In onze vorige blog hebben wij uitgelegd waarom het belangrijk is om de scope, het beleid en het eigenaarschap voor Business Continuity Management (BCM) goed vast te leggen voordat je begint aan de implementatie van een Business Continuity Management Systeem (BCMS). Dit implementatieproces hebben wij bij Trimension opgedeeld in zes fases: initiatie, analyse, ontwerp, inrichting, validatie en borging. In een serie van totaal zeven blogs nemen we je mee in onze visie en werkwijze.
In deze derde blog duiken we dieper in op de analysefase. Het hoofddoel van deze fase is inzicht krijgen in welke activiteiten kritiek zijn, impact van uitval, prioriteiten en risico’s. Een belangrijk onderdeel daarvan is het uitvoeren van een Business Impact Analyse (BIA) en een Risico-Inventarisatie & -Evaluatie (RI&E). Wat zijn deze instrumenten en hoe pas je ze toe?
Kritiek of niet kritiek?
Een belangrijke randvoorwaarde voor een goed BCMS is dat je een duidelijk beeld hebt van welke activiteiten(/processen) er kritiek zijn voor jouw organisatie. Daarom begint de analysefase met het uitvoeren van BIA’s (Business Impact Analyses). Een BIA is een gestructureerde analyse die inzicht geeft in wat de impact is indien een activiteit uitvalt (hierbij is de oorzaak niet van belang), en hoe snel de activiteit hersteld moet worden om (ernstige) schade te voorkomen.
In de kern willen we met iedere BIA vaststellen of een activiteit kritiek is door middel van de volgende drie vragen:
- waarom wordt uitval van deze activiteit een probleem;
- wanneer wordt uitval van deze activiteit een probleem;
- hoe groot is het probleem als deze activiteit stilvalt?
Als wordt geconcludeerd dat een activiteit niet kritiek is, krijgt deze geen prioriteit binnen het BCMS en zijn doorgaans geen specifieke continuïteitsmaatregelen nodig. Wanneer blijkt dat een activiteit wél kritiek is dan moeten er in ieder geval twee deadlines worden vastgesteld. De eerste deadline is de RTO (Recovery Time Objective), ofwel hoe snel de activiteit na een verstoring hersteld moet zijn om (aanvaardbare) schade te voorkomen. De tweede deadline is de MTPD (Maximum Tolerable Period of Disruption), ofwel de maximale periode dat de activiteit mag stilvallen voordat er onherstelbare schade optreedt.
Wat kan er gebeuren en hoe erg is dat?
Een andere belangrijke randvoorwaarde voor een goed BCMS is inzicht in de risico’s die de continuïteit van de organisatie kunnen bedreigen, zodat de beschikbare middelen doelgericht en proportioneel kunnen worden ingezet. Om tot dit inzicht te komen voeren wij een Risico-Inventarisatie & Evaluatie (RI&E) uit, waarin we risico’s systematisch identificeren en beoordelen.
In deze RI&E komen de belangrijkste risico’s samen in één overzichtelijk document. Ieder risico wordt beoordeeld op kans en impact, gekoppeld aan de onderliggende afhankelijkheden en voorzien van bestaande en aanvullende beheersmaatregelen. Dit geeft concrete inzichten in kwetsbare punten en ketenafhankelijkheden.
Van inzicht naar ontwerp
De BIA’s en de RI&E vormen de basis van een gerichte voorbereiding. Door kritieke processen en risico’s in kaart te brengen krijg je een onderbouwd inzicht in waar jouw organisatie het meest kwetsbaar is. Dat brengt ons bij de volgende stap van ons implementatieproces: de ontwerpfase.
In onze volgende blog nemen we je mee in de ontwerpfase. Op basis van de uitkomsten van de BIA’s en de RI&E bepalen we samen met inhoudsdeskundigen uit de organisatie welke herstelopties realistisch en effectief zijn.
In onze volgende blog nemen we je mee in de ontwerpfase
Wordt vervolgd.