---

---

Bedrijfscontinuïteitsbeheer (BCM) heeft zich in de loop der tijd ontwikkeld van een puur technische voorzorgsmaatregel voor storingen in IT-systemen in de jaren tachtig tot een alomvattend beheersysteem. Tegenwoordig houdt BCM zich niet alleen bezig met de beveiliging van IT-systemen, maar met alle belangrijke middelen die cruciaal zijn voor het overleven van een bedrijf in een noodsituatie. Enkele belangrijke beginselen en procedures zijn in de loop der tijd vastgesteld en worden hieronder toegelicht.

Het worst-case concept

Bij het opzetten van een managementsysteem voor bedrijfscontinuïteit (BCMS) wordt het zogenaamde worst-case concept toegepast. Hier is de planning niet gebaseerd op de oorzaak van het verlies van middelen, maar op het resultaat, d.w.z. het verlies van gebouwen, personeel in tijdkritische processen, IT, diensten/leveringen en productiefaciliteiten. De oorzaak van een eventueel verlies staat niet centraal in de overwegingen.

De BCM-levenscyclus

Op basis van het BCM-model van het Business Continuity Institute (BCI) en de eisen van de ISO-norm voor BCM (ISO 22301) bestaat de BCM-levenscyclus uit zes fasen. Deze omvatten twee beheersfasen en vier uitvoeringsfasen. De beheersfasen vormen de belangrijkste taken voor degenen die verantwoordelijk zijn voor BCM, terwijl de uitvoeringsfasen worden uitgevoerd in samenwerking met verschillende afdelingen van het bedrijf. De aanpak is pragmatischer en moet een efficiënte uitvoering van het BCM-systeem mogelijk maken.


Source: De zes fasen van de BCM-levenscyclus (aangepast van The Business Continuity Institute)

BEHEERFASE 1: BELEID EN PROGRAMMABEHEER

In de eerste fase van de BCM-levenscyclus wordt het BCM-programma van het bedrijf of de organisatie ontworpen. Het BCM-beleid wordt gedefinieerd met betrekking tot de eisen voor bedrijfscontinuïteitsbeheer en schriftelijk vastgelegd. Het beleid moet begrijpelijk en beknopt zijn (10 tot 15 bladzijden) en globaal de motivatie, de doelstellingen, de verantwoordelijkheden en de geplande uitvoering beschrijven. Dit beleid wordt ondertekend door de hoogste managementniveaus en meegedeeld aan alle werknemers om de basis te leggen voor de uitvoering van het bedrijfscontinuïteitsprogramma. In de volgende stap wordt het beleid door de BCM-manager uitgewerkt door het kader te verfijnen in de vorm van procesbeschrijvingen en taakbeschrijvingen. Vervolgens worden de nodige instrumenten en sjablonen ontwikkeld om het programmabeheer te ondersteunen. Het programmamanagement is gebaseerd op het BCM-beleid en voert het in de praktijk uit.

BEHEERSFASE 2: Anchorage

De verankeringsfase in de BCM-levenscyclus is erop gericht in de hele organisatie bewustzijn te creëren voor Business Continuity Management (BCM) en het te integreren in bestaande processen. Daartoe wordt voor alle werknemers een begeleidend opleidings- en bewustmakingsprogramma ontwikkeld. Bovendien moeten de beginselen van BCM in zoveel mogelijk processen van de organisatie worden verankerd, zoals in het inwerkproces voor nieuwe medewerkers of in checklists voor grote projecten. Door BCM-aspecten in te bedden in de bedrijfsprocessen moet de weerbaarheid van de organisatie worden vergroot.

UITVOERINGSFASE 1: ANALYSE

De analysefase is een belangrijk onderdeel van de BCM-levenscyclus omdat zij de basis vormt voor de andere fasen. In deze fase worden de bedrijfsprocessen van het bedrijf onderzocht om te bepalen welke processen absoluut noodzakelijk zijn om de activiteiten in stand te houden. Deze informatie wordt vervolgens gebruikt om prioriteiten te stellen voor noodoperaties. Bovendien worden in de analysefase de bedreigingen die de onderneming kunnen treffen, onderzocht en beoordeeld. Deze bedreigingen worden geïdentificeerd in de vorm van een dreigingsanalyse en de resultaten worden gebruikt om mogelijke kwetsbaarheden te elimineren en alternatieve middelen te vinden. Door de analysefase wordt een beter inzicht verkregen in de bedreigingen en risico's van de onderneming, waardoor een passender en doeltreffender BCM-strategie kan worden ontwikkeld.

UITVOERINGSFASE 2: DESIGN

Tijdens de analysefase worden de tijdkritische bedrijfsprocessen geïdentificeerd, hun afhankelijkheden bepaald en de impact bij verschillende verliesscenario's vastgesteld. In de ontwerpfase worden vervolgens oplossingen voor scenario's zoals het falen van gebouwen, personeel, IT en leveranciers/dienstverleners geïdentificeerd, geëvalueerd en geselecteerd door het management. Deze oplossingen bestaan uit organisatorische en technische maatregelen die helpen om de risico's bij verlies tot een minimum te beperken. Deze maatregelen worden zowel proactief als reactief gebruikt om de omvang van de schade te beperken en een existentiële bedreiging voor het bedrijf te voorkomen. Aan het eind van de ontwerpfase moeten de oplossingsopties voor elke locatie worden samengevat in een concept dat aan de directie wordt voorgelegd, inclusief een kosten-batenanalyse, als basis voor de besluitvorming.

UITVOERINGSFASE 3: IMPLEMENTATIE

Tijdens de implementatiefase worden de bedrijfscontinuïteitsplannen (BCP's) geformuleerd op basis van de gekozen oplossingen. Afhankelijk van de omvang en complexiteit van de onderneming wordt ofwel een gemeenschappelijk plan voor alle scenario's ofwel afzonderlijke plannen voor elk scenario opgesteld. Deze plannen bieden een leidraad voor de getroffen gebieden in geval van een kritiek incident en zorgen ervoor dat de herstart zo snel mogelijk en binnen de vastgestelde termijnen plaatsvindt. De BCP's bevatten gedetailleerde informatie over prioriteiten, procedures, verantwoordelijkheden en middelen die nodig zijn om een crisissituatie te beheersen en de normale werking zo snel mogelijk te herstellen. Voorts wordt in deze fase de organisatie voor de aanpak van een crisis omschreven, met inbegrip van een crisisteam, een bijstands- en serviceteam (AST) en operationele reactieteams.

UITVOERINGSFASE 4: VALIDATIE

De laatste fase van de levenscyclus van het Business Continuity Management (BCM), validatie, is verdeeld in drie gebieden: Test/oefening, onderhoud en beoordeling.

De ontwikkelde reactiestructuurplannen worden jaarlijks in real-life tests en oefeningen op alle niveaus geëvalueerd om fouten op te sporen en de oplossingen en plannen te verbeteren.

Onderhoud heeft betrekking op de regelmatige herziening en bijwerking van documenten.

Beoordeling is bedoeld voor kwaliteitsborging en omvat zelfbeoordelingen, interne of externe audits, willekeurige controles door de BC-manager, beoordelingen van kritische leveranciers en dienstverleners, en jaarlijkse beoordelingen door het management op basis van rapportage door de BC-manager.

Invoering en werking van een BCMS

De invoering van een Business Continuity Management System (BCMS) is complex en vereist een niet te verwaarlozen hoeveelheid personele middelen. Het is belangrijk onderscheid te maken tussen het opzetten en het functioneren van het BCMS. Om de opzet te vereenvoudigen, is het raadzaam een beroep te doen op ervaren externe deskundigen indien geen intern personeel over de relevante kennis beschikt. Voor de werking van het BCMS moet voor middelgrote bedrijven met 1000 werknemers op één locatie een voltijdse functie voor een BC-manager worden voorzien. Kleinere vestigingen kunnen met minder personeel toe.

Voor een implementatieproject moet men rekenen op een jaar om de BCM-levenscyclus te voltooien. Dit voorkomt overbelasting van de organisatie en sluit optimaal aan bij de BCM-levenscyclus.

Bedrijfscontinuïteitsbeheer en raakvlakken met andere disciplines

Er bestaat een misvatting over wat BCM werkelijk inhoudt, aangezien niet alles wat BCM wordt genoemd ook werkelijk BCM is. Er moet hier een onderscheid worden gemaakt:

BCM en IT Service Continuity Management (ITSCM)

IT Service Continuity Management (ITSCM) is een deelgebied van BCM dat proactief wordt gebruikt om zich in te dekken tegen IT-storingen en de risico's daarvan. ITSCM vindt zijn oorsprong in de jaren tachtig, toen concepten voor noodherstel werden ontwikkeld. Net als BCM wordt ook ITSCM uitgevoerd gedurende een levenscyclus die vrijwel overeenkomt met die van BCM. ITSCM richt zich op enkele technische storingsscenario's zoals het uitvallen van een datacenter, de onbereikbaarheid van een datacenter en het uitvallen van netwerkverbindingen. Het is gebaseerd op de resultaten van de BCM-business impact analyse en besteedt speciale aandacht aan de vereiste hersteltijd van een IT-dienst. Op basis daarvan worden oplossingsconcepten ontwikkeld, die in het verdere verloop van de ITSCM-levenscyclus verder worden verwerkt.

BCM EN BEHEER VAN INFORMATIEBEVEILIGING (ISM)

Het raakvlak tussen BCM en Information Security Management (ISM) vloeit voort uit het deelgebied van BCM dat betrekking heeft op IT-diensten (ITSCM). Bij informatiebeveiliging ligt de nadruk vooral op de naleving van de vastgestelde beveiligingsdoelstellingen voor bedrijfsgegevens. De bekendste beveiligingsdoelstellingen zijn naleving van vertrouwelijkheid, integriteit, continuïteit en authenticiteit van informatie. Bij het bouwen van een ISM-systeem wordt een analyse van de beschermingsbehoeften uitgevoerd, die op haar beurt resultaten oplevert voor de analyse van de leemten voor het ITSCM.... Aangezien het ITSCM zich niet bezighoudt met scenario's zoals hackeraanvallen, is het van belang met de ISM te verduidelijken wie deze scenario's plant. Vanuit BCM-perspectief betekent IT-falen het ontwikkelen van handmatige workarounds of alternatieve technische procedures. Als een aanval echter succesvol is, moeten er plannen bestaan die beschrijven hoe de organisatie na zo'n aanval zal reageren.

BCM EN CRISISBEHEER

Crisisbeheer (CM) komt in actie wanneer het bedrijfscontinuïteitsbeheer (BCM) zijn grenzen bereikt en een crisis moet aanpakken die niet door BCM kon worden voorkomen. Dit kan het geval zijn wanneer een verstoring of een kritiek incident tot een crisis leidt omdat er geen middelen beschikbaar zijn of het vooraf vastgestelde tijdschema wordt overschreden. Aangezien de scenario's die BCM behandelt (uitval van gebouwen, personeel, IT en kritische dienstverleners/leveranciers) vaak ook kritieke incidenten zijn, is het zinvol de crisisorganisatie er zo vroeg mogelijk bij te betrekken. De crisisorganisatie is verdeeld in strategisch (crisisteam), tactisch (bijstands- en serviceteam, eventueel situatiecentrum) en operationeel (reactieteams van de gespecialiseerde diensten).

In het geval van een crisis neemt het crisismanagement de strategische leiding en de tactische coördinatie over. BCM bereidt de bedrijfscontinuïteitsplannen voor die in geval van een crisis door het crisisteam worden geactiveerd. Goede communicatie binnen en buiten de organisatie is cruciaal voor beide systemen (BCM en CM) en moet bij de planning in aanmerking worden genomen. BCM is een sterk preventief managementsysteem dat voorziet in bedrijfscontinuïteitsplannen en operationele teams door middel van oefeningen voorbereidt op crises. Het crisisteam neemt het op strategisch niveau over wanneer de BC-plannen niet volstaan, wanneer zich situaties voordoen die niet onder het BCM vallen, of wanneer de noodhulpmiddelen niet werken.

  Wat is het doel van business continuity management?

• BCM identificeert potentiële bedreigingen en minimaliseert de daaruit voortvloeiende risico's. 

• De veerkracht van de organisatie bevorderen en een reactie op een worst-case scenario voorbereiden dankzij vastgestelde procedures voor mogelijk verlies van kritieke middelen (werknemers, gebouwen, IT en leveranciers). 

• Zorg voor continuïteit van tijdkritische bedrijfsprocessen door het ontwikkelen van noodplannen met behulp van analytische methoden, het ontlasten van personeel tijdens een crisis en het stellen van prioriteiten voor de terugkeer naar een normale bedrijfsvoering. 

• Voldoen aan eisen binnen de organisatie en aan die van klanten en andere belanghebbenden. 

  Hoe kan business continuity management mijn bedrijf helpen?