Een pragmatische BIA voor jouw BCP

Bij zo’n Business Impact Analyse (BIA) wordt bepaald, hoe ernstig het is, als over bepaalde bedrijfsprocessen niet beschikt kan worden. Hierbij wordt zowel vooruit als achteruit in de tijd gekeken (seconden, minuten, uren, dagen en weken). Het vooruitkijken levert een indicatie op,  hoelang je na een calamiteit zonder een bedrijfsproces kunt overleven. Dit wordt aangeduid met Recovery Time Objective (RTO). Het achteruitkijken levert het moment waarop de laatste vitale gegevens veiliggesteld moeten zijn, aangeduid met de term Recovery Point Objective (RPO).

Voor managers is een middenweg nooit een optie. Meestal geven ze intuïtief aan dat het bedrijf nog geen minuut kan overleven zonder dat  alle bedrijfsprocessen beschikbaar zijn. In de praktijk blijkt het vaak best mee te vallen.
Een BIA begint met classificatie van bedrijfsprocessen, dat wil zeggen er wordt goed onderbouwd vastgesteld  welke  onmisbaar zijn en welke minder tijdkritisch.
Een standaard BIA maakt gebruik van diverse methodieken waarbij onder meer wordt gekeken naar:

• financiële impact;
• imago impact;
• juridische impact;
• organisatorische en overige impact.

Bovenstaande aspecten zijn per soort nog verder onder te verdelen. Denk bij een financiële impact bijvoorbeeld aan kosten (direct/ indirect), cashflow, gederfde inkomsten,  maar ook aan mogelijke claims, hoeveel klanten van leverancier zullen wisselen, tijdkritische periodes door het jaar of productieverlies door bederf. Financiële impact springt er vaak uit: deze is namelijk het meest concreet te benoemen. Maar ook de overige impacts zijn wel degelijk van groot belang en niet te onderschatten,  mits natuurlijk goed onderbouwd.

Laatst kreeg ik weer eens de samenvatting van zo’n BIA onder ogen. Deze was echter uitsluitend opgesteld vanuit de impact van een falende ICT. Andere punten waren niet meegenomen. De samenvatting alleen al telde 24 pagina’s.  De totale analyse had de onderzoekers vijf manmaand gekost en de business drie. De conclusies waren zelfs voor mij als buitenstaander niet verrassend, laat staan dat ze dat waren voor een insider. Een insider zou ook zonder onderzoek tot dezelfde conclusie zijn gekomen.

Is een BIA dan onzin?

Een business impact analyse is natuurlijk geen onzin. Wel onzin is, onderzoeken wat je al lang weet. (Zie ook ‘Maak business continuity toch niet zo complex’.) Je moet goed afbakenen wat de risico’s zijn en je moet er voor zorgen, dat je geen belangrijke zaken over het hoofd ziet. Onderstaand een aantal tips om zo’n BIA pragmatisch uit te voeren:

Stel beleidsuitgangspunten vast

Door alle single points of failure op te lossen kan iedere calamiteit worden voorkomen. Maar bedrijfseconomisch is dit niet haalbaar. Van belang is daarom een aantal heldere beleidsuitgangspunten te bepalen voor de scope, risicoacceptatie en maatregelen. Bijvoorbeeld:

• De investeringen in voorzieningen ten behoeve van het BCP hebben ook toegevoegde waarde voor het bedrijf tijdens de normale bedrijfsvoering.
• Er kunnen zich calamiteiten voordoen, waardoor het bedrijf niet in staat is om overschrijding van de maximale uitvalduur geheel te voorkomen. Het bedrijf is hierover transparant en neemt deze situaties op in haar contracten als overmacht.

Meer over het vaststellen van beleidsuitgangspunten vindt je in ‘Hoe beleid maken voor informatiebeveiliging of Business Continuity’.

Bekijk de zaak van twee kanten

Voor een betrouwbare analyse zijn altijd een tweetal invalshoeken van belang:

• het proces en de maximale uitvaltijd;
• de dreigingen voor objecten.

Bij de processen wordt primair geleken naar de tijd gedurende welke het proces maximaal mag uitvallen voordat er onacceptabele schade ontstaat. Meestal gaat het hierbij maar om een beperkt aantal processen. Besteed sowieso minder aandacht aan processen die meer dan drie dagen plat mogen liggen. Dat geldt in elk geval voor beleidsmatige en voor de meeste administratieve processen.
Voor tijdkritische processen is het vaak zinvol om even wat verder in te zoomen. Zo is het voor veel organisaties geen probleem als een proces tijdelijk stil ligt, maar is het wel nodig dat er gecommuniceerd kan worden met derden. Daarom is het goed vanuit de processen ook de belangrijkste bedrijfsmiddelen voor dat proces in kaart te brengen.

Bij de dreiging voor objecten, moet primair worden gekeken naar de dreigingen voor bedrijfsmiddelen en of er een uitwijk voor handen is. Globaal praten we dan over uitval van:

• medewerkers (ook kennis en ervaring);
• het pand of toegang tot het pand;
• ICT en data;
• nutsvoorzieningen inclusief telecom;
• leveranciers (en partners);
• reputatie.

Zolang er een uitwijkalternatief is voor een object, is er doorgaans geen probleem. Als er echter sprake is van een ‘single point of failure’ dan moet bekeken worden of er sprake is van een acceptabel risico. Het gaat hierbij niet alleen om  interne single points of failure maar ook om  single points of failure in de toeleveringsketen zoals bijvoorbeeld elektriciteit naar het hoogspanningsnet of een uitwijk voor jouw datacenter.

Hoe je dit in de praktijk kunt aanpakken, lees je in ‘Inventarisatie diensten, dreigingen en processen in jouw Business Continuity Plan BCP’.

Maak er geen Poolse landdag van

Draagvlak is uiteraard een goede zaak. Bedenk hierbij echter wel, dat draagvlak vaak verkregen wordt door met iets te komen dat acceptabel en redelijk is. Kies daarom voor een expertbenadering en wees na oplevering bereid tot aanpassingen. Voor het goed verlopen van dit proces zijn de volgende rollen essentieel:

• proceseigenaar business continuity, die gemandateerd is door de directie om te zeggen hoe met risico’s omgegaan moet worden (preventie, repressie, acceptatie); alleen repressieve maatregelen vormen onderdeel van het business continuity plan.
• iemand die de processen van de organisatie en hun belang goed kent;
• iemand die een goed zicht heeft op de essentiële bedrijfsmiddelen van de organisatie (incl. ICT en TD).
• uzelf.

Dubbelrollen zijn hier mogelijk. De resultaten worden vervolgens voorgelegd aan de betrokkenen en met hen worden de acties besproken waarvoor zij verantwoordelijk worden.

Meer dan het halve werk

Met deze pragmatische aanpak krijgt  u in feite al veel meer dan het resultaat van de BIA. De BIA schrijft een aanpak voor waarin alle partijen participeren. Dat kost gruwelijk veel tijd (en geld). Ook kijkt de BIA niet naar beleidsuitgangspunten, zodat alle gesprekspartners mogen roepen wat ze willen. Verder wordt niet gekeken naar dreigingen, zodat de belangrijke single points of failure gemakkelijk over het hoofd worden gezien.
Wat vervolgens nog moet gebeuren, is de vertaalslag maken naar een draaiboeken en een implementatieplan opstellen, dat er zorg voor moet dragen dat de draaiboeken bij een calamiteit ook daadwerkelijk werken.

Wilt u zelf deze aanpak leren en tips krijgen over de toepassing hiervan aan de hand van sjablonen, dan nodigen we u uit om deel te nemen aan onze ‘Cursus aanpak opzetten business continuity plan-BCP’. Natuurlijk zijn we ook bereid om de rol van inhoudelijke projectleider voor u in te vullen om te komen tot een business continuity plan. De input daarvoor zal wel echt uit jouw organisatie moeten komen.