Business Continuity: wees op het ergste voorbereid

Hou uw bedrijf aan de draai, onder alle omstandigheden. Het opzet van business continuity lijkt universeel, al wil de concrete invulling wel eens verschillen van bedrijf tot bedrijf. Dat bleek uit het recente Business Meets IT-seminarie over business continuity dat dit blad organiseerde.

William Visterin

Twintig jaar geleden bestond de benaming business continuity niet. “Toen hadden we het eerder disaster recovery als term”, vertelt Maarten Smulders, die bij Atos Wordline business continuity onder zijn verantwoordelijkheid heeft.

Ook vandaag worden business continuity en disaster recovery nog (al te) vaak in één zin vernoemd. Terwijl het eigenlijk om fundamenteel verschillende concepten gaat. Bij disaster recovery gaat het er om de hele ICT-infrastructuur bij een probleem of panne zo snel mogelijk terug draaiende te krijgen. Terwijl business continuity die rampen net tracht te voorkomen. Het zorgt ervoor dat uw bedrijf zijn kerntaken kan blijven vervullen, ongeacht de omstandigheden.

Business continuity gaat dus ook over zaken zoals de beschikbaarheid van personeel en kantoorruimte. Maar het kan ook het verlies van een strategische klant of leverancier zijn, het vertrek van een topman, een grootschalige fraude, onethische financiële verrichtingen en nog zo veel meer.

Veerkracht

Tijdens het druk bijgewoond Business Meets IT-seminarie rond business continuity benadrukten sommige organisaties, zoals Belfius, vooral de brede business benadering. Terwijl een bedrijf als TVH eerder de focus legde op de technische invulling. Want de uitvoering van business continuity wel eens grondig verschillen: van een eerder technologische benadering tot een bredere aanpak in de sfeer van wat alles met crisissituaties heeft.

Intussen is zelfs de benaming van business continuity zelf al min of meer verouderd. “Vandaag heeft men het over business resilience, met andere woorden hoe veerkrachtig is uw bedrijf en dat niet alleen bij rampen. Ook het feit dat een bedrijf erg geconnecteerd met klanten, leveranciers en andere partners speelt vandaag een belangrijke rol.” Kortom, de crisissituaties beperken zich dus niet tot uw eigen organisatie, maar gaan ook over uw omgeving en partners.

Geen prioriteit

Is business continuity een grote prioriteit voor bedrijven? Niet meteen. In de lijst van top 10 van IT-prioriteiten voor 2014 in Belgische bedrijven, een onderzoek van Smart Business, staat business continuity pas op de negende plaats.  “Dat is op zich een teleurstellend resultaat”, vindt Maarten Smulders. Al moeten we er wel bij vermelden dat een aantal prioriteiten in de lijst staan, zoals security en virtualisatie, die ook wel raakpunten hebben met business continuity.

Los daarvan gaat business continuity management vaak breder dan  IT, bevestigt Smulders. “Het heeft een bredere kijk op de organisatie, en gaat om een algemene invulling van het vermijden van risico’s als organisatie. Smulders soms een aantal aspecten op die onder de brede benadering van business continuity vallen, zoals risk management, disaster recovery, information security, facility management, governance en crisis management.”

Keuzes

Bedrijfscultuur speelt een belangrijke rol. Is er in uw bedrijf een risico-averse cultuur? Een aantal aspecten spelen hierbij een rol, somt Smulders op. Hieronder de authoriteit van de business continuity manager: hoe dichter bij het topmanagement, hoe meer autoriteit. Ook de houding van de medewerkers ten aanzien van business continuity speelt een rol. Naast het respect dat er bestaat voor controle en gezag. “Over het algemeen zouden wij verwachten dat er na de financiële crisis er een sterkere cultuur is ontstaan ten aanzien van business continuity”, oppert Smulders.

Heel vaak doen organisaties een beroep op standaarden of een raamwerk om hun business continuity aanpak te sturen. Cobit5 is zo’n voorbeeld. “Persoonlijk zou ik het niet aanraden om het letterlijk te gebruiken. Maar als referentie kader kan het dienen”, stelt Marc Vael, chief audit executive bij Smals en vice-president bij ISACA International. Binnen Cobit5 haalt Vael zeven domeinen (zie grafiek) aan waar rekening mee moeten worden gehouden bij een business continuity beleid: van organisatie, processen tot cultuur en het menselijk aspect.

Al gaat het, zo benadrukt Vael, bij business continuity ook om het maken van keuzes. “Als je het aan een business continuity manager vraagt, dan wil die altijd 100 procent beschikbaarheid. Maar dat heeft zijn prijs. Daarom moet je je kritische bedrijfsprocessen bepalen en met iedereen in de organisatie gaan praten. Het primaire motief is risico-optimalisatie”, stelt Vael. Deze oefening is bovendien niet eenmalig. “Een business continuit policy kan je maar echt aftoetsten door het geheel te testen in een praktijksituatie. Als je merkt dat er tijdens het jaar veranderingen opduiken in een plan voor business continuity, is dat vaak een indicatie dat een organisatie het ook echt ter harte neemt.”

Belfius

Dat business continuity dwars door uw organisatie snijdt, beklemtoonde ook Ludo Jappens, verantwoordelijke business continuity & crisis management bij Belfius. Het heeft bij de financiële groep impact op strategisch-, op tactisch – of op operationeel vlak. Cruciaal is de zogenaamde rolverdeling. “Wij zullen binnen business continuity bijvoorbeeld nooit acties toewijzen aan bepaalde namen, enkel aan rollen”, stelt Jappens. Binnen Belfius schakelt men inzake de standaarden voor business continuity de ISO 22301-standaard in. Binnen de groep valt business continuity (zie grafiek) onder de algemene noemer van een crisis management framework. De impact is daar ook op vlak van communicatie, HR en op juridisch vlak.

Voor en modaal Belgisch bedrijf is business continuity vaak iets meer afgelijnd, en hangt het ook af van technische keuzes. Bij TVH, dat zich specialiseert in industriële machinebouw, baseert men zich op zijn datacenters. “We willen zoveel mogelijk data in onze eigen datacenters bewaren. Dat heeft een belangrijke implicatie op het vlak van business continuity”, vertelt Frederik Clement, infrastructure manager bij TVH. Hierdoor wordt zijn job ook eerder technisch ingevuld. Centralisatie, virtualisatie en dataduplicatie staan hierbij voorop en worden door Clement aangehaald als grootste trends in zijn vakdomein. “In mijn vorige job en werkgever werd het grootste deel van de IT uitbesteed, en dan ben je vooral bezig met het opvolgen met contracten en service Level agreements of SLA’s. Het hangt dus erg af hoe een bedrijf het zelf invult.”