‘Business continuity’ is een ‘must’ voor bedrijven, maar helaas denken heel wat ict’ers dat een dagelijkse back-up en een contract met een leverancier van ‘recovery’-diensten ruimschoots volstaan als hun bijdrage hierin. Niet zo!

‘Business continuity’ – bedrijfscontinuiteit, zo je een meer Nederlandsachtig woord verkiest – lijkt wel een term uit de Belgische politiek: ogenschijnlijk eenvoudig en vanzelfsprekend, is het in wezen een hels complexe klus. Evenzeer als de Belgische politiek, wordt er vaak wel wat halfslachtig aan gewerkt, waarna alle betrokkenen in een lichte maar tevreden apathie verzinken en een eventueel plan zoetjes stof vergaart, tot het ogenblik waarop het noodlot toeslaat.

Verschillende scenario’s

Het bovenstaande klinkt allicht wat hard, maar toch wordt in bedrijven ‘business continuity management’ (bcm) vaak nogal minimalistisch ingevuld. Niet echt een goed idee, want eenvoudig gesteld gaat bcm over alles wat nodig is om de werking van het bedrijf veilig te stellen als zich een probleem (of problemen) voordoet waardoor het voortbestaan van het bedrijf in gevaar kan komen. Daarbij moet niet alleen onmiddellijk op de ramp zelf worden gereageerd (de pure ‘disaster recovery’), maar ook worden voorzien hoe het bedrijf allicht een poos onder andere omstandigheden moet werken, tot de oorspronkelijke toestand weer is hersteld. En dat alles op een bedrijfseconomisch verantwoorde wijze.

Het zal duidelijk zijn dat een continuïteitsplan meer inhoudt dan een losse collectie van deeloplossingen. Zo voorziet de ict-afdeling vandaag allicht wel het maken van dagelijkse (en hopelijk geëncrypteerde) back-ups en het snel recreëren van de ict-infrastructuur (fysiek of virtueel), maar vrijwel zeker wordt daarmee niet ingespeeld op alle mogelijke ict-noden van een continuïteitsplan. Laat staan op de gewijzigde ict-noden op langere termijn. Op een zelfde wijze zal wellicht de inkoopafdeling de levering van belangrijke grondstoffen verzekeren door contracten met twee of meer leveranciers af te sluiten, maar allicht geen rekening houden waar de productie zal doorgaan. De verleiding die van snelle deeloplossingen uitgaat, groeit nog als de realisatie ervan relatief makkelijk en goedkoop is. Zo kan een ict-afdeling de nieuwe mogelijkheden van virtualisatie en ‘cloud’-diensten, of mogelijkheden om de dataopslag te spiegelen op een andere locatie aangrijpen om kort en bondig te voldoen aan de minimumvereisten van hun deel van een disaster recovery plan.

Een bedrijf moet evenwel beseffen dat servers en dies meer vandaag niet meer zo vaak uit zichzelf uitvallen, maar veeleer het slachtoffer zijn van externe factoren, zoals brand, wateroverlast, diefstal of sabotage, om slechts enkele mogelijkheden te noemen. Een aardbeving op de schaal van Haïti moeten we niet echt verwachten in onze streken, maar een zware gasexplosie kunnen we blijkbaar helaas niet uitsluiten. Kortom, verschillende oorzaken hebben verschillende gevolgen, en vereisen verschillende plannen. Zo zal een brand allicht wél de andere werkplekken in het gebouw vernielen, terwijl wateroverlast (zoals een overstroming) die andere werkplekken wellicht ongemoeid laat. Ict moet dus gepast reageren in het kader van al die verschillende scenario’s.

Samen nadenken

Continuïteitsplannen vereisen een uitgebreide en doorgedreven denkoefening, waaraan ook ict’ers volop moeten deelnemen. Je moet immers starten met de kennis van wat het bedrijf allemaal doet onder normale omstandigheden en wat hiervoor nodig is aan processen, middelen en dies meer. Voor heel wat bedrijven vormt die kennis op zichzelf al een uitdaging, om niet te zeggen voor de ict afdeling.

Vervolgens moet je een uitgebreide inschatting doen van de mogelijke risico’s die het bedrijf loopt, en welke impact ze kunnen hebben op de werking ervan. Dat kan gaan van interne problemen (zoals een brand in het gebouw) tot moeilijkheden met andere bedrijven (als je in een ‘supply chain’ zit) of problemen uit de samenleving (zoals de recente dreiging van de Mexicaanse griep, maar ook voorvallen als onrust in het land, stakingen en dies meer). De gevolgen kunnen verschillen in sterkte (van een kortstondige storing tot maandenlange ontwrichting). En de oorzaken kunnen soms in in een klein hoekje zitten, zoals het niet onderkennen van ‘single point of failures’. Niets of niemand is onvervangbaar, maar je kan wellicht toch maar beter nagaan wat de gevolgen zijn als bepaalde systemen of mensen (met specifieke ervaring of kennis) zouden uitvallen door panne, ziekte, ongeval, ontslag etc.

Vervolgens moeten de bedrijfsmensen uitmaken welke diensten absoluut cruciaal zijn voor de continue werking van de onderneming, en welk niveau van dienstverlening is vereist. Ict’ers moeten hierbij helpen om te bepalen welke en hoeveel middelen hiervoor nodig zijn en dat dan weer voor verschillende rampscenario’s. Je zal immers andere voorzieningen treffen om verder te werken na een brand in het gebouw, dan als tweederde van je personeel uitgeteld ligt door een griepepidemie.

Niet alleen moet een bedrijf zijn risico’s analyseren en vertalen in aangepaste scenario’s, maar tevens moet het een kosten/batenanalyse maken van de mogelijke remedies. Hoeveel kost de onmiddellijke opvang van de ramp, hoe snel moet je terug naar een normale toestand vooraleer het prijskaartje van de noodmaatregelen op zijn beurt het bedrijf om zeep helpt en dies meer. Zeker voor kleinere en middelgrote bedrijven, die het vaak aan budget en expertise voor BCM ontbreekt, is dit een ‘must’ maar ook een uitdaging. Daarbij moet worden overwogen dat een ramp of probleem zich vermoedelijk nooit precies aan het voorziene draaiboek houdt, wat allicht bijkomende kosten meebrengt.

Belangrijk daarbij is ook de inzet van het personeel. Vanzelfsprekend moeten de ict’ers weten wat hun rol is in de onmiddellijke aanpak van het probleem en de daaropvolgende noodwerking. Dat veronderstelt duidelijke afspraken, maar allicht ook een voldoende mate van creativiteit om onverwachte toestanden op te vangen. En dat met voldoende inzicht in de noden en processen van het bedrijf, om echt van dienst te zijn. Het veronderstelt ook procedures om problemen veroorzaakt door het personeel zelf (ziekte, ongeval, malafide praktijken) aan te kunnen. Zowel van het eigen personeel, als van ingehuurd personeel.

Een bedrijf kan overigens deel uitmaken van een ‘waardeketting’ (zoals een supply chain) en de problemen kunnen afkomstig zijn uit een ander bedrijf uit die ketting. Als de ict-infrastructuur van die ondernemingen onderling samenwerkt (zoals in sectoren als de auto-assemblage, of andere just-in-time productiesectoren), moeten de ict’ers in staat zijn over de bedrijfsgrenzen heen samen te werken. Ze moeten weten wat te doen als de informatiestroom wegvalt…. of als ze zelf verantwoordelijk zijn voor de storing, om zo snel mogelijk de ketting te herstellen. Ook hier is samenspraak van de ict’ers met de commerciële kant van het bedrijf een must, wellicht van de andere bedrijven.

Voorts moet een bedrijf er natuurlijk rekening mee houden dat een probleem zich zelden alleen voordoet. Combinaties van problemen, intern en extern van oorsprong, zijn best mogelijk en vereisen bijkomende inspanningen (lees: creativiteit, inzicht, besluitvaardigheid etc) om disaster recovery en continuïteitsplannen op elkaar af te stemmen.#

Guy Kindermans

Continuïteitsplannen vereisen een uitgebreide en doorgedreven denkoefening, waaraan ook ict’ers volop moeten deelnemen.