De meerwaarde van bedrijfscontinuïteitsbeheer (BCM) voor elke organisatie

Aansluitend op mijn vorige blog twee weken geleden over de lancering van ons control framework BCM gebaseerd op de NEN/ISO 22301 (managementsysteem voor bedrijfscontinuïteit) ga ik in deze blog nader in op de meerwaarde van BCM die aanzienlijk is en zich ook uit in een hogere bedrijfswaarde. Een interessante invalshoek daarbij is dat bedrijfscontinuïteitsbeheer de mogelijkheid biedt om de mensgerichte kant van een organisatie naar een hoger niveau te tillen. En is dat niet een wens die elk gerespecteerde organisatie van nature heeft?

Door Gerrit Goud

Niemand zag de crisis aankomen en dat is zo kenmerkend voor een crisis. Van de ene op de andere dag krijgt een organisatie te maken met de grootste uitdaging in zijn bestaan in een buitengewone onstabiele en complexe situatie die een bedreiging vormt voor de strategische doelstellingen, reputatie en uiteindelijk het voortbestaan van de organisatie. Deze gevolgen kunnen zeer schadelijk zijn als met name de indruk bestaat dat de organisatie heeft nagelaten zich voor te bereiden op een crisis of er niet in geslaagd is de crisis te beheersen of ervan te herstellen.

Heeft risicomanagement gefaald?

Je zou kunnen redeneren dat risicomanagement als beheersingsinstrument heeft gefaald. Echter die redenatie is ten dele waar. Risicomanagement wordt ingezet als sprake is van een normale bedrijfsvoering met de mogelijkheid allerlei dreigingen te benoemen en deze te voorzien van een risicoprofiel en indien nodig van mitigerende maatregelen. Bij dreigingen in de trant van calamiteiten en crises kom je dan gauw uit op verzekeren en het opzetten van BCM. En dat laatste is een afzonderlijke tak van sport met als doel de continuïteit en het voortbestaan van de organisatie te waarborgen onder alle omstandigheden. Maar dan moet je dit wel serieus willen optuigen en daar ligt meestal het probleem. De eigenaar van het risico ziet weliswaar het risico, maar doet niets om redenen van veel gedoe, geen urgentie, we lossen dit wel achteraf op, geen middelen en een uitermate geringe kans en als het gebeurt dan is dit niet bij ons, maar bij de buurman en gaat vervolgens weer over tot de orde van de dag. Een beetje gechargeerd, maar toch…

Verantwoordelijkheid BCM

Het zal niemand verbazen, maar het bestuur en de directie zijn verantwoordelijk voor BCM. Zij zijn immers ook degenen die verantwoordelijk zijn voor de strategische doelstellingen en ter verantwoording worden geroepen als die doelstellingen in gevaar komen als gevolg van in dit geval een calamiteit of crisis. Als bestuur en directie heb je heel wat uit te leggen als er geen ‘oorlogsplan’ gereed is. En natuurlijk zal een ‘oorlogsplan’ een crisis niet geheel afdekken, maar zorgt er wel voor dat ‘officieren en soldaten’ opgeleid en getraind zijn met de juiste competenties, ‘wapens en munitie’. En dat levert de organisatie meer veerkracht en adaptief- en responsvermogen op in tijden van onvoorziene, complexe en onstabiele omstandigheden.

Omdenken door middel van BCM

Die eigenschappen maken een organisatie ook in vredestijd sterker in termen van bedrijfscultuur, ethiek, saamhorigheid, overlevingsdrang en in de geloofwaardigheid en vertrouwen om succesvol te zijn als organisatie. En dit zijn eigenschappen die elk gerespecteerde organisatie zich toewenst. In die zin kan BCM een prima opmaat zijn voor een mensgericht transitieproces ter bevordering van eerder vermelde eigenschappen in plaats van (de zoveelste) reorganisatie met hetzelfde mensgerichte doel of de weg te kiezen van allerlei op zich zelf staande bewustwordingsprogramma’s. Immers het beoogde doel, de in te zetten middelen en het resultaat komen bij BCM veel nadrukkelijker in beeld. Dit is een interessante invalshoek om vanuit ‘omdenken’ de gewenste menskant van een organisatie via BCM sneller in beweging te krijgen. Ik zou zeggen een win-win opportunity.

Beheerorganisatie BCM

Voor het borgen van BCM is een beheerorganisatie nodig die afdelingsoverstijgend opereert, geïnitieerd vanuit een top down benadering en direct gelinkt is met de directie. Zonder een beleidskader voor bedrijfscontinuïteit, betrokkenheid bestuur en directie en toereikende middelen is er geen deugdelijke basis voor BCM en zijn alle initiatieven gedoemd te mislukken. Dan creëren we hooguit een papieren tijger om vooral onszelf voor de gek te houden.

BCM is onderdeel van de normale bedrijfsvoering en ligt op het niveau van concerncontrol, weliswaar met een ander vizier maar met dezelfde vooruitziende blik. De coördinator bedrijfscontinuïteit (BC) is aanspreekpunt voor alle relevante vraagstukken op het gebied van bedrijfscontinuïteit en behoort de bedrijfsprocessen van de organisatie op hoofdlijnen te kunnen overzien en te beschikken over de juiste competenties waaronder netwerkcoördinatie. De coördinator behoort onder meer inzicht te hebben in:

• alle relevante preventieve en preparatieve maatregelen gericht op het voorkomen van ernstige verstoringen, calamiteiten of crises;

• alle van toepassing zijnde continuïteitsplannen (inclusief een crisisbeheerplan) die her en der belegd zijn in de organisatie elk voorzien van een eigenaar die verantwoordelijk is voor de inhoud en het periodiek updaten van zijn plan;

• een opleidings-, training en oefenprogramma voor elk continuïteitsplan;

• alle uit te voeren verbeterpunten in het kader van bedrijfscontinuïteit.

De lezer zal waarschijnlijk de doemscenario’s missen maar die zijn slechts onderdeel van een pragmatische aanpak op basis van ‘reverse engineering’ die ik niet in deze blog behandel, maar wel met geïnteresseerden kan bespreken.

Het is natuurlijk niet zo dat een organisatie niets heeft geregeld. Dat zou vreemd zijn. De grote vraag is wat wel geregeld is en wat nog geregeld moet worden in de context waarin de organisatie opereert. Daarvoor hebben wij een gestructureerde top-down aanpak ontwikkeld in de vorm van een QuickScan BCM voorzien van een rapport met adviezen en een routemap.

Daarnaast hebben wij een control framework BCM gelanceerd gebaseerd op de principes van de NEN/ISO 22301 en bedoeld om BCM te borgen vanuit een managementsysteem voor bedrijfscontinuïteit. Zowel ons intern beheersingsplatform (BCMS) dat gericht is op continu verbeteren op basis van een PDCA-cyclus als het normenkader BCM kunt u in licentie van ons afnemen.

Crisismanagement
Bij een calamiteit of crisis moet een organisatie snel in een overlevingsmodus worden getransformeerd en dat vereist voorbereiding, training, oefenen en oefenen met een crisismanagementteam in combinatie met een crisisbeheerplan waarmee elk teamlid vertrouwd is. Dat plan bevat geen doemscenario’s, maar wel bestuurlijke, organisatorische en coördinerende aspecten. Een crisisbeheerplan is beknopt en gericht om grip en rust te houden en in het voorzien van een effectief responsvermogen. Er behoort in het plan ruimte te zijn voor verrassingen en gebeurtenissen die niet door bestaande procedures en praktijken worden afgedekt. In zo’n situatie speelt coördinatie van getroffen maatregelen en interne en externe communicatie naar belanghebbenden over de aard en omvang van de calamiteit of crisis een cruciale rol. Dit stelt dan ook hoge eisen aan het crisismanagementteam (CMT). Zo behoort de voorzitter van het CMT een krachtige, gezaghebbende, gerespecteerde hogere leidinggevende te zijn met een langetermijnperspectief, die vertrouwd wordt en doortastend is, zonder impulsief te zijn. En dat hoeft niet in alle gevallen de hoogste in rang te zijn.

NEN/ISO 22301

De verwachting is dat steeds meer bedrijven zich laten certificeren op de NEN/ISO 22301, niet alleen om voorbereid te zijn op een calamiteit maar ook om hun imago en reputatie te verhogen en concurrentievoordeel te behalen en te voldoen aan eisen die klanten stellen ten aanzien van bedrijfscontinuïteit zoals we dat ook zien bij informatiebeveiliging (NEN/ISO 27001). En dat is meerwaarde die zich eveneens uit in een hogere bedrijfswaarde. En daarmee is investeren in BCM geen weggegooid geld.

Bedrijfscontinuïteitsmanagementsysteem (BCMS) in Key2Control

In Key2Control bieden wij een kant-en-klaar ingericht BCMS om BCM structureel te willen borgen gebaseerd op een eigen controle raamwerk BCM dat aansluit op de principes van NEN/ISO 22301. De inrichting is concreet toegespitst op de dagelijkse praktijk en bevat ruim 90 normen die voor iedereen herkenbaar zijn. Dit managementsysteem is gebaseerd op continu verbeteren op basis van een PDCA-cyclus. Op elk gewenst moment heeft de organisatie inzicht in de status rond BCM en de mogelijkheid te verbeteren en in te grijpen als blijkt dat het kwaliteitsniveau onder een drempelwaarde komt.

Wilt u meer weten over onze aanpak ten aanzien van BCM en over ons intern beheersingsplatform (BCMS), neem dan contact met ons op. Wij zijn ervan overtuigd dat een persoonlijk gesprek direct toegevoegde waarde biedt.