Bedrijfscontinuiteit: Business Continuity Plan

Veel bedrijven beschikken over een Business Continuity Plan, conform de regulering voor Corporate governance van Tabaksblat of SOX. De praktijk leert echter dat de meeste van deze plannen hopeloos verouderd zijn en dat de draaiboeken niet werken. De fiasco's met o.a. Ahold, Enron, Parmalat en andere bedrijven hebben aangetoond dat het hebben van een Business Continuity Plan noodzaak is. Tot de maatregelen voor corporate governance behoort dan ook terecht het opstellen van zo'n plan. Winst maken is tenslotte leuk, maar als je iets aan deze winst wilt hebben, dan moet je het risico afdekken dat je als bedrijf kapot gaat. Anders ben je misschien genoodzaakt om je geld in de rechtszaal te verdienen in plaats van met je core-business.

Financiers kijken in lijn met de regels voor corparate governance ook steeds vaker naar de risico's die ze lopen. Het grootste risico loopt een financier als de bedrijfscontinuiteit niet goed geregeld en dus niet gegarandeerd is. En dat geldt niet alleen voor beursgenoteerde ondernemingen.

Business continuity gaat verder dan ICT

In veel bedrijven wordt business continuity sterk geassocieerd met ICT. Uiteraard liggen in de ICT risico's; veel bedrijven zijn tenslotte afhankelijk geworden van hun ICT-voorzieningen, die meestal tevens verantwoordelijk zijn voor de management informatie. Binnen de ICT bestaat het proces calamiteitenplanning of contingency planning, meestal gebaseerd op ITIL. De business continuity wordt daarom vaak opgehangen aan de ICT manager. Dit is echter onterecht. Business continuity gaat verder dan het zo snel mogelijk weer up-and-running brengen van de ICT-voorzieningen. Calamiteiten op ICT-gebied leiden weliswaar tot aanzienlijke schade, maar zijn zelden echt bedreigend voor de bedrijfscontinuïteit. Het gemis aan informatiesystemen kan vaak worden opgevangen door handmatige noodprocedures of door bepaalde vormen van dienstverlening tijdelijk stop te leggen. Ook kunnen medewerkers vaak vanuit een filiaal of vanaf hun thuiswerkplek hun dienstverlening aan klanten toch voortzetten. Cruciaal voor business continuity is meestal niet de ICT maar de communicatie.

In het Enron debacle is Arthur Anderson onderuit gegaan. Niet vanwege de ICT, maar dooreen zodanige imagoschade, dat klanten massaal wegliepen. Dat nu achteraf blijkt dat Arthur Andersen in feite niet zoveel te verwijten valt, doet niet meer ter zake. Tijdens de calamiteit is er niet effectief gecommuniceerd en dat heeft de ondergang betekend.
Omgekeerd liep de Rabobank aan tegen een calamiteit bij een beleggingsclub in Doetichem, die door onzorgvuldig advies een verlies leed van enkele tientallen miljoenen guldens. Hoewel dit de Rabobank niet volledig viel aan te rekenen, is er toch een zodanige coulance regeling getroffen met de deelnemers aan deze beleggingsclub, dat het imago van betrouwbare bank hierdoor alleen is versterkt. Hieruit kunnen we leren dat business continuity niet afhangt van de ICT, maar primair van de communicatie en de wijze waarop ingespeeld wordt op calamiteiten.

Hoe pak je business continuity aan?

Voor business continuity gelden een aantal uitgangspunten:

Cruciaal is dat er een draaiboek is waarin duidelijk de verantwoordelijkheden en bevoegdheden van een crisisteam zijn vastgelegd in geval van een calamiteit en dat tevens aangeeft hoe dit crisisteam zo snel mogelijk kan overleggen. Dit overleggen kan in een vooraf bepaald fysiek crisiscentrum. Maar om de zekerheid te hebben dat ieder lid van het crisisteam kan aanhaken, kan ook gebruik gemaakt worden van een virtueel crisiscentrum. Meestal is er niet serieus nagedacht over mogelijke calamiteiten als:

Een crisisteam moet flexibel in kunnen spelen op situaties, bevoegd zijn om besluiten te nemen en erop kunnen rekenen dat er operationele teams klaar staan om besluiten uit te voeren. Als u met een calamiteit geconfronteerd wordt, dan zal er snel actie ondernomen moeten worden om problemen met uw klanten, toeleveranciers, medewerkers, aandeelhouders en de media te voorkomen. Cruciaal hierin zijn:

Een belangrijk aspect van de communicatie is dat u aangeeft dat er sprake is van overmacht. Als u dit niet kunt communiceren, dan wordt al snel geconcludeerd dat uw corporate governance niet op orde was. Belangrijk aspect van de noodprocedures is dat iedereen weet wat hij moet doen en dat de daarvoor benodigde middelen (zo snel mogelijk) beschikbaar zijn.

Business continuity: Met beide benen op de grond

Je kunt uiteraard heel ingewikkeld doen over business continuity, maar in feite is het omgaan met calamiteiten onderdeel van de 'daily business'. Een calamiteit is tenslotte niet meer dan een uit de hand gelopen incident en incidentmanagement is dagelijkse kost.

De code Tabaksblat en SOX schrijven voor dat uw organisatie 'in control' moet zijn en blijven. Dat betekent dat het accent bij een business continuity plan primair moet liggen op de kwetsbaarheden. Eis is niet het voorkomen van een calamiteit, maar het adequaat kunnen omgaan met een calamiteit. Herstel van de bedrijfsprocessen moet mogelijk zijn binnen zo'n tijdsbestek, dat directe schade beperkt blijft. De communicatie moet adequaat zijn, om indirecte schade (imagoschade) te vermijden of te beperken.

In geval van een overstroming, gifwolk of in een oorlogssituatie zullen uw klanten binnen moeten blijven. Uitwijk kan dan beperkt blijven tot communicatie via internet via uw website of via conferencing diensten. Hetzelfde geldt voor bijvoorbeeld een uitbraak van de vogelgriep, in welk geval klanten en medewerkers zoveel mogelijk contacten met andere mensen zullen willen vermijden. Voor al dit soort gevallen geldt dat u moet weten hoe u zaken moet regelen, dat u zo nodig hiervoor raamcontracten hebt afgesloten, maar dat u voorkomt dat u vooraf moet investeren.

Corporate governance en uw Business Continuity Plan (BCP)

Uitgangspunt voor uw BCP is dus dat u 'in control' bent, ook in geval van een calamiteit. Om te voldoen aan corporate governance, of gewoon goed management, heeft u, voor het geval zich een calamiteit voordoet, een draaiboek klaarliggen en de voorwaarden geschapen om uw kritische bedrijfsvoering zo snel mogelijk weer op te starten, zodat directe en indirecte schade zoveel mogelijk beperkt blijft.

Niet het oneindig bekijken van rampen is de methode; de werkelijkheid is vaak absurder dan uw fantasie. Uw organisatie moet in geval van een calamiteit gewoon klaar zijn voor het beheersen van de calamiteit. Alleen als u dat niet kunt ten gevolge van bijvoorbeeld single points of failure of gebrek aan organisatie en communicatie, dan kunt u zichzelf in de problemen brengen. Dan kunt u mogelijk ook aansprakelijk gesteld worden. Als dat gebeurt, dan heeft u, gezien de ook in Nederland groeiende claimcultuur, pas echt een probleem.

De kern is dat u maatregelen heeft genomen om 'in control' te zijn en dat u een draaiboek heeft voor het geval zich een calamiteit voordoet. Dan is het vrijwel onmogelijk u aansprakelijk te stellen voor vervolgschade. Het is dan verder aan u om te bepalen in welke situaties u schikkingen wilt treffen om de calamiteit als een kans te benutten. Meestal is dit een goedkoop marketingsucces, mits u ervoor zorgt dat u niet te snel schikt. Geef de media de tijd om het probleem zichtbaar te maken om vervolgens uw coulance te tonen jegens de betrokkenen.