BCM is geen document maar een terugkerend proces van analyseren, kiezen, oefenen en verbeteren dat organisaties aantoonbaar herstelvermogen geeft.
Business Continuity Management is geen document, maar een terugkerend ritme van analyseren, kiezen, oefenen en verbeteren.
Een organisatie kan veel continuïteitsplannen hebben en toch slecht voorbereid zijn. Dat blijkt vaak pas als een belangrijk systeem uitvalt, een leverancier niet meer levert of medewerkers plotseling niet beschikbaar zijn.
Op zo’n moment telt niet hoeveel pagina’s het plan heeft. Dan tellen andere vragen. Weet de organisatie wat echt door moet gaan? Is duidelijk wie een besluit mag nemen? Werkt de tijdelijke oplossing? En hebben medewerkers dit eerder geoefend?
Daarom moet de bestuurlijke vraag niet zijn: “Hebben wij een continuïteitsplan?” De betere vraag is:
“Kunnen wij aantoonbaar blijven leveren als een kritieke schakel uitvalt?”
Dat is het verschil tussen een plan op papier en werkelijk herstelvermogen.
Business Continuity Management, kortweg BCM, is het hele proces waarmee een organisatie zich voorbereidt op verstoringen. Een Business Continuity Plan, of BCP, is het concrete actieplan dat tijdens een verstoring wordt gebruikt.
Dat verschil is belangrijk.
Een BCP beschrijft wat medewerkers moeten doen, wie welke actie uitvoert en welke tijdelijke werkwijze beschikbaar is. BCM zorgt dat dit plan gebaseerd is op een goede analyse, past bij de risico’s, bekend is bij de juiste mensen, wordt getest en na iedere verandering wordt aangepast.
Een goed BCM-proces bestaat daarom uit een vaste cyclus:
Een plan zonder deze cyclus kan op de dag van vaststelling al beginnen te verouderen. Systemen veranderen. Leveranciers wisselen. Teams krijgen andere taken. Contactpersonen vertrekken. Een plan dat niet wordt onderhouden en getest, geeft dan vooral een gevoel van zekerheid. Niet de zekerheid zelf.
De kern is eenvoudig: het plan is niet het eindproduct van BCM. Het eindproduct is een organisatie die onder druk kan blijven handelen.
Organisaties die BCM echt willen laten werken, moeten drie duidelijke verschuivingen maken.
Niet ieder proces is even belangrijk. Ook hoeft niet ieder proces direct te worden hersteld. BCM begint daarom niet met een lijst van mogelijke rampen, maar met een scherpe keuze over wat de organisatie moet blijven leveren.
Daarvoor wordt een Business Impact Analyse uitgevoerd. Deze analyse wordt vaak afgekort tot BIA. De organisatie bepaalt per proces:
Daarbij worden vaak drie waarden gebruikt:
| Waarde | Wat zij aangeeft |
|---|---|
| MTPD | De uiterste grens: hoe lang mag het proces uitvallen voordat de schade niet meer acceptabel is? |
| RTO | De gewenste hersteltijd: binnen welke tijd moet het proces weer werken? |
| RPO | Hoeveel verlies van gegevens is acceptabel? |
Deze waarden lijken technisch, maar zijn vooral bestuurlijke keuzes. Een hersteltermijn van vier uur kan grote investeringen vragen. Een hersteltermijn van drie dagen kan juist te veel schade opleveren. De organisatie moet daarom bewust kiezen welk herstelvermogen nodig én haalbaar is.
Een goede BIA levert dus meer op dan cijfers. Zij dwingt de organisatie om prioriteiten te stellen. Zonder die prioriteiten is ieder herstelplan uiteindelijk een gok.
Als duidelijk is welke processen kritiek zijn, volgt een tweede vraag:
Waar kan het proces breken en zijn wij daar werkelijk tegen bestand?
Daarvoor wordt een Bedreigingen- en Kwetsbaarhedenanalyse gebruikt, vaak afgekort tot BKA. Deze analyse kijkt niet alleen naar wat er mis kan gaan. Zij kijkt vooral naar de reden waarom de organisatie mogelijk niet goed kan herstellen.
Denk aan sleutelkennis die bij één medewerker zit. Een leverancier zonder alternatief. Een back-up die nooit is teruggezet. Een uitwijklocatie waar niemand toegang toe heeft. Of een tijdelijke werkwijze die alleen op papier bestaat.
De BKA verschilt daarmee van een brede risicoanalyse. De centrale vraag is niet alleen hoe waarschijnlijk een storing is. De vraag is vooral: kunnen wij de gevolgen opvangen als de storing zich voordoet?
Op basis daarvan kiest de organisatie een herstelstrategie. Dat kan bijvoorbeeld zijn:
Een strategie is pas geloofwaardig als zij concreet, uitvoerbaar, afgestemd en getest is. Er moet duidelijk zijn wie de maatregel activeert, welke middelen nodig zijn en of de oplossing binnen de afgesproken hersteltijd werkt.
Juist bij die afstemming ontstaan vaak grote risico’s. Een intern plan kan bijvoorbeeld uitgaan van herstel binnen vier uur, terwijl de leverancier volgens het contract pas binnen twee werkdagen hoeft te reageren. Op papier bestaan dan twee geldige afspraken. In de praktijk kan het proces niet binnen vier uur herstellen.
De ruimte tussen de interne verwachting en de werkelijke mogelijkheid is het continuïteitsrisico.
Een herstelstrategie die nooit is getest, blijft een aanname. Een contactlijst die nooit is gebruikt, kan verouderd zijn. En een medewerker die zijn rol alleen uit een document kent, kan onder druk alsnog afwachten.
Oefenen is daarom geen laatste stap. Het is een vast onderdeel van het BCM-proces.
Een organisatie kan klein beginnen met een papieroefening. Het team bespreekt dan samen een realistisch scenario. Daarna kan worden opgebouwd naar een simulatie of een live-test. Bij een live-test werkt een team bijvoorbeeld tijdelijk zonder een belangrijk systeem of vanaf een uitwijklocatie.
Tijdens een oefening worden twee zaken getest.
Ten eerste de inhoud. Klopt het plan? Zijn de contactgegevens actueel? Werkt de tijdelijke oplossing? Sluiten de hersteltijden aan op wat IT en leveranciers kunnen leveren?
Ten tweede het gedrag. Wie neemt initiatief? Wie wacht af? Wordt op tijd geëscaleerd? Is duidelijk wie mag beslissen? Durven medewerkers te zeggen dat een oplossing niet werkt?
Na iedere oefening moeten concrete acties volgen. Iedere actie krijgt een eigenaar en een termijn. Daarna worden het plan, de strategie of het proces aangepast. Zonder deze opvolging is de oefening een losse activiteit. Met opvolging ontstaat een lerende cyclus.
Voor ieder kritisch proces is minimaal een jaarlijkse test een logisch vertrekpunt. Ook bij grote wijzigingen moet opnieuw worden geoefend. Denk aan een nieuw systeem, een andere leverancier, een reorganisatie of het vertrek van een sleutelfunctionaris.
BCM wordt in veel organisaties gestart door risicomanagement, informatiebeveiliging of een BCM-coördinator. Dat is begrijpelijk. Deze functies hebben kennis van kaders, analyses en testmethoden.
Maar zij zijn niet de eigenaar van het proces dat moet herstellen.
Dat eigenaarschap hoort bij de eerste lijn: de managers, teamleiders en proceseigenaren die dagelijks verantwoordelijk zijn voor de dienstverlening. Zij kennen het proces. Zij weten waar de praktijk afwijkt van de formele beschrijving. En zij moeten handelen als het proces stilvalt.
De tweede lijn ondersteunt. Zij levert formats, begeleidt analyses, stelt kritische vragen en bewaakt de samenhang. De derde lijn, zoals interne audit, beoordeelt onafhankelijk of de aanpak logisch is ingericht en in de praktijk werkt.
De directie heeft een andere, maar belangrijke taak. Zij stelt de kaders, bepaalt de prioriteiten en maakt middelen beschikbaar. Ook beslist zij welk restrisico acceptabel is.
Een veelgemaakte fout is dat de tweede lijn alle plannen opstelt. Dat kan op korte termijn snel lijken. Maar het verplaatst de verantwoordelijkheid. De proceseigenaar krijgt dan een plan dat door iemand anders is bedacht. Wanneer een storing optreedt, ontbreekt vaak de kennis, herkenning en betrokkenheid om het plan goed uit te voeren.
De eerste lijn hoeft BCM niet alleen te doen. Zij moet er wel eigenaar van blijven.
Veel BCM-problemen ontstaan niet doordat er helemaal geen plan is. Ze ontstaan doordat mensen anders handelen dan verwacht.
Medewerkers wachten op toestemming. Een manager stelt escalatie uit. Een specialist neemt alle taken over. Een leverancier wordt niet aangesproken. Of niemand durft te melden dat de afgesproken tijdelijke oplossing niet werkt.
Onder druk vallen mensen vaak terug op gewoontes, hiërarchie en informele afspraken. Daarom moet gedrag een zichtbaar onderdeel zijn van BCM. Niet als algemene waarde, maar als concrete verwachting:
Tijdens oefeningen moet dit gedrag worden waargenomen en besproken. Niet om mensen af te rekenen, maar om te begrijpen waarom vertraging, stilte of verwarring ontstond.
BCM faalt zelden alleen op de inhoud. Het verschil ontstaat vaak bij de mensen die het plan moeten gebruiken. Eigenaarschap, rolvastheid, aanspreekbaarheid en tijdige escalatie zijn daarom geen zachte onderwerpen. Zij bepalen direct het herstelvermogen.
Leiderschap speelt hierbij een grote rol. Leidinggevenden moeten ruimte geven om bij twijfel te escaleren. Zij moeten zelf meedoen aan oefeningen en open praten over zwakke plekken. Wanneer iedere fout wordt afgestraft, zullen medewerkers risico’s later melden. Wanneer problemen gebruikt worden om te leren, ontstaat sneller herstel.
Een BCM-proces blijft alleen werken als het wordt opgenomen in het normale ritme van de organisatie. Het mag geen los project blijven dat eenmaal per jaar door een specialist wordt opgepakt.
BCM hoort terug te komen in:
Bestuurders hebben daarbij geen dashboard met tientallen indicatoren nodig. Een klein aantal gerichte cijfers geeft vaak meer inzicht. Denk aan het percentage kritieke processen met een actueel BCP, het percentage plannen dat in de afgelopen twaalf maanden is getest, het aantal openstaande verbeteracties en het percentage kritieke leveranciers met passende herstelafspraken.
Naast cijfers is bewijs nodig. Niet in de vorm van grote hoeveelheden papier, maar in de vorm van duidelijke sporen. Bijvoorbeeld een BIA met een datum en eigenaar, een besluit over de herstelstrategie, het verslag van een oefening, de opvolging van verbeterpunten en de afstemming met IT en leveranciers.
De kernvraag is steeds: waar blijkt uit dat de organisatie niet alleen iets heeft afgesproken, maar het ook heeft uitgevoerd, getest en verbeterd?
Aantoonbaarheid ontstaat niet door het aantal documenten. Zij ontstaat doordat keuzes en acties stap voor stap zijn terug te vinden.
Een organisatie hoeft niet direct voor ieder proces een volledig BCM-stelsel op te bouwen. Klein beginnen is vaak effectiever.
De organisatie kiest één herkenbaar kritisch proces. Er wordt een proceseigenaar benoemd en een compacte BIA uitgevoerd. De belangrijkste output, afhankelijkheden en hersteltijden worden vastgesteld.
Er wordt onderzocht waar het proces kwetsbaar is. Daarna wordt een realistische herstelstrategie gekozen. Deze wordt afgestemd met IT, HR, facilitair en eventuele leveranciers. De afspraken worden vertaald naar een kort en praktisch BCP.
Het team voert een papieroefening uit. Niet alleen het plan, maar ook de besluitvorming, samenwerking en escalatie worden geëvalueerd. De belangrijkste verbeterpunten krijgen een eigenaar en een duidelijke einddatum.
Na deze eerste cyclus kan de aanpak worden verbeterd en uitgebreid naar andere kritieke processen. Zo groeit BCM vanuit de praktijk, in plaats van vanuit een groot centraal project. Begin dus met één proces of team en bouw van daaruit verder.
De volwassenheid van BCM wordt niet bepaald door het aantal plannen. Zij wordt bepaald door de vraag of de organisatie vijf vragen direct kan beantwoorden:
Wanneer deze antwoorden duidelijk, actueel en getest zijn, ontstaat werkelijk herstelvermogen.
BCM voorkomt niet dat systemen uitvallen, mensen fouten maken of leveranciers problemen krijgen. Het voorkomt wel dat een verstoring onnodig uitgroeit tot chaos. Het geeft richting wanneer informatie onvolledig is, tijd schaars wordt en de druk oploopt.
Een plan mag in een la liggen.
Het proces moet in de organisatie zitten.
Van bestuurlijke AI-vraag tot DORA, SIRA, BCM of hersteltraject: plan een vrijblijvend gesprek met een specialist.