Business Continuity ofwel bedrijfscontinuïteit kan worden omschreven als het vermogen van een organisatie om te plannen voor en te reageren op incidenten met als direct gevolg een ernstige verstoring van de organisatie, om zodoende te waarborgen dat men operationeel op minimaal een van tevoren vastgelegd niveau kan functioneren. BCM is het complete managementproces dat mogelijke gevaren met betrekking tot de continuïteit van de bedrijfsvoering vaststelt en een kader schept voor het opbouwen van weerstandsvermogen en veerkracht (resilience). Door effectief reageren worden de organisatiebelangen, de reputatie maar ook het merk bewaakt. Daarnaast wordt de uitvoering van de waardecreërende activiteiten gewaarborgd1.
Om BCM vorm en inhoud te geven is een uitgebreide collectie van normen ontstaan en worden business continuity plannen opgesteld en business continuity managementsystemen gebouwd waarmee een organisatie zijn continuïteit poogt te borgen2. In dit artikel gaat het vooral om de kernbegrippen en de relatie daartussen.
Resilience
Resilience is eigenlijk een paraplubegrip voor veerkracht en weerbaarheid (ook wel weerstandsvermogen genoemd). We kunnen het definiëren als het vermogen van mensen, organisaties en systemen om verstoringen te voorkomen, in onverwachte situaties te kunnen blijven functioneren en het effectief herstellen van verstoringen.
De eerste toepassingen van resilience zien we in de wereld van industrie, technologie en engineering waar complexe systemen bestand moeten zijn tegen onverwachte gebeurtenissen. Zo moet een brug bestand zijn tegen zware stormen. Het elektriciteitssysteem is (deels) redundant uitgevoerd om te voorkomen dat bij een calamiteit grote delen van het land zonder stroom komen te zitten. In Tokio hebben de lagergelegen delen van de stad regelmatig last van flinke overstromingen. Het Tokyo Resilience Project is een enorm ondergronds complex met tunnels en watertanks om het overtollige regenwater op te vangen en weg te pompen naar een nabijgelegen rivier. Meer recent wordt de term ook gebruikt in de ecologie: klimaatverandering kan catastrofale gevolgen hebben voor ecosystemen; door gerichte maatregelen kan het kantelen van ecosystemen worden voorkomen. Resilience wordt ook gebruikt in sociale wetenschappen – zoals de psychologie – om het vermogen van iemand te duiden om door te gaan na persoonlijke tegenslagen.
Universiteit Twente
Het interfacultaire Resilience@UT-programma van de Universiteit Twente is opgericht om in te spelen op de uitdagingen van toenemende schade door rampen, een veranderend klimaat, tekortkomingen in de kwaliteit van de gezondheidszorg, onrust en criminaliteit. Het programma combineert de expertise en belangen van haar academische gemeenschap met die van organisaties uit de publieke en private sector om een gezamenlijke onderzoeksagenda te ontwikkelen en uit te voeren om zo een veerkrachtige samenleving te bevorderen. Het universiteitsbrede programma kent drie focusgebieden: strijd tegen droogte, een veiligere samenleving en gezondheidszorg.
Normen en regelgeving
In normen en regelgeving komt de term resilience steeds vaker voor. Zo stelt de norm ISO 22301 (Security and resilience – Business continuity systems – Requirements): ‘Resilience is not just the ability to recover – it is the ability to adapt, evolve and continue to deliver under stress.’ En de ISO 22366 (Framework and principles for energy resilience) bepaalt dat organisaties de afhankelijkheid van nutsvoorzieningen mee moeten nemen in hun risicoanalyses. De Europese regelgeving spreekt op diverse plaatsen over resilience. De AI Act bepaalt dat hoog-risico systemen resilient moeten zijn tegen kwaadaardige aanvallen. De Cyber Resilience Act (CRA, Verordening cyberweerbaarheid) stelt eisen aan producten en aan processen van fabrikanten om beveiligingsproblemen te voorkomen en, als die zich toch mochten voordoen, deze te melden, op te lossen en er duidelijk over te communiceren. De CE-markering op het product geeft aan dat het voldoet aan de CRA-eisen. De Digital Operational Resilience Act (DORA, Verordening voor ICT-bescherming financiële sector) heeft als doel financiële ondernemingen te beschermen tegen bijvoorbeeld cyberdreigingen en datalekken. Verplichte ethische hacktests en inzicht in de mate van resilience bij ICT-toeleveranciers maken deel uit van het DORA-eisenpakket.
Veerkracht
Veerkracht is het vermogen om met crises om te gaan en hiervan te herstellen. Dat kan van toepassing zijn op bijvoorbeeld een persoon, een groep, een organisatie of zelfs een heel land. Persoonlijke veerkracht uit zich bijvoorbeeld in flexibel reageren op onverwachte gebeurtenissen, het herstellen na stressvolle situaties, het kunnen verwerken van trauma’s.
Veerkracht kan versterkt worden op allerlei manieren, zoals:
- het plaatsen van crises in een nieuw perspectief;
- een focus op zelfontwikkeling in een crisissituatie;
- het nemen van verantwoordelijkheid;
- het vergroten van zelfvertrouwen;
- het behouden van een positieve blik; en
- het onderhouden van goede sociale contacten.
In het grotere verband van een organisatie of een gemeenschap kunnen we vier aspecten (gericht op korte, respectievelijk lange termijn en meeveren, respectievelijk verbeteren) onderscheiden in veerkracht3:
• Spontane eerste hulp
Na een crisis of een ramp ontstaan spontaan allerlei vormen van hulpverlening of andere manieren van werken. Tijdens de coronacrisis gingen restaurants maaltijden thuisbezorgen in plaats van in hun restaurant te serveren.
• Snelle innovaties
Bij herstel na een crisis kun je alles weer in de originele staat terugbrengen maar ook direct verbeteringen doorvoeren. Als je dak door een storm ernstig beschadigd is, is dat wellicht het moment om er meteen zonnepanelen op te leggen.
Verder lezen?
Leden lezen het (online) magazine en alle artikelen, ook bezoek je onze events gratis of met korting.
Ben jij verantwoordelijk voor QHSE binnen jouw organisatie? Dan is Kwaliteit in Bedrijf voor jou dé bron om geïnformeerd te blijven over jouw vakgebied.
Ben je jouw wachtwoord vergeten? Klik dan hier.
