Đề xuất ngân sách cho khôi phục thảm hoạ thường thất bại theo một kịch bản quen thuộc. Đội kỹ thuật trình bày kiến trúc dự phòng, ban lãnh đạo hỏi nếu không làm thì sao, và câu trả lời là hệ thống có thể ngừng vài giờ. Vài giờ nghe không nghiêm trọng, đề xuất bị hoãn sang năm sau. Vấn đề không nằm ở kiến trúc mà ở đơn vị: kỹ thuật nói bằng giờ, tài chính nghe bằng tiền, và không ai làm phép quy đổi.
Bài viết này hướng dẫn cách dựng phép quy đổi đó. Chúng tôi không đưa ra con số ngành, vì một con số trung bình từ nguồn bên ngoài không nói được gì về doanh nghiệp bạn và sẽ bị bác ngay trong mười lăm phút đầu cuộc họp. Toàn bộ mô hình dưới đây dùng biến số mà bạn lấy từ sổ sách của chính mình.
Vì sao con số trung bình từ bên ngoài không dùng được
Chi phí một giờ ngừng hoạt động phân tán cực rộng giữa các doanh nghiệp, và phân tán cả trong nội bộ một doanh nghiệp theo thời điểm. Một hệ thống bán hàng ngừng vào giờ cao điểm cuối tháng và ngừng vào rạng sáng chủ nhật tạo ra hai con số khác nhau nhiều lần. Một con số duy nhất lấy từ bên ngoài không phản ánh được cơ cấu doanh thu, mức độ tự động hoá, hay điều khoản phạt trong hợp đồng của bạn.
Quan trọng hơn, một con số bạn không giải thích được nguồn gốc sẽ làm hỏng uy tín của cả đề xuất. Giám đốc tài chính sẽ hỏi con số đó ở đâu ra, và nếu câu trả lời là từ một báo cáo trên mạng, phần còn lại của bài trình bày sẽ không được nghe.
Các thành phần của chi phí một giờ ngừng hoạt động
Doanh thu mất đi
Bắt đầu từ doanh thu trung bình theo giờ trong khung giờ đang xét, ký hiệu R. Lấy doanh thu của kênh bị ảnh hưởng trong mười hai tháng gần nhất chia cho số giờ hoạt động thực tế, rồi điều chỉnh theo hệ số giờ cao điểm.
Điểm tinh tế là không phải toàn bộ doanh thu này biến mất. Một phần khách hàng sẽ quay lại mua sau khi hệ thống phục hồi. Gọi k là tỷ lệ thu hồi được, phần doanh thu thực sự mất là R nhân với một trừ k. Với hàng hoá thiết yếu, k thường cao; với mua sắm ngẫu hứng hoặc thị trường có nhiều lựa chọn thay thế, k thấp. Nếu bạn từng có sự cố trước đây, hãy ước lượng k từ dữ liệu doanh thu những ngày sau sự cố đó thay vì đoán.
Chi phí lao động nhàn rỗi
Khi hệ thống ngừng, nhân sự phụ thuộc vào nó vẫn được trả lương nhưng không tạo ra sản lượng. Gọi L là số nhân sự bị ảnh hưởng, w là chi phí giờ đầy đủ trung bình, và p là phần trăm công việc thực sự bị chặn. Chi phí là L nhân w nhân p. Hệ số p quan trọng: một nhân viên kho không truy cập được hệ thống có thể vẫn làm được việc khác, còn tổng đài viên thì gần như không.
Chi phí lao động khôi phục
Đây là phần chi phí phát sinh thêm để đưa hệ thống trở lại và dọn hậu quả: giờ làm ngoài giờ của đội kỹ thuật, hỗ trợ từ nhà cung cấp tính theo giờ, và đặc biệt là công việc đối soát dữ liệu sau sự cố. Phần đối soát thường bị bỏ quên và kéo dài hơn bản thân sự cố, vì các giao dịch dở dang phải được kiểm tra thủ công. Cần tính cả phần hệ luỵ: công việc đã lên lịch cho những kỹ sư đó trong các ngày sau sẽ không diễn ra, nên phần tiến độ bị lùi cũng thuộc về khoản này.
Phạt hợp đồng và tín dụng dịch vụ
Nếu bạn có cam kết mức dịch vụ với khách hàng, hãy đọc lại điều khoản và tính đúng theo công thức trong hợp đồng. Với hợp đồng doanh nghiệp, khoản này có thể lớn hơn nhiều so với doanh thu mất trực tiếp. Ghi nhận cả các nghĩa vụ dạng khác như đền bù cho đối tác hoặc chi phí xử lý khiếu nại.
Rời bỏ khách hàng và uy tín
Đây là phần lớn nhất và cũng khó định lượng nhất, và cách xử lý trung thực là thừa nhận điều đó thay vì gán cho nó một con số giả. Cách tiếp cận dùng được: ước lượng số khách hàng có nguy cơ rời bỏ sau một sự cố kéo dài, nhân với giá trị vòng đời khách hàng mà bộ phận kinh doanh đã có sẵn, rồi trình bày dưới dạng dải rộng và ghi rõ đây là ước lượng. Nếu bộ phận kinh doanh chưa có giá trị vòng đời, hãy để khoản này ở dạng định tính và nêu nó như một rủi ro chưa định giá, chứ đừng bịa số.
Ghép thành một công thức
Chi phí một giờ ngừng hoạt động trong một khung giờ nhất định:
Chi phí giờ bằng R nhân một trừ k, cộng L nhân w nhân p, cộng chi phí khôi phục theo giờ, cộng phạt hợp đồng theo giờ, cộng khoản rời bỏ khách hàng được trình bày riêng dưới dạng dải.
| Biến | Ý nghĩa | Lấy từ đâu |
|---|---|---|
| R | Doanh thu theo giờ của kênh bị ảnh hưởng | Báo cáo doanh thu mười hai tháng chia số giờ hoạt động |
| k | Tỷ lệ doanh thu thu hồi được sau sự cố | Dữ liệu doanh thu sau các sự cố trước đó |
| L | Số nhân sự bị chặn công việc | Nhân sự, theo phòng ban phụ thuộc hệ thống |
| w | Chi phí giờ đầy đủ trung bình | Tài chính, gồm lương và các khoản kèm theo |
| p | Tỷ lệ công việc bị chặn hoàn toàn | Trưởng bộ phận nghiệp vụ ước lượng |
| Phạt | Tín dụng dịch vụ và bồi thường | Điều khoản trong hợp đồng khách hàng |
Không phải giờ nào cũng như nhau
Một mô hình chỉ có một con số duy nhất sẽ bị phản bác dễ dàng. Hãy tính ít nhất ba kịch bản: giờ cao điểm trong mùa cao điểm, giờ làm việc bình thường, và ngoài giờ. Ngoài ra cần tách hai dạng sự cố: ngừng hoàn toàn và suy giảm một phần. Suy giảm một phần thường kéo dài hơn và tổng thiệt hại có thể lớn hơn, dù cảm giác chủ quan là nhẹ hơn.
Cũng nên tách chi phí theo thời lượng chứ không nhân tuyến tính. Ba mươi phút gián đoạn thường được hấp thụ gần hết; sáu giờ thì bắt đầu kích hoạt điều khoản hợp đồng, làm phát sinh khiếu nại và tạo ra công việc đối soát lớn. Đường cong thiệt hại theo thời gian thường dốc lên chứ không phẳng.
Từ chi phí downtime tới mục tiêu RTO và RPO
Khi đã có chi phí theo giờ, ngân sách khôi phục thảm hoạ trở thành một bài toán so sánh chứ không còn là vấn đề cảm tính. Hai bước:
- Ước lượng tổn thất kỳ vọng hàng năm: xác suất xảy ra sự cố trong năm nhân với thời lượng dự kiến nhân với chi phí theo giờ, cộng lại trên các kịch bản. Xác suất nên lấy từ lịch sử sự cố của chính bạn và của nhà cung cấp, và nên trình bày dưới dạng dải.
- So sánh tổn thất kỳ vọng đó với chi phí hàng năm của từng mức năng lực khôi phục. Mỗi mức RTO thấp hơn có chi phí cao hơn, và mức giảm tổn thất thường nhỏ dần. Điểm hợp lý là nơi chi phí tăng thêm của việc giảm RTO vượt quá phần tổn thất tránh được.
Cách trình bày này chuyển cuộc thảo luận từ mua bảo hiểm sang chọn mức bảo hiểm, và đó là dạng quyết định ban lãnh đạo quen làm.
Chính mô hình đó cũng chỉ ra chỗ không nên chi. Không phải hệ thống nào cũng xứng đáng cùng một mục tiêu khôi phục, và áp một mức chung cho toàn bộ hệ thống là cách nhanh nhất khiến ngân sách DR trông không khả thi. Hãy tính riêng cho từng hệ thống hoặc từng nhóm hệ thống có chung phụ thuộc; thường chỉ một số ít dịch vụ gánh phần lớn chi phí theo giờ. Nhóm đó xứng đáng với mục tiêu khôi phục nghiêm ngặt, phần còn lại có thể nằm ở mức chậm hơn và rẻ hơn mà tổn thất kỳ vọng gần như không đổi. Trình bày cách phân tầng này cùng với con số cũng cho ban lãnh đạo thấy đây là một đề xuất phân bổ có cân nhắc, không phải yêu cầu chi cho mọi thứ cùng lúc.
Kiểm chứng bằng diễn tập
Con số RTO trong tài liệu thiết kế là một giả định cho đến khi được diễn tập. Hãy đo thời gian khôi phục thật trong một bài diễn tập có kịch bản, gồm cả các bước không thuộc kỹ thuật như liên lạc nội bộ, ra quyết định chuyển đổi, và đối soát dữ liệu sau khi hệ thống trở lại. Chênh lệch giữa RTO thiết kế và RTO đo được là một trong những dữ kiện thuyết phục nhất bạn có thể mang vào cuộc họp ngân sách.
Những sai lầm khiến đề xuất bị bác
- Dùng một con số duy nhất, chính xác tới hàng đơn vị, mà không có dải và không có giả định kèm theo.
- Bỏ qua hệ số thu hồi k, khiến thiệt hại bị thổi phồng và bị bộ phận tài chính phát hiện.
- Gán một con số cụ thể cho thiệt hại uy tín thay vì trình bày nó như khoản chưa định giá.
- Không quy đổi ngân sách đề xuất về cùng đơn vị thời gian với thiệt hại kỳ vọng.
HiTechCloud có thể hỗ trợ gì
HiTechCloud là đối tác của AWS, Google Premier Partner và vận hành hạ tầng đặt trong nước. Chúng tôi có thể hỗ trợ xây dựng mô hình chi phí downtime dựa trên số liệu tài chính của doanh nghiệp, thiết kế phương án khôi phục theo nhiều mức RTO và RPO để so sánh chi phí, và tổ chức các bài diễn tập khôi phục có đo thời gian thực tế.
