Bedrijfsimpactanalyse: een integraal onderdeel van bedrijfscontinuïteitsplanning

IT-teams in de meeste organisaties zijn bekend met processen voor rampherstel en bedrijfscontinuïteit. Sommigen zijn zich echter wellicht niet bewust van het belang van het uitvoeren van een bedrijfsimpactanalyse (BIA). Een BIA is een van de belangrijkste onderdelen van een bedrijfscontinuïteitsplan. Het helpt bedrijven om de financiële gevolgen van storingen of andere verstoringen van hun bedrijfsvoering in kaart te brengen.

Wat is een bedrijfsimpactanalyse en waarom is deze belangrijk?

Een BIA brengt de gevolgen van een plotseling uitvallen van bedrijfsfuncties in kaart, meestal in termen van kosten voor het bedrijf. Een BIA brengt ook de meest kritieke bedrijfsfuncties in kaart, waardoor u een bedrijfscontinuïteitsplan kunt opstellen waarin het herstel van deze essentiële functies prioriteit krijgt. De oorzaak van de bedrijfsonderbreking is echter niet van belang. Deze kan het gevolg zijn van nalatigheid, een natuurramp, een cyberaanval of andere oorzaken. In plaats daarvan wordt gekeken naar de zakelijke gevolgen van de ramp, worden prioriteiten gesteld voor de inzet van middelen en wordt de beste aanpak voor het herstel bepaald.

Een BIA bestaat uit drie belangrijke onderdelen:

• Gevolgen voor het bedrijf
• Tijdschema’s
• Afhankelijkheden

Hieronder wordt elk van deze punten nader besproken. Als onderdeel van de basis van een bedrijfscontinuïteitsplan is een BIA van essentieel belang voor het herstel van de bedrijfsvoering in geval van een ramp.

Gevolgen voor het bedrijf

Bepaal welke bedrijfsfuncties het meest cruciaal zijn op basis van de kosten voor het bedrijf

Een BIA brengt de belangrijkste functies van een bedrijf in kaart die ervoor zorgen dat het bedrijf blijft draaien: het volledige geheel van bedrijfsprocessen, de middelen die nodig zijn om deze processen uit te voeren en de systemen die hiervoor vereist zijn. De potentiële kosten die gepaard gaan met een bedrijfsonderbreking, zoals omzetverlies, boetes wegens niet-naleving van regelgeving, contractuele boetes als gevolg van het niet nakomen van service level agreements (SLA’s), hogere operationele kosten, enzovoort, worden voor elke bedrijfsfunctie berekend in concrete dollars.

Om de financiële gevolgen in kaart te brengen, kan bijvoorbeeld een vragenlijst worden gebruikt waarin vragen worden gesteld waarvan de antwoorden op een schaal van 1 tot 5 worden beoordeeld. Bijvoorbeeld:

• Hoe groot zou het potentiële inkomstenverlies zijn als deze bedrijfsfunctie uit zou vallen?
• Welke boetes en sancties zou het bedrijf moeten betalen?
• Met welke stijging van de bedrijfskosten zou het bedrijf te maken krijgen?

Er kunnen voor het bedrijf ook kosten in het spel zijn die niet in dollars uitgedrukt zijn. Hieronder vallen reputatieschade en verlies van goodwill. Uw vragenlijst zou ook vragen kunnen bevatten zoals:

• Wat zou de mogelijke schade aan de reputatie van het bedrijf zijn?
• Wat zouden de gevolgen zijn voor de klantenservice?

Breng mogelijke bedreigingen voor deze functies in kaart

Zodra uw BIA de kritieke bedrijfsfuncties in kaart heeft gebracht, worden de daarmee samenhangende risico’s vastgesteld, evenals de omstandigheden die een storing in een bedrijfsproces kunnen veroorzaken en de waarschijnlijkheid dat het risico zich opnieuw voordoet.

Tijdschema’s

Er zijn drie tijdsbestekken die in uw BIA aan bod moeten komen:

• Recovery Point Objective (RPO) — Meestal de tijd tussen twee back-ups van gegevens, die de maximale periode aangeeft waarin gegevens bij een ramp verloren kunnen gaan.
• Recovery Time Objective (RTO) — De tijd die je nodig zou hebben om de gegevens uit de back-up te herstellen.
• Maximaal toegestane uitvaltijd (MAD) — De maximale uitvaltijd die een bepaalde bedrijfsfunctie kan verdragen. Hierin moet de tijd worden meegerekend die nodig is om de functie weer volledig operationeel te maken nadat een back-up is teruggezet.

Afhankelijkheden

Een BIA moet de afhankelijkheden tussen bedrijfsprocessen en systemen in kaart brengen. Dit helpt bij het stellen van prioriteiten voor de systemen die als eerste moeten worden hersteld. Een BIA helpt u te bepalen in welke volgorde verloren gegane functies of processen moeten worden hersteld. Een bedrijfsfunctie waarvan de werking door meer bedrijfsprocessen wordt vereist, krijgt in het herstelproces een hogere prioriteit dan andere functies.

Er kunnen ook afhankelijkheden zijn ten aanzien van bepaalde leveranciers waarmee u moet samenwerken om diverse systemen en functies te herstellen. Hierbij kan het gaan om IT-leveranciers en internetproviders; deze moeten in uw BIA worden vastgelegd.

Zijn er BIA-normen?

Er zijn verschillende normen die richtlijnen bieden voor het opstellen van een BIA. Hiertoe behoren de norm ISO 22301 van de Internationale Organisatie voor Normalisatie (ISO), de National Fire Protection Act 1600 en de BCP-norm van de Federal Financial Institutions Examination Council (FFIEC) voor financiële instellingen.

Analyse van de gevolgen voor de bedrijfsvoering als onderdeel van de bedrijfscontinuïteitsplanning

Een bedrijfscontinuïteitsplan (BCP) beschrijft welke stappen moeten worden genomen in geval van een storing of onderbreking, terwijl een BIA zowel het risico in kaart brengt dat tot de storing zou kunnen leiden als de kritieke bedrijfsfuncties die door de storing zouden kunnen worden getroffen, en deze rangschikt op basis van prioriteit voor het herstel. Een BIA legt de basis voor een solide bedrijfscontinuïteitsplan en bereidt een organisatie voor op de onvermijdelijke inspanningen die nodig zijn om te herstellen van een bedrijfsverstoring. BCP’s richten zich niet alleen op technische aspecten (hardware-/softwareproblemen), maar houden ook rekening met het personeel en andere middelen die verband houden met bedrijfscontinuïteit.

Zodra uw BIA is opgesteld, is het raadzaam om deze regelmatig te herzien en bij te werken, aangezien uw bedrijf in de loop van de tijd verandert. Zo kunt u de BIA effectief inzetten om nieuwe risico’s en uitdagingen het hoofd te bieden. Het wordt aanbevolen om dit ten minste om de twee jaar te doen. Een BIA, in combinatie met bedrijfscontinuïteitsplanning, stelt een organisatie in staat om stilstand tot een minimum te beperken en de productiviteit van het personeel te waarborgen, zelfs in geval van een crisis.

Lees meer over bedrijfscontinuïteitsplanning in ons e-book ‘Een crisis omzetten in een kans’.