Toegelichte structuur van een bedrijfscontinuïteitsplan

Waarvoor deze gids dient

Deze gids beschrijft sectie voor sectie de structuur van een bedrijfscontinuïteitsplan (BCP): het operationele document dat vastlegt wie wat doet om de kritieke activiteiten tijdens een verstoring gaande te houden. Hij is bedoeld voor wie het plan opstelt of herziet en is te gebruiken zonder voorafgaande opleiding.

De gids gaat ervan uit dat het voorbereidende werk is gedaan, of op zijn minst in gang is gezet: een BIA (bedrijfsimpactanalyse) die de kritieke activiteiten heeft aangewezen en hun doelstellingen heeft vastgesteld, gevolgd door een afhankelijkheidsanalyse die continuïteitsoplossingen heeft gekozen. Het plan vervangt dat werk niet: het maakt het bruikbaar op de dag dat er moet worden gehandeld. Vier begrippen komen in de hele gids terug:

• kritieke activiteit: een activiteit waarvan de onderbreking binnen korte tijd tot onaanvaardbare impact zou leiden;
• MTPD — maximaal toelaatbare verstoringsduur: de duur waarna de impact onaanvaardbaar wordt;
• RTO — hersteltijddoelstelling: de beoogde termijn voor de hervatting, altijd korter dan de MTPD;
• MBCO — minimaal continuïteitsniveau: het beperkte maar aanvaardbare serviceniveau dat tijdens de verstoring moet worden gehandhaafd.

De principes van een bruikbaar plan

• Kort. Het plan wordt gelezen door iemand die ongerust is, wordt onderbroken en soms midden in de nacht is gewekt. Wat tot de methode behoort (BIA, risicoanalyse, onderbouwing van de keuzes), blijft in het werkdossier.
• Gericht op actie. Actiewerkwoorden, één eigenaar per actie, een duidelijke volgorde. “De klantenservice wordt geïnformeerd” zegt niet wie informeert.
• Bruikbaar onder stress. Genummerde lijsten, actiekaarten van één pagina, kant-en-klare formulieren: de lezer moet kunnen handelen zonder het hele document te hebben gelezen.
• Toegankelijk buiten de systemen. Een plan dat alleen op het intranet of in de online mailomgeving staat, verdwijnt samen met die systemen. Zorg voor papieren exemplaren, een offline kopie op de telefoons van sleutelpersonen en een kopie buiten de locatie.
• Georganiseerd naar impact in plaats van naar oorzaak. Oorzaken zijn er talloos (brand, cyberaanval, overstroming, staking, storing), maar de uitval laat zich terugbrengen tot vier soorten: de IT, de locatie, de mensen, een leverancier. Een strategie per uitgevallen middel dekt ook de oorzaken die niemand had bedacht.
• Geschreven voor de plaatsvervangers. Schrijf alsof de vaste rolhouder afwezig is: dat is vaak het geval.

Voor een organisatie van honderd tot tweehonderd mensen past de kern van het plan redelijkerwijs in 15 tot 25 pagina’s. De bijlagen mogen langer zijn, omdat men er gericht een bepaald gegeven in opzoekt zonder ze helemaal te lezen.

De secties van het plan, in volgorde

Per sectie: wat ze bevat, waarom ze bestaat, de veelgemaakte fout, een redelijke omvang en een fragment uit het plan van Norvane.

Norvane is een fictieve organisatie, gecreëerd voor de introductiecursus van de academie en de bijbehorende hulpmiddelen; elke gelijkenis met een bestaand bedrijf berust op toeval. Deze regionale distributeur van medische en hygiënische verbruiksartikelen telt 140 medewerkers, één magazijn en ongeveer 1.400 zakelijke klanten, waaronder 5 privéklinieken. De BIA van Norvane heeft een RTO vastgesteld van 24 uur voor de totale bestelstroom en van 2 uur voor de spoedbestellingen van de klinieken.

1. Doel en toepassingsgebied

Inhoud. Wat het plan beschermt (producten en diensten, kritieke activiteiten), de betrokken locaties, de uitsluitingen en de redenen daarvoor, de gekozen doelstellingen, de gerelateerde documenten zoals het IT-herstelplan.

Waarom. De lezer moet binnen een minuut kunnen zien of het plan op de eigen situatie van toepassing is en wat er overeind moet blijven.

Veelgemaakte fout. Het continuïteitsbeleid of de projectgeschiedenis overschrijven; de uitsluitingen verzwijgen, terwijl wat niet gedekt is juist moet worden vermeld.

Redelijke omvang. Eén pagina.

Uit het plan van Norvane: dit plan dekt de dienst “bestellingen leveren aan zorgklanten” op de enige locatie (hoofdkantoor en magazijn). Doelstellingen: RTO van 24 uur voor de totale stroom, van 2 uur voor de spoedbestellingen van de klinieken. Minimaal te handhaven niveau: 100% van de spoedbestellingen en van de bestellingen van ouderenzorginstellingen, ten minste 60% van de overige bestellingen. Uitgesloten van deze versie: werving en marketing.

2. Activeringscriteria en alarmeringsniveaus

Inhoud. Waarneembare criteria die het plan activeren, twee of drie niveaus, de persoon die beslist over de overgang van het ene naar het andere niveau en wat elk niveau in gang zet.

Waarom. Zonder geschreven criterium wacht men “nog even” tot het systeem terugkomt, en verbruikt men de marge tussen de RTO en de MTPD. Een drempel die in alle rust is vastgesteld, neemt de aarzeling weg.

Veelgemaakte fout. Vage criteria (“bij een ernstige gebeurtenis”) of criteria op basis van de oorzaak (“bij brand”) in plaats van op basis van het effect en de duur.

Redelijke omvang. Een halve pagina, vaak een tabel.

Uit het plan van Norvane:

De drempel van een uur laat tijd om over te schakelen naar de terugvalmodus vóór de doelstelling van 2 uur die voor de spoedbestellingen van de klinieken geldt.

3. Organisatie en rollen

Inhoud. De rollen, en niet alleen namen: wie beslist, wie coördineert, wie elke kritieke activiteit aanstuurt, wie communiceert, wie de IT afhandelt. Per rol een vaste rolhouder en ten minste één plaatsvervanger, evenals de beslissings- en tekenbevoegdheden die in een terugvalsituatie gelden.

Waarom. Onder stress kost de vraag “wie beslist?” kostbare tijd als die niet vooraf is beantwoord.

Veelgemaakte fout. Eén naam per rol, vaak die van de directeur, die al het zwaarst belast is; of vergeten delegaties, waardoor niemand weet wie een dringende uitgave mag doen.

Redelijke omvang. Eén pagina, in de vorm van een tabel.

Uit het plan van Norvane:

4. Alarmering en mobilisatie

Inhoud. Wie alarm kan slaan, bij wie en via welk middel; de belboom; de noodmiddelen als de gebruikelijke telefonie of e-mail getroffen is; de vergaderplaats of de telefonische vergaderlijn; wat er van de gealarmeerde personen wordt verwacht.

Waarom. De tijd die verloren gaat met het bereiken van de juiste mensen, gaat rechtstreeks af van de hersteltijd.

Veelgemaakte fout. Een belboom die steunt op de tools die door het incident zijn getroffen, zoals online e-mail of internettelefonie; een contactenlijst die nooit is gecontroleerd.

Redelijke omvang. Een halve pagina, met de contactenlijst in een bijlage.

Uit het plan van Norvane: wie een uitval vaststelt, waarschuwt de eigen leidinggevende, die Thomas Weber op zijn mobiele telefoon belt (bijlage A1). Als de glasvezelverbinding is verbroken, valt ook de internettelefonie van het magazijn uit: gebruik de mobiele telefoons en sluit de 4G-reserverouter aan. Het crisisteam komt bijeen in het kantoor van de operationeel manager of, als dat niet kan, via de telefonische vergaderlijn die in bijlage A1 staat.

5. Het eerste uur

Inhoud. Een actiekaart van één pagina, geldig ongeacht de oorzaak: mensen in veiligheid brengen, vaststellen wat er is uitgevallen, het niveau bepalen, de dringendste stromen beschermen, waarschuwen, een logboek openen, het tijdstip van het volgende situatierapport vastleggen.

Waarom. De beslissingen van het eerste uur bepalen het vervolg, terwijl men op dat moment het minst weet. Een vaste lijst voorkomt dat er iets wordt vergeten.

Veelgemaakte fout. Een kaart die te gedetailleerd is of op één scenario is toegesneden; het logboek vergeten, terwijl dat onmisbaar is om te coördineren, gegevens opnieuw in te voeren en lessen te trekken.

Redelijke omvang. Eén pagina, niet meer.

Uit het plan van Norvane, actiekaart “Eerste uur”:

1. Mensen in veiligheid brengen als de locatie getroffen is.
2. Vaststellen wat er is uitgevallen (IT, locatie, mensen of leverancier) en de bijbehorende strategie openen.
3. Het begintijdstip noteren en het logboek openen: tijdstip, feit, beslissing, auteur.
4. Het niveau bepalen aan de hand van de activeringstabel.
5. Een lijst maken van de lopende spoedbestellingen van de klinieken op basis van de dagelijkse export die op de offline werkplek wordt bewaard.
6. Julie Moreau vragen de 5 klinieken te informeren met standaardbericht C1.
7. Het orderpickingteam uitleggen wat het moet doen.
8. Het volgende situatierapport een uur later plannen.

6. Strategieën per uitgevallen middel

Inhoud. Een strategie voor elk van de vier soorten uitval: IT, locatie, mensen, leverancier. Elke strategie beschrijft hoe het minimale niveau wordt gehandhaafd en binnen welke termijn, welke continuïteitsoplossingen worden geactiveerd, wie ze activeert en met welke beperkingen.

Waarom. Dit is de kern van het plan. Omdat het per uitgevallen middel is georganiseerd, blijft het geldig voor onvoorziene oorzaken.

Veelgemaakte fout. Een oplossing beschrijven zonder te zeggen wie ze activeert; een nooit geteste oplossing presenteren als iets wat vaststaat. Een doelstelling is geen werkelijk herstelvermogen: het plan moet eerlijk aangeven welke lacunes er nog bestaan.

Redelijke omvang. Een tot twee pagina’s per uitgevallen middel.

Uit het plan van Norvane, samenvatting van de vier strategieën:

• Uitval van de IT (ERP, WMS of glasvezelverbinding): overschakelen op orderpicking met papieren lijsten op basis van de dagelijkse export (procedure P1) en de 4G-reserverouter aansluiten; Karim Haddad start samen met de dienstverlener het herstel van het WMS. Bekende beperking: dit herstel is nog niet getest, de werkelijke duur ervan is dus onbekend.
• Uitval van de locatie (magazijn ontoegankelijk): op dit moment geen uitwijklocatie; deze lacune is ter beslissing aan het topmanagement voorgelegd. Overbruggingsmaatregel: de belangrijkste fabrikanten en groothandels vragen de kritieke artikelen rechtstreeks aan de klinieken en de ouderenzorginstellingen te leveren.
• Uitval van personeel: als er minder dan 30 van de 34 orderpickers beschikbaar zijn, de stroom beperken door eerst de prioritaire bestellingen te bedienen; bij minder dan 12 overgaan naar het crisisniveau. Configuratie van het WMS: 2 personen opgeleid, 2 anderen worden kruiselings opgeleid.
• Uitval van een leverancier: als Altéo Transport, een fictieve ingehuurde vervoerder die 85% van de leveringen verzorgt, zijn rondes niet meer kan rijden, de raamovereenkomst met de tweede vervoerder activeren. Voor de nitrilhandschoenen uit het hoofdassortiment, die van één enkele fabrikant komen, putten uit de buffervoorraad van kritieke artikelen.

7. Terugvalprocedures

Inhoud. De manieren van werken zonder het gebruikelijke middel, stap voor stap beschreven: een bestelling aannemen zonder de beheersoftware, orders verzamelen zonder de magazijnsoftware, leveren zonder de gebruikelijke vervoerder. Formulieren en lijsten die klaarliggen om te worden afgedrukt.

Waarom. De strategie zegt wat er moet gebeuren; de terugvalprocedure zegt hoe. Zij stelt een plaatsvervanger of een uitzendkracht in staat te handelen.

Veelgemaakte fout. Procedures die zonder de gebruikers zijn opgesteld en nooit zijn uitgeprobeerd; vergeten hoe de terugvalmodus wordt beëindigd, dat wil zeggen het opnieuw invoeren van gegevens.

Redelijke omvang. Eén pagina per procedure, genummerd en gedateerd.

Uit het plan van Norvane, procedure P1 “Orderpicking met papieren lijsten”:

1. De export van de dag afdrukken vanaf de offline werkplek: klanten, voorraden, lopende bestellingen.
2. De bestellingen sorteren: spoedbestellingen van de klinieken, dan ouderenzorginstellingen, dan overige bestellingen, tot ten minste 60% van die laatste.
3. Orders verzamelen op basis van de lijst, daarbij elke regel afvinken en de werkelijk gepickte hoeveelheid noteren.
4. Elke lijst nummeren en bewaren: die dient later voor het opnieuw invoeren.

8. Interne en externe communicatie

Inhoud. Wie communiceert, met wie, via welk kanaal en met welke frequentie; de te informeren partijen in volgorde van prioriteit (personeel, prioritaire klanten, overige klanten, leveranciers, in voorkomend geval autoriteiten); standaardberichten die klaarliggen om te worden aangepast; de regel voor het goedkeuren van berichten.

Waarom. Een klant die is geïnformeerd, kan zich organiseren; een klant zonder nieuws belt, en houdt de lijnen bezet die u nodig hebt. Het personeel heeft dezelfde behoeften.

Veelgemaakte fout. De berichten tijdens de crisis opstellen; de interne communicatie vergeten; meerdere mensen met verschillende versies met klanten laten praten.

Redelijke omvang. Eén pagina, met de standaardberichten in een bijlage.

Uit het plan van Norvane, standaardbericht C1 voor de klinieken: “Goedendag, u spreekt met Norvane. Ons bestelsysteem is sinds [tijdstip] verstoord. Uw spoedbestellingen worden nog steeds met voorrang behandeld: bel rechtstreeks de klantenservice op [noodnummer]. Wij bellen u terug om [tijdstip van de volgende update].” Elk ander extern bericht wordt goedgekeurd door Inès Marchal of haar plaatsvervanger.

9. Terugkeer naar normaal

Inhoud. De criteria om de terugvalmodus te beëindigen, wie vaststelt dat eraan is voldaan en wie beslist; de volgorde waarin de activiteiten worden hervat; het opnieuw invoeren en controleren van de gegevens; het informeren van de partijen die waren gewaarschuwd; het afsluiten van het logboek en de start van de evaluatie (lessons learned).

Waarom. Het herstel is een risicovolle fase: dubbele invoer, vergeten zaken, onjuiste voorraden. Bij Norvane duurde het opnieuw invoeren na een ERP-storing van 9 uur twee dagen.

Veelgemaakte fout. Het einde afkondigen zodra het systeem weer opstart, zonder de consistentie van de gegevens te controleren of de inhaalslag te plannen.

Redelijke omvang. Een halve tot een hele pagina.

Uit het plan van Norvane: Thomas Weber besluit tot de terugkeer naar normaal, nadat Karim Haddad heeft bevestigd dat het ERP en het WMS consistent zijn. De papieren lijsten worden in de volgorde van hun nummer opnieuw ingevoerd en daarna door een tweede persoon gecontroleerd. De klantenservice laat de klinieken weten dat de verstoring voorbij is. De evaluatie wordt binnen twee weken gepland.

10. Actueel houden

Inhoud. Versienummer, datum, eigenaar van het plan, verzendlijst (wie een exemplaar heeft en in welke vorm), herzieningsfrequentie, aanleidingen voor actualisering, wijzigingshistorie.

Waarom. Een plan veroudert snel: een nummer verandert, een leverancier wordt vervangen, een team wordt gereorganiseerd. Een verouderde versie is gevaarlijk juist omdat men erop vertrouwt.

Veelgemaakte fout. Het plan maar één keer per jaar herzien, zonder aanleidingen voor actualisering; meerdere papieren versies laten circuleren zonder te weten welke de geldende is.

Redelijke omvang. Een halve pagina.

Uit het plan van Norvane: versie 1.1, eigenaar Thomas Weber. Volledige herziening elk jaar, contactenlijst elk kwartaal gecontroleerd. Verplichte actualisering bij elke wijziging van organisatie, leverancier of tool, na elk werkelijk incident en na elke oefening. Wijzigingen in versie 1.1, naar aanleiding van een tabletopoefening over de uitval van de vervoerder: twee nummers in de contactenlijst gecorrigeerd, tekenbevoegdheid voor de opdracht aan de tweede vervoerder toegevoegd, standaardbericht aan de klinieken opgesteld, dagelijkse controle van de datum van de klantenexport.

11. Bijlagen

Inhoud. Alles wat men raadpleegt zonder het helemaal te lezen: interne en externe crisiscontactlijst, lijst van prioritaire klanten met noodcontactgegevens, inventarissen van applicaties en apparatuur, kritieke artikelen, blanco formulieren, noodcontracten, toegangsplattegronden.

Waarom. Ze houden de kern van het plan beknopt en stellen informatie veilig die anders alleen in de onbeschikbare systemen te vinden is.

Veelgemaakte fout. Bijlagen die alleen in het uitgevallen systeem te raadplegen zijn; lijsten zonder datum of eigenaar.

Redelijke omvang. Vrij, op voorwaarde dat elke bijlage gedateerd is en een eigenaar heeft.

Uit het plan van Norvane: A1 Crisiscontactlijst (rolhouders, plaatsvervangers, Altéo Transport, tweede vervoerder, softwareleverancier van het ERP, dienstverlener voor IT-beheer, bureau van het webportaal). A2 Prioritaire klanten met noodcontactgegevens: deze lijst bestond alleen in het ERP en maakt nu deel uit van de dagelijkse export. A3 Kritieke artikelen en buffervoorraad. A4 Formulieren: genummerde papieren bestelbon, logboek. A5 Standaardberichten.

Overzichtstabel

Checklist: is mijn plan bruikbaar?

• Vindt iemand die het nooit heeft gelezen binnen twee minuten wat hij of zij moet doen?
• Heeft elke actie een eigenaar die op basis van zijn of haar rol is aangewezen, en elke rol een plaatsvervanger?
• Zijn de activeringscriteria waarneembaar en gekoppeld aan de hersteldoelstellingen?
• Is het plan georganiseerd per uitgevallen middel in plaats van per scenario?
• Past de actiekaart “Eerste uur” op één pagina?
• Zijn de terugvalprocedures uitgeprobeerd door degenen die ze zullen toepassen?
• Maakt het plan onderscheid tussen geteste en niet-geteste oplossingen, en geeft het aan welke lacunes er nog bestaan?
• Zijn de standaardberichten opgesteld en goedgekeurd?
• Zijn het plan en de bijlagen toegankelijk zonder netwerk, zonder e-mail en buiten de locatie?
• Is de contactenlijst in de afgelopen drie maanden nummer voor nummer gecontroleerd?
• Is de geldende versie herkenbaar, en zijn de oude versies ingetrokken?
• Is er ten minste één keer met het plan geoefend, en heeft de evaluatie tot actualiseringen geleid?