Не всички ваши системи струват еднакво: колко да инвестирате във всяка, според това колко е критична

Във вторник, 17 април 2018 г., Банката на Мексико научи, че един от участниците в системата за преводи на страната е бил пробит [10].

През следващите три седмици имаше още четири случая; през октомври — шести [8][10]. Централната система на SPEI (мексиканската система за междубанкови електронни плащания), която Банката на Мексико управлява, не беше засегната [4][10]. Това, което се провали, беше от страната на всеки участник: частта, с която той се свързваше към системата, или оборудването, на което тя работеше [8][10].

Въпреки това проблемът стигна до клиентите. Банката на Мексико предупреди, че в някои случаи един превод може да бъде заверен по сметката чак след един или повече дни [9].

Въпросът към вас е друг: кои системи на вашата компания, ако спрат за един час, я оставят без възможност да продава, да събира плащания или да фактурира? И колко инвестирате в тях в сравнение с останалите?

Едно уточнение, преди да започнем: случаят е разказан само въз основа на публични доклади на Banxico и CNBV; не използва информация от клиенти на Hábil. Banxico е Банката на Мексико, централната банка на страната; CNBV е Comisión Nacional Bancaria y de Valores, мексиканският регулатор на банките и пазара на ценни книжа. Всеки факт е с номера на източника си. В цитираните източници засегнатите институции не са назовани и тук също не ги назоваваме. Когато нещо е наш прочит, го казваме.

За 1 минута

• Рискът: да разпределите бюджета за системи с едно-единствено правило. Това, което работи за заплатите ви, не върши работа за фактурирането ви, и обратното. През 1983 г. Warren McFarlan и двама колеги предлагат в Harvard Business Review всяка компания да се постави в един от четири квадранта: поддръжка, фабрика, преход или стратегически [1][2].
• Случаят: през 2018 г. шестима участници в системата за преводи на страната претърпяха атаки срещу частта, с която се свързваха към нея [10]. Правилата за сигурност вече съществуваха; Банката на Мексико установи, че се спазват неравномерно [8][10].
• Цената на бездействието: според Banxico, с информацията, налична през май 2018 г., около 300 милиона мексикански песо в нередовни преводи са били обект на проверка [9]. Това са били собствени средства на институциите [9]: според Banxico «los recursos de los clientes nunca estuvieron en riesgo» [средствата на клиентите никога не са били изложени на риск] [10]. В глобалното проучване на Uptime Institute в сектора на центровете за данни 57 % са посочили, че последният им сериозен срив е струвал над 100 000 щатски долара [15].
• Какво ви предстои да решите в понеделник: кои системи са «фабрика» (не бива да спират) и кои са «стратегически» (определят как се конкурирате), кой отговаря за всяка от тях и колко ви струва един час без тях. Накрая има опис, който да занесете на срещата си.

В тази статия

1. Какво казва матрицата на McFarlan накратко?
2. В кой квадрант са компанията ви и всяка от системите ви?
3. Какво се променя в бюджета, управлението и риска във всеки квадрант?
4. Какво ви учи SPEI от 2018 г. за най-критичната ви система?
5. Колко ви струва един час без система?
6. Какво се чупи, когато третирате критична система като система за поддръжка?
7. Кои грешки излизат най-скъпо?
8. Какво да занесете на срещата в понеделник?
9. Ключови изводи
10. Какво прави Hábil?
11. Често задавани въпроси

Какво казва матрицата на McFarlan накратко?

Матрицата предлага да разпределите бюджета си за системи с два въпроса: колко ви боли, ако спрат днес, и колко ви помагат да се конкурирате утре.

В два реда: през януари 1983 г. F. Warren McFarlan, James L. McKenney и Philip Pyburn публикуват в Harvard Business Review тезата, че ролята на системите се различава от компания до компания и че всяка трябва да ги планира според тази роля [1]. Те я обобщават в матрица с четири квадранта, която самият McFarlan нарича «стратегическа матрица», когато цитира тази статия година по-късно [2].

Двата въпроса на матрицата са [1]:

• Днес: доколко ежедневната дейност зависи от това системите да работят без прекъсване?
• Утре: доколко системите, които се изграждат, са важни за конкуренцията?

Матрицата е пречертана с наши думи по McFarlan, McKenney и Pyburn [1]. В оригинала квадрантът, който тук наричаме «преход», се нарича turnaround: компанията, която прави обрат със системите си.

Всеки квадрант, с пример от авторите:

• Фабрика. Дейността зависи от системите, но това, което се изгражда, не променя начина, по който компанията се конкурира. Авторите поставят тук някои производители, авиокомпании и търговски вериги, където, както пишат, «even a one-hour disruption in systems» [дори едночасово прекъсване на системите] засяга резултатите на бизнеса [1].
• Стратегически. Компанията зависи от тях днес и има нужда от тях, за да печели утре. Примерите им са много банки и застрахователи [1].
• Преход. Днес компанията не зависи изцяло от това те да работят без прекъсване, но това, което изгражда, е жизненоважно за стратегията ѝ. Примерът им: производител, който е растял толкова бързо, че контролите му вече не смогват [1].
• Поддръжка. Нито дейността зависи от тях, нито това, което се изгражда, е решаващо. Примерът им: голямо производствено предприятие, което харчи близо 30 милиона щатски долара годишно за системи и би могло да продължи да работи, макар и с препъване, ако те откажат [1].

Две предупреждения от оригиналната статия са полезни за вас. Първото: често има разстояние между квадранта, в който е компанията, и този, в който ръководството ѝ смята, че е [1]. Второто: различни части на организацията може да са на различни етапи, а начинът на планиране се променя заедно с тях [1].

През 2005 г. McFarlan и Richard Nolan пренасят матрицата в съвета на директорите, отново в Harvard Business Review: видът надзор, който съветът трябва да упражнява върху системите, зависи от квадранта [3]. От тази статия идват праговете в следващия раздел.

В кой квадрант са компанията ви и всяка от системите ви?

Определете мястото си с числа, не с мнения: колко часа издържате без системата и каква част от инвестициите ви отива за технологии.

Nolan и McFarlan дават три конкретни прага [3]:

За стратегическия квадрант не дават собствен праг: казват, че той изисква същата надеждност като фабриката [3]. Ако една система отговаря на прага от една минута и освен това оста «утре» излиза висока, преценете дали не е стратегическа.

Добавят две черти на квадранта фабрика: връщането към ръчна работа е трудно или невъзможно, а клиентите и доставчиците обикновено общуват с компанията чрез системите ѝ [3].

С това съставихме осем въпроса. Списъкът е наш, не на модела; при всеки въпрос е посочено откъде идва.

Ос «днес»: доколко дейността ви зависи от тази система?

1. Ако тя спре за един час, спирате ли да продавате, да събирате плащания, да фактурирате или да доставяте? [1]
2. Ако прекарате 12 часа без нея, на хартия, това би ли ви донесло сериозни последици? [3]
3. Изисква ли закон, регулатор или договор тази система, за да работите? В Мексико например без CFDI (мексиканската електронна фактура), валидирана от SAT (данъчната администрация на Мексико), няма издаден данъчен документ: преди да бъде издадена, тя се изпраща на SAT, който я валидира и ѝ присвоява фолио номер [13].
4. Свързват ли се клиентите или доставчиците ви директно с нея? [3]

Ос «утре»: доколко тя ви помага да се конкурирате?

1. Променят ли текущите проекти по тази система начина, по който печелите клиенти: цена, бързина, канал или обслужване? [1]
2. Влиза ли значима част от продажбите ви през собствен дигитален канал? (наш прочит)
3. Отнема ли ви вече някой конкурент клиенти със система, която вие нямате? [2]
4. Поглъщат ли технологиите над половината от капиталовите ви инвестиции или над 15 % от разходите ви? [3]

Как да го прочетете (ориентировъчно, наше): две или повече «да» по една ос означава «висока». Днес висока и утре ниска: фабрика. И двете високи: стратегически. Днес ниска и утре висока: преход. И двете ниски: поддръжка. На въпрос 8 се отговаря само веднъж, за цялата компания, а не система по система; ако отговорът е «да», добавете го към системите от проекта за трансформация.

Авторите класифицират компанията като цяло [1][3]. Ние предлагаме списъкът да се попълва система по система, защото рядко всички попадат в един и същ квадрант. Заплатите, фактурирането и онлайн магазинът на една и съща компания може да са в три различни квадранта. Това приложение е наш прочит, опиращ се на предупреждението от 1983 г. за частите на организацията, които се движат с различно темпо [1].

Какво се променя в бюджета, управлението и риска във всеки квадрант?

Всеки квадрант изисква различно правило за разходите и различен отговорник; ако ползвате едно и също за всички, плащате твърде много в едни и твърде малко в други.

Nolan и McFarlan дават на всеки квадрант правило за разходите в един ред и вид надзор [3]. Правилата са предадени с наши думи; последните две колони са наш прочит.

Два детайла, които променят решенията:

• При фабриката въпросът на съвета е за непрекъснатостта. Авторите искат съветът да провери, че възстановяването след бедствие и сигурността са осигурени и че резервните копия се изпитват постоянно, за да е ясно, че наистина работят [3].
• В преход компанията не остава дълго. Когато промяната приключи, тя преминава във фабрика или в стратегически квадрант; а след като новите системи са въведени, връщане към ръчната работа няма [3].

Какво ви учи SPEI от 2018 г. за най-критичната ви система?

Ако най-критичната ви част зависи от трета страна, управлявайте я като част от дейността и проверявайте с доказателства, че спазва правилото: при SPEI през 2018 г. правилото съществуваше, но се спазваше неравномерно.

Sistema de Pagos Electrónicos Interbancarios (SPEI) е системата, която движи преводите между банки и други финансови институции в Мексико. Банката на Мексико я нарича «el sistema de pagos mexicano más importante» [най-важната мексиканска платежна система] [10].

Три факта за мащаба ѝ:

• През 2018 г. тя обработи 595 милиона операции между крайни потребители, а в края на годината имаше 92 участници [10].
• Институциите, които претърпяха атаките, обработваха общо около 13 % от операциите на SPEI [8][10].
• Правилата ѝ измерват услугата в секунди: в работно време банката, която получава превод над 8 000 песо, има 5 секунди, за да го завери по сметката на клиента си, а в останалите случаи срокът е 30 секунди [6][8].

За целите на модела тази връзка илюстрира компонент с висока оперативна критичност, като този, който Nolan и McFarlan описват в квадранта фабрика: бизнесът се губи, дори ако отказът трае една минута [3]. Източниците не позволяват всеки участник да бъде поставен в квадрант; прочитът е наш и се ограничава до частта.

Какво се случи, поред?

Всичко идва от публикуваното от Банката на Мексико и CNBV.

CNBV в доклада си за 2018 г. включва тези факти сред атаките срещу основните платежни системи на страната и посочва, че е проследила тяхното идентифициране, ограничаване и отстраняване [11]. Цифрата от 300 милиона идва само от Банката на Мексико [9], която я дава «con la información disponible» [с наличната информация] към онзи момент.

Какво е важно за вас

1. Най-критичното е зависело от трета страна. Във всички случаи, определени като атака, приложението за свързване е било разработено от трета страна [8][10]. На същата страница Banxico уточнява, че «la vulnerabilidad pudo tener su origen tanto en los sistemas, como en la infraestructura en la que fue instalado» [уязвимостта може да е произлизала както от системите, така и от инфраструктурата, на която е било инсталирано], и е имало институции с външен доставчик, които не са били засегнати [8]. Банката на Мексико не ги валидира и не ги сертифицира: всеки участник отговаря за приложението си, независимо дали е собствено, или на доставчик [8][10]. За вас: доставчикът на част от тип «фабрика» се управлява като част от дейността.
2. Правилото е съществувало; спазването му — не винаги. Според годишния доклад на Банката на Мексико атаките са станали заради неравномерното спазване на изискванията за сигурност [10]. Това, че изискване за част от тип «фабрика» е третирано като формалност от тип «поддръжка», е наш прочит.
3. Щетите не са останали само при засегнатите. Банката на Мексико предупреждава, че неспазването от някои участници прави уязвима цялата система [8]. Забавянията е можело да засегнат и клиенти на институции, които не са били засегнати пряко [5].
4. Управлението се е вдигнало до нивото на квадранта си. След кризата идват отговорен служител по сигурността, писмени протоколи, проверки за благонадеждност на трети страни, светофар за тревоги с четири нива и инспекции на доставчиците [10]. Това искат Nolan и McFarlan за квадранта фабрика: доказана непрекъснатост и някой, който да отговаря [3]. Тази връзка е наш прочит.

Това не е присъда за никоя институция. Източниците не казват кои са били и тук никоя не се оценява. Това е въпросът, който моделът би задал на всеки съвет, включително на вашия: съответства ли управлението ни на квадранта, в който наистина сме?

Колко ви струва един час без система?

Ако не знаете колко ви струва един час престой, ще ви е трудно да прецените дали системата ви е презащитена или недостатъчно защитена.

През 2018 г. цената имаше няколко пласта: пари под проверка [9], месеци работа по по-бавна схема [8][10] и клиенти, които чакат превода си, в някои случаи един или повече дни [9].

За вашата компания сметката има четири части. Формулата е наша:

1. Продажби, които не се възстановяват: клиентът, който е купил другаде.
2. Допълнителна работа: часове за повторно въвеждане, съгласуване и обработка на оплаквания.
3. Това, което законът, регулаторът или договорът ви задължават да спазите. Проверете какви срокове и неустойки предвижда договорът ви за обслужване и какво изисква регулаторът ви, когато една система спре.
4. Това, което не се измерва в момента: доверие, репутация и вниманието на ръководния ви екип.

Примерен сценарий (не е реален случай). Един дистрибутор продава за 312 милиона песо годишно и работи по 10 часа на ден, шест дни в седмицата: около 3 120 часа продажби. Всеки час работа носи средно 100 000 песо. Ако системата му за поръчки и фактуриране спре за един час и половината от тези поръчки се възстановят по-късно, продажбите под риск са около 50 000 песо, плюс допълнителната работа и всяка договорна неустойка. С това число една годишна инвестиция в резервиране и наблюдение престава да бъде «разход за системи» и се сравнява с избегнатите часове престой.

Освен това отказът не е задължително да тръгне от вашата компания. През юли 2024 г. софтуерна актуализация, която CrowdStrike, независима компания за киберсигурност, публикува на 18-и, засегна около 8,5 милиона компютъра с Windows по света, по-малко от 1 % от общия брой, според Microsoft [14]. Microsoft уточни, че инцидентът не е бил неин: източникът е била актуализацията на трета страна [14].

И една международна отправна точка. В годишното проучване на Uptime Institute 57 % от отговорилите посочват, че последният им сериозен срив е струвал над 100 000 щатски долара, а всеки пети — над един милион [15]. Според същото съобщение за деветте години наблюдение близо две трети от публично докладваните сривове са дошли от външни доставчици на технологии: облак, интернет, телекомуникации и центрове за данни [15]. Това е глобално проучване в сектора на центровете за данни и технологичните услуги; ползвайте го като порядък на величината, а не като вашата цифра.

Какво се чупи, когато третирате критична система като система за поддръжка?

Критичната система, третирана като система за поддръжка, може да издържи месеци; рискът е да откаже в деня, в който е най-нужна, и без план.

Ето какво обикновено се чупи, когато система от тип «фабрика» се бюджетира като поддръжка. Таблицата е наш прочит, с източник там, където е посочен.

Обратната грешка също струва: да третирате като стратегическо това, което е поддръжка, и да плащате за резервиране и комитети, които нищо не променят. За поддръжката правилото на авторите е да се пази всяко песо [3].

Кои грешки излизат най-скъпо?

Няколко от най-скъпите грешки са грешки на местоположението: да инвестирате, сякаш сте в един квадрант, когато сте в друг.

1. Едно-единствено бюджетно правило за всичко. Nolan и McFarlan противопоставят магазин за дрехи и голяма авиокомпания: стратегията на единия не върши работа на другия [3]. Последица: онова, което няма значение, се презащитава, а онова, което спира дейността, остава изложено.
2. Да смятате, че сте в един квадрант, а да сте в друг. Това е разстоянието, което авторите откриват между реалния квадрант и този, в който ръководството смята, че е [1]. Последица: планове за системи, които не служат на стратегията, или технологичен отдел, който научава посоката твърде късно.
3. Да се чувствате удобно в «поддръжка». През 1984 г. McFarlan разказва за дистрибутор, който свързва клиентите си с компютрите си, за да правят поръчките си директно; конкурентът му, удобно настанен в поддръжка, не вижда какво става, докато не става твърде късно, и наваксването се оказва трудно и скъпо [2]. Последица: губите позиции, които струва много да си върнете.
4. Голям проект без решения, наблюдавани отгоре. Nolan и McFarlan казват, че изненадите най-често идват от небрежно управление на проектите, и искат ключовите решения да се качват до нивото, на което им е мястото [3]. Техният пример е Hershey: след разширяването на новата ѝ система за управление настъпва Halloween, без компанията да може да следи поръчките, приходите и запасите; по най-добрите оценки, които цитират, това ѝ е струвало 151 милиона щатски долара [3]. Последица: проектът, който е трябвало да даде предимство, се превръща в кризата на годината.
5. Да управлявате доставчика като разход, а не като част от дейността. През 2018 г. във всички случаи, определени като атака, приложението за свързване е било на трета страна [8][10]; Uptime приписва на външни доставчици близо две трети от публичните сривове [15]. Последица: в деня, в който тази част откаже, компанията ви няма нито план, нито глас.
6. Да смятате едно правило за спазено, защото е написано. Изискванията на SPEI са съществували от 2017 г. [8]; това, което е липсвало при някои участници, е тяхното спазване [10]. Последица: правилото не защитава, а освен това показва ясно кой е трябвало да го спази.
7. Да не знаете цената на един час. Наш прочит. Последица: всяка инвестиция в непрекъснатост се обсъжда като разход и губи срещу всеки друг приоритет.

Какво да занесете на срещата в понеделник?

Опис на системите ви, класифицирани в матрицата, с отговорник, цена на един час престой и решение.

Това е първата стъпка, която Nolan и McFarlan искат от всеки съвет [3]. Форматът е наш. Всеки ред е система; колоните отговарят на това, от което комитетът ви има нужда, за да реши.

Примерен сценарий (не е реален случай). Същият дистрибутор с 312 милиона песо годишно.

Как да го попълните за една седмица (наши стъпки):

1. Избройте системите, които дейността използва, включително тези на трети страни, частите, които ви свързват с банките, със SAT или с клиентите ви, и електронните таблици, на които се крепи някой процес.
2. Определете бизнес отговорник за всяка. Ако никой не вдигне ръка, вече сте открили риск.
3. Отговорете на осемте въпроса от списъка за всяка система и ѝ определете квадрант.
4. Оценете цената на един час престой с четирите части на формулата. За начало стига груба оценка.
5. Напишете по едно решение на ред: инвестиране, поддържане, замяна или изключване. И кой го преглежда, според таблицата за управление на Nolan и McFarlan [3].

Как да го прочетете: ако една система е фабрика и решението ѝ гласи «поддържане» без изпитание за възстановяване, оттам започвате. Ако една система е стратегическа и никой от ръководния комитет не я наблюдава, оттам продължавате.

Ключови изводи

Три въпроса за следващия ви ръководен комитет:

1. Кои от нашите системи ни оставят без възможност да продаваме, да събираме плащания или да фактурираме, ако спрат за един час, и колко ни струва този час?
2. Бюджетът ни за системи използва ли едно правило за всичко, или разграничава онова, което не бива да спира, от онова, което ни прави конкурентни?
3. Каква част от най-критичното зависи от трета страна, кой проверява, че тя изпълнява това, което изискваме, и какво бихме направили, ако утре откаже?

Какво прави Hábil?

Hábil изгражда системата, от която дейността ви има нужда, когато никой продукт не пасва, и я свързва с онова, което вече имате.

Тръгваме от системите и процесите, които днес ви вършат работа. Подмяната на нещо се обсъжда само когато вече не си струва то да се запази.

• Системи по поръчка. Портали, процеси за одобрение и вътрешната дейност, която днес живее в електронни таблици и имейли. Изграждаме ги по поръчка, свързани със системите ви, и ви ги предаваме работещи.
• Какво е ваше при приключване: работещата система, кодът на ваше име във вашето хранилище, автоматичните тестове и документацията, с предаване към онзи, който ще я експлоатира. Ако утре поискате друг екип да я поддържа, можете да го направите.
• Преди да напишем и един ред, преглеждаме заедно с вас дали вече не съществува нещо, което решава проблема. Изграждането е отговорът само когато си струва.

Вижте Системи по поръчка.

А ако това, от което имате нужда, е да интегрирате системите си, изграждаме слоя, който ги свързва, с всяка операция потвърдена и проследима и с възможността да смените една система с минимално въздействие върху останалите. Интегрираме корпоративни системи от 2012 г. Вижте Интеграция.

Ако вече знаете коя е вашата система от тип «фабрика», да започнем оттам. Поискайте първи разговор, без заплащане. В него преглеждаме дали си струва да настроите, да ползвате продукт или да изградите, и какво бихте получили във всеки случай. Пишете ни по WhatsApp.

Често задавани въпроси

Остава ли една компания винаги в един и същ квадрант?

Не. Авторите предупреждават, че ролята на системите може да расте или да намалява [1] и че квадрантът преход е временен: когато промяната приключи, компанията преминава във фабрика или в стратегически квадрант [3]. Затова описът се преглежда всяка година.

Защо засегнатите през 2018 г. институции не са назовани?

Защото в цитираните източници на Банката на Мексико и CNBV те не са назовани, а тази статия се основава само на тях. Случаят не използва информация от клиенти на Hábil.

Източниците са проверени на 22 октомври 2026 г. Единственият цитат от Harvard Business Review е даден в английския оригинал, с превод; цитатите от документи на испански са дадени в оригинал, с превод в квадратни скоби.