

계획수립 절차를 위한 표준화된 포맷 활용
BCP 계획의 일관성과 적합성을 확보하기 위해 표준화된 포맷이 필요하며, 여러 사람이 BCP 계획수립을 위한 절차와 활동에 관여하기 때문에 더더욱 표준화의 중요성이 강조된다. 일반적으로 두 개의 기본 포맷이 계획 작성에 사용되는데, 배경정보(background information)와 지시정보(instructional information)로 나눠 볼 수 있다.
Using a Standardized Format for the BCP Procedures
A standard format for the procedures should be developed to facilitate consistency and conformity throughout the plan. Standardization is especially important if several people write the procedures. Two basic formats are used to write the plan: background information and instructional information.

배경정보는 직설법적인 문장(indicative sentences)으로 주로 기술되며, 명령법(imperative style)적으로 기술되는 지시정보와는 다르다. 직설법 문장은 주어와 동사가 일치(즉, 수동태를 취하지 않는)되는 반면, 명령법 문장은 동사로 문장이 시작되고 지시사항이 이후에 기술된다. 배경정보에는 다음 사항들을 포함할 것을 권고한다.
ㆍ계획의 목적과 범위
ㆍ가정(Assumptions)
ㆍ참고문헌(예, 매뉴얼, 지침서, 컨설팅 및 자문용역 보고서 등)
ㆍ계획수립에 반드시 사용해야 하는 적용 양식을 기술한 문서
ㆍ특수 상황에서의 승인이 필요한 경우 해당 권한 설정 및 할당 목록
ㆍ계획과 관련이 있고 해당되는 특정 정책서
ㆍ기타 배경정보
Background information should be written using indicative sentences, while the imperative style should be used for writing instructions. Indicative sentences have a direct subject-verb predicate structure, while imperative sentences start with a verb (the pronoun "you" is assumed) and issue directions to be followed. Recommended background information includes:
ㆍPurpose and scope of the plan
ㆍAssumptions
ㆍReference materials (i.e., other manuals, information, or materials that should be consulted)
ㆍDocumentation describing the applicable forms that must be used when implementing the plan
ㆍAuthorizations listing the specific approvals required
ㆍParticular policies applicable to the plan
ㆍOther background information

지시정보는 사전인쇄용지(preprinted form)로 개발돼야 하며, 아래 그림에서 기술하고 있는 형태가 권고된다. 이 양식은 재해 발생 시와 사후에 사용되는 것이 특히 효과적인데, 이는 양식 테이블에서 담당 부서(responsible party)와 날짜 및 시간(date/time) 열이 업무복구절차에 대한 분리된 일지기록을 만든다기 보다는 복구 사건에 대한 일지기록을 작성하는데 사용되기 때문이다.
Instruction information should be developed on a preprinted form. A suggested format for instructional information is presented below. This format is particularly efficient to use during and after a disaster event, because the columns for "responsible party" and "date/time" are used to create a log of the recovery events rather than creating a separate log of recovery procedures.

유지보수작업을 줄이는 문서작성 기술 활용
BCP 수립에 있어서 효과적인 문서작업과 절차는 매우 중요하며, 이를 위해 실제로 상당한 시간과 노력이 투입된다. 하지만 대부분의 계획서들을 보면 사용하기도 어렵고 작성되고 나서는 빨리 정보들의 갱신이 요구되는 등 작성 후 유지보수작업이 필요한 경우가 대부분이다. 잘 작성된 계획서는 명확하면서도 핵심에 집중하며, 기술된 내용에 대한 가독성과 독자의 이해도 수준을 높여 실제 계획의 실행 가능성을 높인다.
Using Writing Techniques that Reduce Maintenance
Effective documentation and procedures are extremely important in a business continuity plan. Considerable effort and time are necessary to develop a plan. However, most plans are difficult to use and become outdated quickly. Poorly written procedures can be extremely frustrating. Well-written plans reduce the time required to read and understand the procedures, and therefore, result in a better chance of success if the plan has to be used. Well-written plans are also brief and to the point.

잘 작성된 BCP 계획서는 조직의 복구역량(recovery capabilities)에 직접적으로 영향을 미치며 계획서에 담기는 내용들은 논리적인 순서(logical sequence)와 표준화된 양식을 따르며 이를 참조하는 독자들의 이해도 수준을 높인다. 특정 전문용어와 약자 해설목록을 첨부하는 것도 계획서의 가독성 증진에 도움이 된다. 행동절차는 명확하게 기술돼야 하며, 몇 가지 특징을 살펴보면 다음과 같다.
ㆍ세부적이어야 한다(Be specific). 업무기능과 운영을 모르는 임직원이 이를 보고 수행할 수 있을 정도로 구체적이어야 함.
ㆍ직설법적 문장으로 길지 않아야 한다(Use short, direct sentences and keep them simple). 문장이 길어지면 계획서를 읽고 참조하는 독자의 이해도와 가독성을 낮춤.
ㆍ각 문단의 시작에 주제문장(topic sentences)을 사용한다.
ㆍ문단은 가능한 한 짧게 하라(Use short paragraphs).
ㆍ한번에 한 고려사항(idea)를 제시하라(Present one idea at a time).
ㆍ현재시제로 능동태(active voice) 형으로 기술하라. 수동태 형으로 기술하면 문장이 길어지고 잘못 해석될 가능성이 커진다.
ㆍ명령법과 직설법 문장을 활용하라(Use imperative style versus indicative sentences). 명령법 문장은 동사로 문장이 시작되며, 직설법은 주어, 동사 그리고 구조를 서술하기 때문에 명령법 문장에 비해 길다.
ㆍ개요를 작성, 준비하라(Prepare an outline). 전체적인 절차와 주요 단계에 대한 파악 그리고 이를 통해 중복부분(potential redundancy) 에 대한 식별이 가능하다.
ㆍ상태동사를 사용하라(Use descriptive verbs). make(준비, 정비한다), take ((조치를) 취한다)와 같은 비상태동사를 사용하는 것은 필요 없이 문장이 길어지게 만들 수 있다.
ㆍ특정영역 및 분야에서만 사용하는 전문용어(jargon) 사용을 피한다.
ㆍ계획서에는 임직원 개개인의 성명보다는 계급(직함), 조직 내에서의 위치(position titles (rather than personal names of individuals))를 기술하여 유지관리나 개정 필요에 드는 공수를 줄인다.
ㆍ페이지의 앞 뒷면을 모두 사용한다(Use front and the back sides of pages).
ㆍ성별을 구분하는 명사(gender nouns) 사용을 피하고 대명사 사용을 금하여 필요 없는 개정작업을 줄인다.
ㆍ조건과 행동에 대한 예외상황 기술을 줄여 일관성과 일률성은 확보하여 BCP 훈련 프로세스를 단순화시킨다.
A well-organized business continuity plan will directly affect the recovery capabilities of the organization. The contents of the plan should follow a logical sequence and be written in a standard and understandable format. A glossary of technical terms and acronyms can be beneficial in understanding the BCP procedures and documentation. Procedures should be clearly written. Helpful tips in writing the detailed procedures include:
ㆍBe specific. Write the plan with the assumption it will be implemented by personnel completely unfamiliar with the function and operation.
ㆍUse short, direct sentences and keep them simple. Long sentences can overwhelm or confuse the reader.
ㆍUse topic sentences to start each paragraph.
ㆍUse short paragraphs. Long paragraphs can be detrimental to reader comprehension.
ㆍPresent one idea at a time. Two thoughts normally require two sentences.
ㆍUse active voice verbs in present tense. Passive voice sentences can be lengthy and may be misinterpreted.
ㆍUse imperative style versus indicative sentences. The imperative style starts with a verb. The indicative sentence has a subject, verb, and predicate structure, which is longer.
ㆍPrepare an outline. It helps to organize the procedures, identifies major steps, and identifies potential redundancy.
ㆍUse descriptive verbs. Non-descriptive verbs such as "make" and "take" can cause procedures to be excessively wordy.
ㆍAvoid jargon.
ㆍUse position titles (rather than personal names of individuals) to reduce maintenance and revision requirements.
ㆍUse front and the back sides of pages.
ㆍAvoid gender nouns and pronouns that may cause unnecessary revision requirements.
ㆍDevelop uniformity in procedures to simplify the training process and minimize exceptions to conditions and actions.

단일 단계 vs 다중 단계 데이터 취합방법 활용
BCP 담당자가 현업부서로부터 받아야 하는 필요한 정보를 결정하는 것은 중요하다. BIA, 리스크분석을 수행하면서 많은 설문과 인터뷰를 통해 다양한 정보를 요청하는 과정에서 관련 현업부서의 협조를 제대로 받지 못하는 경우가 많다. 따라서 BCP 담당자는 이를 위해 잘 준비돼야 하고 적합한 프로젝트 관리방법론(프로젝트관리협회(PMI)을 통해 검증된 방법론 등)을 활용해야 한다. 프로젝트관리(Project Management)란 프로젝트로부터 이해관계자의 필요와 기대를 충족하기 위해 지식, 기술, 도구와 기법을 적용하는 것을 말한다.
Using a Single Step Data Gathering vs. Multiple Steps
It is important that the BCP planner determine all of the information that will be needed from the business units. The participating business units can become fatigued with multiple requests for information and may not fully and proactively cooperate with this critical project. Accordingly, the BCP planner should be very organized and use good project management methodologies. The methodology supported by the Project Management Institute (PMI) can be used by the BCP planner to better organize and conduct the project. Project management is the application of knowledge, skills, tools, and techniques to project activities in order to meet or exceed stakeholder needs and expectations from a project.

BIA를 수행하는 동안 BCP 체계 개발에서 요구되는 엄청난 양의 정보를 모으는 것이 가능하며, 이런 방법은 BCP 담당자와 이해관계자에게 효율성을 제공할 것이다.
It is possible to gather a significant amount of the information required throughout the development of the BCP during the business impact analysis. This approach will provide efficiencies for both the BCP Planner and their stakeholders.

BCP 솔루션(시스템)의 활용
BCP 계획을 수립, 개발, 관리할 목적으로 BCP 솔루션(시스템)이 상용화되고 있다. 전통적으로는 데이터베이스 프로그램이나 문서편집 프로그램과 같은 형태로도 존재하며, 이런 형태들의 조합과 발전된 형태도 개발 및 구현되고 있다.
Using BCP Software
There are several business continuity planning systems that can be used to facilitate the planning and development process. Typically, these systems emphasize either a database application or a word processing application. The most comprehensive systems use a combination of integrated applications.

어떤 BCP 솔루션은 샘플 계획서를 포함하고 있으며, 이를 통해 각 조직의 특별한 요건에 맞추는 형태이다. 또 재해방지, 보험분석, 중요정보보유 및 관리, 백업 전략과 같이 계획 프로세스 동안 조직이 반드시 고려해야 하는 비즈니스연속성 관련 이슈들을 다루는 지시사항(instructions)을 포함하는 형태도 있다. 이런 솔루션 구축과 병행해 BCP 이슈에 대한 특화된 컨설팅과 교육이 제공되기도 한다.
Some systems include a sample plan that can be tailored to the unique requirements of each organization. Other materials can include instructions addressing the business continuity-related issues that the organization must consider during the planning process, such as disaster prevention, insurance analysis, record retention, and back-up strategies. Specialized consulting may also be available with the system to provide on-site installation, training, and consulting on various business continuity planning issues.

가장 효과적인 BCP 솔루션 구축이 이뤄지기 위해선 대상을 전조직(organizational-wide)으로 확대 구현해야 한다. 그렇지 않을 경우 단순히 기술에 불과한 제한된 범위에 불과해진다.
BCP 개발에 솔루션을 활용하는 장점은 다음과 같다.
ㆍ계획 프로세스에 대한 시스템적 접근이 가능
ㆍ미리 설계된 방법론 기반
ㆍ효과적 유지보수 가능
ㆍ계획, 개발 프로세스에 있어서 투입 시간과 노력 감소 가능
ㆍ검증된 기법 활용 참고로 솔루션 활용의 단점으로는 도입 비용, 복잡성, 프로그램 구축으로 인한 관련 교육에 대한 요구사항 증대 등을 들 수 있다.
To be most beneficial, the system should have been specifically developed to address organization-wide business continuity planning vs. a limited scope pertaining to only the technology. Some packages are very robust, but complex and difficult to use. The advantages of using software for developing a business continuity plan include:
ㆍA systematic approach to the planning process 
ㆍ Pre-designed methodologies
ㆍAn effective method for maintenance
ㆍA potential reduction in time and effort in the planning and development process
ㆍA proven technique Disadvantages of using some software products include costs, complexity, focus on software versus the BCP process, and extensive training requirements.

요약
금융위기로 인한 긴축과 비용절감이 요구되는 시점에서 BCP 담당자는 BCP 개발과 유지관리에 있어서 전반적인 효율성과 효과성 개선을 위한 방법과 기법 활용을 반드시 고민해야 한다. 또한 조직내의 BCP 유관부서, 현업 등 이해관계자의 참여가 현실적으로 제약이 있음을 고려해 이들의 시간과 참여의 효율성 확보를 위한 방안 마련에도 힘써야 할 것이다.
Summary
In the current economic environment, BCP planners should use methods and techniques that improve their overall efficiency and effectiveness in developing and maintaining their business continuity plans. It is also important to consider the time constraints of the BCP stakeholders and to use their time and involvement efficiently.

기고자: 재키 라간, 제프리 월드
번역: 유종기, Deloitte 안진회계법인 기업리스크자문본부 매니저, 영국 BCI(Business Continuity Institute) 한국대표, BS 25999 Technical Expert (registered by BSI)
Jackie Ragan, CBCP, CISA is a director at LBL Technology Partners with responsibility for business continuity consulting services. She conducts all phases of the BCP development process.
Geoffrey Wold, CPA, CMA, CMC, CDP, CSP, CISA, CFSA, CIRM, is a partner and the managing director at LBL Technology Partners. He provides a wide range of BCP consulting services and has written eight books on business continuity and security planning.
Ragan and Wold have consulted on hundreds of business continuity plans throughout the nation.