De RTO die niemand had getest

Het cijfer en de werkelijkheid

Een middelgrote verzekeraar geeft al vijf jaar een RTO van vier uur op voor zijn platform voor schadebehandeling. Het cijfer staat in de BIA, wordt overgenomen in het jaarlijkse rapport aan de toezichthouder, en niemand heeft het ooit betwist. De IT-afdeling bevestigt bovendien dat de failover naar de uitwijklocatie onder testomstandigheden ongeveer negentig minuten duurt.

De eerste oefening waarbij de tijd echt wordt opgenomen, meet vier uur en zevenenveertig minuten.

Waar de tijd blijft

De technische failover duurde negenennegentig minuten, in lijn met de schatting. De overschrijding komt dus niet van de techniek. Ze komt van drie posten die de RTO niet meetelde.

Detectie en diagnose: eenenveertig minuten. De klok van de RTO begint te lopen bij het incident, niet bij de beslissing. Tussen het moment waarop de dienst uitvalt en het moment waarop iemand bevestigt dat het om een volledige onbeschikbaarheid gaat, verstrijkt tijd die technische schattingen systematisch negeren.

Besluitvorming: eenenzeventig minuten. Het crisisteam samenstellen, beoordelen, afwegen, een formele toestemming verkrijgen. Op een dinsdagmiddag, met iedereen beschikbaar. Op een zondag om drie uur ’s nachts is deze post minstens twee keer zo lang.

Verificatie: zesenzeventig minuten. Niemand had voorzien dat de functionele validatie langer zou duren dan de failover zelf. Er waren veertig controles gedefinieerd, allemaal blokkerend.

Wat er daarna veranderde

De verzekeraar heeft zijn opgegeven RTO niet verhoogd. Hij heeft het verschil verkleind.

De wachtdienst op niveau 2 kreeg een permanente beslissingsbevoegdheid onder een vastgestelde impactdrempel, waardoor het wachten op toestemming verdween. Er werd een criterium voor automatische failover vastgelegd: na dertig minuten bevestigde volledige onbeschikbaarheid wordt de failover zonder vergadering ingezet. De set functionele tests werd teruggebracht van veertig controles naar negen blokkerende controles; de andere eenendertig worden na de heropening uitgevoerd. En het ritme ging naar twee oefeningen per jaar, waarvan één buiten kantooruren.

De volgende oefening, op een zaterdagochtend, kwam uit op drie uur en achtendertig minuten.

Wat het voorbeeld in het algemeen leert

Drie lessen zijn vrijwel overal toepasbaar.

De eerste: een niet-geteste RTO is een hypothese, geen toezegging. Zolang niemand de tijd heeft opgenomen, beschrijft het cijfer in de BIA een intentie.

De tweede: de beslistijd ontbreekt bijna altijd in de schattingen, omdat die bij geen enkel technisch team hoort. Toch is het de post die zich het best laat inkorten, en dat gebeurt via governance — schriftelijke delegaties, bindende drempels — en niet via investeringen.

De derde: het gemeten verschil is nuttiger dan het streefcijfer. Een programma dat eerst vier uur en zevenenveertig minuten en daarna drie uur en achtendertig minuten meet, toont een verbetering van het vermogen aan. Twee rapporten met de conclusie “conform” tonen niets aan.