IT-teams in de meeste organisaties zijn bekend met recovery bedrijfscontinuïteitsprocessen. Sommigen zijn zich echter mogelijk niet bewust van het belang van het uitvoeren van een bedrijfseffectanalyse (BIA). Een BIA is een van de belangrijkste elementen van een bedrijfscontinuïteitsplan. Het helpt bedrijven bij het bepalen van de financiële gevolgen van storingen of andere verstoringen van hun bedrijfsvoering.
Wat is een bedrijfsimpactanalyse en waarom is deze belangrijk?
Een BIA identificeert de impact van een plotseling verlies van bedrijfsfuncties, meestal in termen van kosten voor het bedrijf. Een BIA identificeert ook de meest kritieke bedrijfsfuncties, waardoor u een bedrijfscontinuïteitsplan kunt opstellen dat prioriteit geeft recovery deze essentiële functies. De reden achter de bedrijfsonderbreking is echter niet belangrijk. Deze kan te wijten zijn aan nalatigheid, een natuurramp, een cyberaanval of andere oorzaken. In plaats daarvan wordt gekeken naar de zakelijke impact van de ramp, worden prioriteiten gesteld voor resources wordt de beste aanpak voor recovery bepaald.
Een BIA bestaat uit drie belangrijke onderdelen:
- Zakelijke impact
- Tijdschema's
- Afhankelijkheden
Elk van deze punten wordt hieronder verder besproken. Als onderdeel van de basis van een bedrijfscontinuïteitsplan is een BIA essentieel voor recovery van het bedrijf recovery geval van een ramp.
Zakelijke impact
Bepaal de meest kritieke bedrijfsfuncties op basis van de kosten voor het bedrijf
Een BIA bepaalt de belangrijkste functies companydie het bedrijf draaiende houden: de uitgebreide reeks bedrijfsprocessen, de resources om deze processen uit te voeren en de systemen die hiervoor nodig zijn. De potentiële kosten die gepaard gaan met een bedrijfsonderbreking, zoals omzetverlies, boetes voor niet-naleving van regelgeving, contractuele boetes als gevolg van het niet nakomen van service level agreements (SLA's), hogere operationele kosten, enz., worden berekend in termen van reële dollars voor elke bedrijfsfunctie.
Om de financiële impact te beoordelen, kan een vragenlijst worden gebruikt waarop de antwoorden worden gewaardeerd op een schaal van 1 tot 5. Bijvoorbeeld:
- Wat zou het potentiële inkomstenverlies zijn als deze bedrijfsfunctie uitvalt?
- Welke boetes en straffen zou het bedrijf moeten betalen?
- Met welke stijging van de bedrijfskosten zou het bedrijf te maken krijgen?
Er kunnen ook niet-dollar kosten voor het bedrijf zijn. Deze omvatten reputatieschade en verlies van goodwill. Uw vragenlijst kan ook vragen bevatten als:
- Wat zou de potentiële schade zijn voor de reputatie van het bedrijf?
- Wat zou de impact zijn op de klantenservice?
Potentiële bedreigingen voor deze functies identificeren
Zodra je BIA de kritieke bedrijfsfuncties heeft geïdentificeerd, worden de risico's die daarmee gepaard gaan bepaald, evenals de omstandigheden die een uitval van het bedrijfsproces kunnen veroorzaken en de waarschijnlijkheid dat het risico zich opnieuw voordoet.
Tijdschema's
Er zijn drie tijdsbestekken die in je BIA aan bod moeten komen:
- Recovery Objective (RPO) — Doorgaans de tijd tussen gegevensback-ups die de maximale tijd aangeeft gedurende welke gegevens verloren kunnen gaan tijdens een ramp.
- Recovery Objective (RTO) — De tijd die u nodig hebt om te herstellen vanaf een back-up.
- Maximaal toegestane downtime (MAD) — De maximaal aanvaardbare periode van downtime die een bepaalde bedrijfsfunctie zich kan veroorloven. Hierin moet ook de tijd worden meegerekend die nodig is om de functie weer volledig operationeel te maken nadat een back-up is hersteld.
Afhankelijkheden
Een BIA moet de afhankelijkheden tussen bedrijfsprocessen en systemen vaststellen. Dit helpt bij het prioriteren van de systemen die recovery moeten recovery . Een BIA helpt u bij het bepalen van de volgorde waarin verloren gegane functies of processen moeten worden hersteld. Een bedrijfsfunctie waarvan meer bedrijfsprocessen afhankelijk zijn om operationeel te zijn, krijgt een hogere prioriteit in het recovery dan andere.
Er kunnen ook afhankelijkheden zijn met betrekking tot bepaalde leveranciers met wie je moet samenwerken om verschillende systemen en functies te herstellen. Dit kunnen bijvoorbeeld IT-leveranciers en internetproviders zijn, en deze moeten worden gedocumenteerd in je BIA.
Zijn er BIA-normen?
Verschillende standaarden bieden richtlijnen voor het maken van een BIA. Deze omvatten International Organization for Standardization (ISO) 22301, National Fire Protection Act 1600 en de BCP-standaard voor financiële instellingen van de Federal Financial Institutions Examination Council (FFIEC ).
Bedrijfsimpactanalyse als onderdeel van bedrijfscontinuïteitsplanning
Een bedrijfscontinuïteitsplan (BCP) beschrijft welke stappen moeten worden genomen in geval van een storing of onderbreking, terwijl een BIA het risico identificeert dat tot de storing kan leiden, evenals de kritieke bedrijfsfuncties die door de storing kunnen worden beïnvloed, en deze prioriteert voor recovery. Een BIA legt de basis voor een solide bedrijfscontinuïteitsplan en bereidt een organisatie voor op de onvermijdelijke inspanningen die nodig zijn om te herstellen van een bedrijfsonderbreking. BCP's richten zich niet alleen op technische aspecten (hardware/softwareproblemen), maar houden ook rekening met het personeel en andere resources met bedrijfscontinuïteit.
Als je BIA er eenmaal is, is het een goede gewoonte om deze regelmatig te herzien en bij te werken, omdat je bedrijf na verloop van tijd verandert. Zo kun je de BIA effectief inzetten om nieuwe risico's en uitdagingen het hoofd te bieden. Het wordt aanbevolen om dit ten minste elke twee jaar te doen. Een BIA, in combinatie met bedrijfscontinuïteitsplanning, stelt een organisatie in staat om de uitvaltijd te minimaliseren en de productiviteit van het personeel te garanderen, zelfs in het geval van een crisis.
Lees meer over bedrijfscontinuïteitsplanning in ons ebook Van een crisis een kans maken.
