Wat als uw bedrijf morgen met een ramp te maken krijgt, waardoor het niet meer behoorlijk kan werken? Bent u dan in staat de negatieve impact te beperken en te beheersen? Kunt u de reputatie van uw bedrijf adequaat beschermen?

"Als er iets misgaat moet je de operationele impact ervan kunnen beperken en de reputatie van je bedrijf beschermen. Impactbeheersing en reputatiebescherming zijn de twee belangrijkste pijlers van Business Continuity Management (BCM), zegt Chris De Blende", Senior Manager bij PwC.

"Ernstige verstoringen komen niet altijd van grote calamiteiten die een bedrijf rechtstreeks treffen", zegt De Blende. "Het kan bijvoorbeeld tot een ontruiming van uw bedrijf komen omdat elders op uw industrieterrein of in uw directe omgeving een ontploffing heeft plaatsgevonden."

De Blende verwijst naar het Horizon Scan Report van het Business Continuity Institute (BCI) dat de gevaren die bedrijven ervaren in kaart brengt. Volgens het BCI zien bedrijven ongeplande IT- en telecomonderbrekingen als de grootste bedreiging. Op de tweede plaats staat data-inbreuk. Ook cyberaanvallen en de invloed van sociale media op de reputatie van het bedrijf worden als grote bedreigingen ervaren. De lijst is lang en omvat verder onder meer verstoringen van de leveringsketen, gure weersomstandigheden en civiele onrusten.

Twee IT-trends die sinds enkele laatste jaren van invloed zijn op BCM, zijn BYOD (Bring Your Own Device) en cloudtoepassingen. "Governance blijft ook bij BYOD en de cloud belangrijk. De aansprakelijkheid blijft bij het eigen bedrijf liggen", beklemtoont De Blende. "Sluit een waterdichte overeenkomst af met je cloudprovider (SLA) en ken de precieze locatie van al je kritieke data. Vraag, indien mogelijk, om bij je provider een audit of assessment uit te voeren. Als bedrijfsgegevens van zeer vertrouwelijke aard zijn, kan ik me voorstellen dat het management ervan verzekerd wil zijn dat ze niet door de overheid of niet-geautoriseerde instanties kan 'bekeken' worden."

"Het bepalen en afbakenen van rollen en verantwoordelijkheden wordt door die trends eigenlijk nog belangrijker", zegt De Blende. "Het management dient nog meer aandacht te schenken aan onzichtbare onafhankelijkheden en ownerships van alle assets. Daarnaast mag je de culturele veranderingen die de trends met zich meebrengen niet onderschatten. En ten slotte: maak niet de fout te denken dat incident handling, monitoring, patch management en andere processen ineens niet meer belangrijk zijn. Die blijven even belangrijk, zoniet nog belangrijker."

BCM vraagt tijd en energie. "Het op punt stellen van een mature BC-capaciteit heeft dikwijls een doorlooptijd van een drietal jaar", zegt Chris De Blende. "Begin klein en pak eerst de meest kritische processen aan. Weet wat de missie van je bedrijf is, en wat de gevolgen zijn als je onbereikbaar of onbeschikbaar bent. Dat moet het uitgangspunt zijn."

Sinds midden vorig jaar kunnen bedrijven de norm ISO 22301 voor BCM volgen. Deze vervangt de BS 25999 als voornaamste standaard voor Business Continuity Management. ISO 22301 benadrukt onder meer het stellen van doelen, het meten van prestaties en KPIs, en acties die risico’s en kansen sneller zichtbaar maken. De norm voor IT in BCM is ISO/IEC 27031.