Een impacttolerantie is geen vermomde RTO
De eerste kijkt naar de schade die de klant lijdt; de tweede naar het vermogen van de organisatie. Wie ze door elkaar haalt, maakt de exercitie zinloos.
Twee begrippen, twee blikrichtingen
De RTO is een interne toezegging: “wij brengen dit systeem binnen vier uur weer in bedrijf”. Deze kijkt naar binnen, en wordt noodzakelijkerwijs begrensd door wat de organisatie kan.
De impacttolerantie is een externe grens: “na zes uur onderbreking van deze dienst wordt de schade voor onze klanten ontoelaatbaar”. Ze kijkt naar buiten, en wordt vastgesteld zonder rekening te houden met de haalbaarheid.
Daaruit volgen drie praktische consequenties.
Eerste consequentie: het verschil is informatie, geen probleem
Als de tolerantie zes uur bedraagt en de gemeten capaciteit negen uur, mag het verschil van drie uur er niet toe leiden dat de tolerantie wordt verruimd. Het moet in de zelfbeoordeling als kwetsbaarheid worden gemeld, met een gedateerd remediatieplan.
De tolerantie afstemmen op de huidige capaciteit maakt de exercitie zinloos, en dat is met één vraag te herkennen: “hoe hebt u dit cijfer bepaald?” Als het antwoord naar de technische capaciteit verwijst, weet de toezichthouder dat de tolerantie niet vanuit het perspectief van de klant is vastgesteld.
Tweede consequentie: alle RTO’s halen garandeert niets
Een organisatie kan elk van haar RTO’s halen en toch haar tolerantie overschrijden. Het volstaat dat de keten van begin tot eind uit vijf schakels van elk vier uur bestaat — geen enkele schiet tekort, en de dienst is twintig uur onbeschikbaar.
Juist daarom gaat de end-to-end mapping aan het testen vooraf: zonder die mapping meet u componenten, geen dienst.
Derde consequentie: de klant meet niet hetzelfde als u
Een dienst kan technisch hersteld zijn en vanuit het oogpunt van de klant toch onbeschikbaar blijven, omdat het acht uur duurt om de opgebouwde wachtrij weg te werken. De tolerantie betreft de werkelijke ervaring, niet het tijdstempel waarop de dienst weer in bedrijf is.
Daarom moet bij het dimensioneren van de terugvalmodus ook de inhaalbelasting worden meegenomen: een uitwijkvoorziening met de helft meer capaciteit dan de lopende stroom heeft acht uur nodig om vier uur achterstand weg te werken, en een uitwijkvoorziening die alleen de lopende stroom aankan, werkt de achterstand nooit weg.
Het signaal waar de toezichthouder naar zoekt
Een jaarlijkse zelfbeoordeling die stelt dat geen enkel getest scenario de tolerantie heeft overschreden, is geen teken van volwassenheid. De Britse toezichthouder verwacht uitdrukkelijk dat sommige ernstige maar plausibele scenario’s tot een overschrijding leiden: juist die overschrijding brengt de kwetsbaarheden aan het licht die moeten worden aangepakt.
Een tolerantie die bij tests nooit wordt overschreden, is ofwel te ruim, ofwel gebaseerd op te zwakke scenario’s. In beide gevallen leert de exercitie niets — en dat blijkt meteen uit de vergelijking van jaar tot jaar.