BIA-interviewgids

Waarvoor deze gids dient

Deze gids helpt u een interview voor de bedrijfsimpactanalyse (BIA) voor te bereiden en af te nemen. Hij is bedoeld voor wie het interview leidt: continuïteitscoördinator, risicomanager, consultant. Hij kan op zichzelf worden gebruikt, zonder voorafgaande opleiding, in elke organisatie.

De BIA meet hoe de impact van een onderbreking zich in de tijd ontwikkelt, om prioriteiten en hersteldoelstellingen te kunnen vaststellen. Het interview is daarvoor de belangrijkste bron: daar beschrijven degenen die een activiteit leiden wat zij leveren, waarvan zij afhankelijk zijn en wat er gebeurt als alles stilvalt.

Vier begrippen die u moet beheersen

• MTPD — maximaal toelaatbare verstoringsduur: de duur waarna de impact van een onderbreking onaanvaardbaar wordt.
• RTO — hersteltijddoelstelling: de beoogde termijn voor de hervatting van een activiteit of een middel; altijd korter dan de MTPD, om een marge te behouden.
• RPO — maximaal toelaatbaar gegevensverlies: de maximale hoeveelheid gegevens die u bereid bent te verliezen, uitgedrukt in tijd.
• MBCO — minimaal continuïteitsniveau: het beperkte maar aanvaardbare serviceniveau dat tijdens de verstoring moet worden gehandhaafd.

Wat het interview wel doet, en wat niet

Het interview verzamelt feiten en onderbouwde oordelen: wat de activiteit levert, voor wie, in welk tempo, met welke middelen, en vanaf wanneer stilstand onaanvaardbaar wordt. Het leidt tot voorstellen voor de MTPD, de RTO, de RPO en de MBCO.

Het stelt die doelstellingen niet vast: het topmanagement valideert ze, na een vergelijking tussen de activiteiten. Het is evenmin een risicoanalyse (u schat niet de kans op een storing of een brand in), een IT-audit of een beoordeling van het geïnterviewde team. Wie dat bij de opening zegt, voorkomt veel defensieve antwoorden.

Wie u interviewt

Interview de persoon die de activiteit dagelijks aanstuurt: teamleider, afdelingshoofd, proceseigenaar. Die weet wat er gebeurt op een drukke maandag, waar klanten om vragen en welke noodoplossingen er bestaan. Vul zo nodig aan met:

• een ervaren uitvoerend medewerker, die de handelingen, de tools en de ongeschreven noodoplossingen kent;
• de persoon die contact heeft met de klanten van de activiteit, om hun verwachtingen en de contractuele verplichtingen te bepalen;
• een contactpersoon van financiën, om de financiële impact te becijferen met dezelfde drempels voor alle activiteiten.

Twee of drie deelnemers is een goede opzet. Met meer wordt het interview een vergadering en stemmen de antwoorden zich af op de hoogstgeplaatste persoon.

Wie u niet alleen interviewt

• Een lid van het topmanagement alleen: diens visie maakt duidelijk wat er op het spel staat, maar zelden wat de concrete termijnen en afhankelijkheden zijn. Toets dit aan de praktijk op de werkvloer.
• De IT-manager alleen: die kent de systemen, niet de gevolgen van hun uitval voor de business. Als de IT-manager de doelstellingen vaststelt, weerspiegelen die wat IT kan, niet wat de activiteit nodig heeft.
• Een nieuwkomer: die kent noch de incidentgeschiedenis, noch de pieken.
• De eigenaar van een activiteit die tegelijk continuïteitscoördinator is: laat diens antwoorden nalezen door een collega of door het topmanagement, om zelfbeoordeling te voorkomen.

Het interview voorbereiden

Te verzamelen documenten

• het organigram en de lijst van activiteiten binnen het toepassingsgebied, met hun eigenaar;
• de beschrijving van de activiteit, als die bestaat: procedure, functiebeschrijving, processchema;
• de verplichtingen tegenover klanten: contracten, serviceniveaus, toegezegde termijnen;
• de volumes per dag, per week en over het jaar;
• de kalender met deadlines: afsluitingen, aangiften, salarisverwerking, campagnes, seizoenspieken;
• de lijst van applicaties en leveranciers waarvan bekend is dat de activiteit ze gebruikt;
• de verslagen van eerdere incidenten.

Duur en opzet

Trek er 60 tot 90 minuten voor uit. Korter en u hebt geen tijd om de impact horizon voor horizon te doorlopen; langer en de aandacht verslapt, zodat u beter een tweede gesprek kunt inplannen. Kom indien mogelijk met twee personen: de een leidt het gesprek, de ander maakt aantekeningen.

Vooraf toesturen

Stuur de geïnterviewde een week van tevoren het doel van het interview in drie regels (met de vermelding dat het noch om een audit, noch om een beoordeling gaat), de vragenblokken hieronder, het beoordelingsraster voor de impact en een verzoek om gegevens: volumes, contracten, incidenten.

Stuur geen in te vullen vragenlijst in plaats van het interview: schriftelijke antwoorden zijn bijna altijd korter, voorzichtiger en minder bruikbaar dan een gesprek waarin u kunt doorvragen.

Verloop van het interview, blok voor blok

Begin met een inleiding van vijf minuten: doel, duur, gebruik van de antwoorden, de validatie die nog volgt. Doorloop daarna de blokken in volgorde: ze gaan van het concrete (wat de activiteit levert) naar het abstracte (de doelstellingen), wat de antwoorden betrouwbaarder maakt. Per blok geeft de lijst de vragen die u stelt en geeft de alinea daarna aan wat u wilt verkrijgen.

1. Activiteit en geleverde output

• Wat levert uw activiteit, en aan wie: externe klanten, andere afdelingen?
• Wat zou er van buitenaf zichtbaar zijn als ze morgenochtend stilviel?
• Welke activiteiten verderop in de keten zijn afhankelijk van wat u levert?

Wat u zoekt: een beschrijving van de activiteit aan de hand van haar resultaat, in een of twee zinnen, en de lijst van wie dat resultaat ontvangt. U beschermt een geleverd product of een geleverde dienst, geen vakje in het organigram.

2. Volumes en pieken

• Hoeveel eenheden verwerkt u gemiddeld per dag: bestellingen, dossiers, telefoongesprekken?
• Wat is de drukste dag of het drukste uur, en met welk volume?
• Hoeveel mensen zijn er minimaal nodig om de normale stroom te verwerken? En een stroom die tot het essentiële is teruggebracht?

Wat u zoekt: ordes van grootte in plaats van boekhoudkundige precisie, en vooral de minimale personeelsbezetting. Met deze cijfers worden het minimale continuïteitsniveau en de continuïteitsoplossingen gedimensioneerd.

3. Seizoensgebondenheid en deadlines

• Zijn er perioden waarin een onderbreking veel ernstiger zou zijn: maandeinde, afsluiting, campagne, seizoen?
• Welke externe deadlines kunnen niet worden verschoven?
• Zijn er omgekeerd rustige perioden?

Wat u zoekt: de kriticiteit die in de tijd varieert. De salarisverwerking kan midden in de maand enkele weken stilstand verdragen, maar rond de uitbetalingsdatum slechts enkele dagen. Ga uit van de ongunstigste periode: die dient als basis om de impact te beoordelen.

4. Impact in de tijd, per criterium en per horizon

• Als de activiteit volledig stilvalt, wat gebeurt er dan na 4 uur? Na 24 uur? Na 3 dagen? Na een week?
• Per horizon: welke gevolgen zijn er voor klanten of gebruikers, financieel, op contractueel of regelgevend vlak, voor de reputatie, intern?
• Waarop baseert u zich: een schriftelijke toezegging, een incident dat u hebt meegemaakt, een schatting?

Wat u zoekt: een score van 1 tot 4 per criterium en per horizon, aan de hand van het raster verderop, onderbouwd met een feit. Ga uit van een volledige stilstand op het ongunstigste plausibele moment, ongeacht de oorzaak: het interview gaat niet over scenario’s.

5. Maximaal toelaatbare verstoringsduur (MTPD)

• Op basis van de tabel die we zojuist hebben ingevuld: vanaf wanneer wordt de stilstand onaanvaardbaar?
• Wordt een deel van de activiteit eerder onaanvaardbaar dan de rest?

Wat u zoekt: een MTPD die uit de impact wordt afgeleid en niet meteen wordt genoemd. Die ligt tussen de laatste horizon waarop alle scores nog onder 4 blijven en de eerste waarop een score dat niveau bereikt; verfijn de MTPD binnen dat interval. Als een bepaalde stroom een kortere drempel heeft (spoedgevallen, prioritaire klanten), noteer dan twee afzonderlijke MTPD’s.

6. Hersteltijddoelstelling (RTO)

• Binnen welke termijn zou de activiteit hervat moeten zijn, ten minste op het minimale niveau, om met een marge onder die drempel te blijven?
• Hoeveel tijd is er nodig om de activiteit weer op gang te brengen zodra de middelen terug zijn?

Wat u zoekt: een RTO die korter is dan de MTPD, met een expliciete marge voor detectie, besluitvorming en het weer opstarten. Vraag niet “hoe snel kan IT het systeem weer opstarten?”: dat is een vraag over het werkelijke herstelvermogen, die pas later aan bod komt.

7. Maximaal toelaatbaar gegevensverlies (RPO)

• Als uw gegevens zouden terugkeren in de toestand van een uur geleden, van gisteravond of van vorige week, wat zou u dan verliezen?
• Zou u kunnen reconstrueren wat ontbreekt, en op basis waarvan?

Wat u zoekt: het aanvaardbare gegevensverlies, uitgedrukt in tijd, voor elke belangrijke gegevensverzameling. De RPO is vaak korter dan IT veronderstelt, omdat sommige invoer, zoals telefonisch aangenomen bestellingen, geen ander spoor achterlaat.

8. Minimaal continuïteitsniveau (MBCO)

• Wat moet er tijdens de verstoring absoluut geleverd blijven worden, en aan wie?
• Welke klanten, producten of stromen zouden kunnen wachten?
• Welk deel van de normale stroom zou gedurende enkele dagen aanvaardbaar zijn?

Wat u zoekt: een concrete definitie van de beperkte dienstverlening, met benoemde prioriteiten en een becijferd niveau. Een MBCO van 100% van alles is geen MBCO: het geeft aan dat de vraag naar de prioriteiten niet is beslecht.

9. Bestaande terugvalmodi

• Wat doet u nu als een tool of een middel ontbreekt?
• Is deze noodoplossing op schrift gesteld? Getest? Wie kent haar?
• Hoelang zou ze standhouden, en met welke beperkingen?

Wat u zoekt: een inventaris van de noodoplossingen die werkelijk worden gebruikt, ook de informele, en hoelang ze houdbaar zijn. Een terugvalmodus die slechts één persoon kent, is kwetsbaar; vaak is het een continuïteitsoplossing in de kiem, die alleen nog moet worden geformaliseerd.

10. Afhankelijkheden per categorie

• Mensen: welke competenties zijn onmisbaar, en hoeveel mensen beheersen ze?
• Huisvesting: kan de activiteit elders worden uitgevoerd, of op afstand?
• IT en gegevens: welke applicaties, welke netwerken, welke werkplekken?
• Leveranciers: welke dienstverleners zijn onmisbaar, en bestaat er een alternatief?
• Apparatuur: welke machines, welke terminals, welke voertuigen?
• Informatie: welke documenten, lijsten of contactgegevens moet u bij de hand hebben?

Wat u zoekt: een lijst van afhankelijkheden per categorie, met voor elke afhankelijkheid de vermelding of er al dan niet een alternatief bestaat. Spoor de single points of failure op: de middelen zonder alternatief waarvan het verlies de activiteit stillegt. U behandelt ze niet tijdens het interview: u geeft ze door aan de analyse van afhankelijkheden en oplossingen.

11. Gegevens en reconstructie

• Waar bevinden zich de gegevens die nodig zijn om in terugvalmodus te werken?
• Als het primaire systeem verloren gaat, beschikt u dan over een kopie die u buiten het systeem kunt raadplegen?
• Hoeveel tijd zou het na het herstel kosten om opnieuw in te voeren en te controleren wat tijdens de storing is gedaan?

Wat u zoekt: aanknopingspunten om de RPO aan de werkelijkheid te koppelen. Zijn de kritieke gegevens buiten het systeem toegankelijk? Wordt het opnieuw invoeren meegeteld in de tijd die nodig is om naar de normale situatie terug te keren? Reconstructie is vaak de verborgen kostenpost van een onderbreking.

12. Ervaringen met eerdere incidenten

• Wat was de laatste ernstige onderbreking die u hebt meegemaakt, en hoelang duurde die?
• Wat hebt u gedaan, wat ontbrak er, wie hebt u gewaarschuwd?
• Wat kostte de meeste tijd om in te halen?

Wat u zoekt: feiten om de scores en de voorgestelde doelstellingen te bevestigen of bij te stellen. Een incident dat men heeft meegemaakt, zegt meer dan een schatting: het laat ook het werkelijke herstelvermogen zien, het vermogen dat is aangetoond, dat u moet onderscheiden van de doelstelling.

Beoordelingsraster voor de impact

Gebruik hetzelfde raster voor alle activiteiten binnen het toepassingsgebied: daardoor worden de resultaten vergelijkbaar. Laat de beschrijvingen van de niveaus, in het bijzonder de financiële drempels, vóór de eerste interviewronde valideren door het topmanagement.

Raster om voor elke activiteit over te nemen: één score van 1 tot 4 per vak, met in de marge het feit dat die score onderbouwt.

Pas de horizonnen aan als uw activiteit een ander ritme heeft, maar houd ze gelijk voor het hele toepassingsgebied.

Vertekeningen vermijden

Overschatting

Elke manager heeft goede redenen om de eigen activiteit als kritiek te beschouwen: hij of zij kent haar, overziet de gevolgen en vreest dat een lage score wordt gelezen als een gebrek aan belang. Een veelvoorkomend resultaat: alle activiteiten hebben een MTPD van 4 uur en de BIA kan geen prioriteiten meer stellen.

Om dat te voorkomen, legt u uit dat kriticiteit meet hoe snel stilstand ernstig wordt, niet wat de activiteit of het team waard is. Vraag bij elke score van 3 of 4 om een feit, vraag “wat is er de vorige keer gebeurd?” en vergelijk de resultaten van de activiteiten bij de consolidatie.

Belangrijk en urgent door elkaar halen

Een activiteit kan over het jaar gezien essentieel zijn en toch verscheidene dagen stilstand verdragen: facturering is het klassieke voorbeeld. Omgekeerd wordt een bescheiden activiteit binnen enkele uren ontoelaatbaar als er een korte toezegging van afhangt. Breng de vraag altijd terug tot de tijd: “wat gebeurt er na 24 uur?” in plaats van “is dit belangrijk?”.

Een RTO die door IT wordt vastgesteld

Als de RTO wordt afgeleid uit wat IT kan herstellen (“de back-up is in 8 uur teruggezet, dus de RTO is 8 uur”), valt de doelstelling samen met het bestaande vermogen en verdwijnt de kloof per definitie. De volgorde moet omgekeerd zijn: de business drukt haar behoefte uit op basis van de impact, waarna die behoefte wordt vergeleken met het werkelijke herstelvermogen, aangetoond door een test, een oefening of een werkelijk incident. Betrek IT bij de consolidatie, niet bij het vaststellen van de doelstellingen.

Andere veelvoorkomende valkuilen

• Redeneren vanuit de oorzaak (“en als het nu eens brand was?”): het interview gaat over de impact van stilstand, ongeacht de oorzaak ervan.
• Het gemiddelde nemen in plaats van het ongunstigste plausibele moment: een onderbreking kan ook op een piekdag plaatsvinden.
• De inhaalslag vergeten: dat de middelen terug zijn, betekent niet dat alles weer normaal is.

Terugkoppeling en validatie

1. Binnen drie werkdagen stelt u het interviewverslag op en stuurt u het ter correctie naar de geïnterviewde. Maak onderscheid tussen wat die persoon heeft gezegd en wat u voorstelt.
2. Verwerk de correcties, en houd bij over welke punten men het oneens blijft.
3. Consolideer alle interviewverslagen binnen het toepassingsgebied in één tabel, met hetzelfde raster en dezelfde horizonnen. Corrigeer duidelijke inconsistenties: twee samenhangende activiteiten kunnen geen onverenigbare MTPD’s hebben.
4. Leg de samenvatting voor aan het topmanagement, dat de MTPD’s, RTO’s, RPO’s en MBCO’s valideert en bij meningsverschillen de knoop doorhakt. Deze validatie is onmisbaar: de doelstellingen leggen middelen vast en weerspiegelen een aanvaard risiconiveau.
5. Informeer de geïnterviewden over de gekozen doelstellingen en de volgende stappen: afhankelijkheidsanalyse, oplossingen, plan.

Voorbeeld van een ingevuld interviewverslag: Norvane

Norvane is een fictieve organisatie, gecreëerd voor de introductiecursus van de academie en de bijbehorende hulpmiddelen; elke gelijkenis met een bestaand bedrijf berust op toeval. Deze regionale distributeur van medische en hygiënische verbruiksartikelen heeft 140 medewerkers, beschikt over één magazijn en bedient ongeveer 1.400 zakelijke klanten, waaronder 5 privéklinieken.

Het interview werd afgenomen door Thomas Weber, operationeel manager en continuïteitscoördinator, samen met de teamleider orderpicking en Julie Moreau, klantenservicemanager. Omdat Thomas Weber deze activiteit ook zelf aanstuurt, werd het verslag nagelezen door Sofia Benali, financieel directeur.

Scores voor de totale stroom. De spoedstroom van de klinieken wordt apart gescoord: niveau 4 vanaf 4 uur, vanwege de contractuele verplichting om binnen 4 uur te leveren.

Interpretatie: niveau 4 wordt bereikt tussen 24 uur en 3 dagen. De MTPD voor de totale stroom is daarom vastgesteld op 48 uur, en de RTO op 24 uur om een marge te behouden.

Afsluitende checklist

Vóór het interview

• De drempels van het raster, met name de financiële, zijn gevalideerd door het topmanagement.
• De vragenblokken en het raster zijn een week van tevoren verstuurd.
• De volumes, contracten en incidentverslagen zijn verzameld.

Tijdens het interview

• De activiteit is beschreven aan de hand van wat ze levert en aan wie.
• Elke score van 3 of 4 is onderbouwd met een feit.
• De MTPD is afgeleid uit de impact; de RTO is korter, met een toegelichte marge.
• De RPO is voor elke belangrijke gegevensverzameling uitgedrukt in tijd.
• De MBCO benoemt prioriteiten en een becijferd niveau.
• Alle zes categorieën afhankelijkheden zijn doorgenomen en de single points of failure zijn gemeld.
• Ten minste één meegemaakt incident is besproken.

Na het interview

• Het verslag is nagelezen en gecorrigeerd door de geïnterviewde.
• De doelstellingen zijn geconsolideerd met die van de andere activiteiten en gevalideerd door het topmanagement.
• De single points of failure zijn doorgegeven aan de afhankelijkheidsanalyse.