Plan bedrijfscontinuïteit MKB: wat, waarom en hoe

1. Plan bedrijfscontinuïteit is toch niet voor kleinere bedrijven?

Kleine bedrijven hebben toch niet een bedrijfscontinuïteitsplan nodig? Deze vraag stamt uit een tijdperk waarin de exercitie om te komen tot een bedrijfscontinuïteitsplan steevast leidde tot een heel dik pak papier. Gelukkig is dat verleden tijd. Maar continuïteit is in deze tijd van recessie en gebrek aan vertrouwen belangrijker dan ooit. Want als jouw bedrijf omvalt, dan hebben jouw klanten waarschijnlijk een probleem (zij krijgen niet waarop ze hebben gerekend ), net als jouw toeleveranciers (zij krijgen niet meer betaald voor wat ze geleverd hebben). Het is voor deze partijen dan niet interessant of een brand, een gifwolk, de energiecrisis of een gebrek aan liquiditeit de oorzaak is, het effect is in alle gevallen voor hen hetzelfde. Als je voor hen belangrijk bent, dan willen ze van je weten hoe je voorkomt dat een calamiteit jouw continuïteit in gevaar brengt. Juist het MKB is immers vaak afhankelijk van een beperkt aantal klanten en toeleveranciers en dat brengt grote kwetsbaarheid met zich mee.
Bedrijfscontinuïteit gaat over bedrijfsrisico’s waardoor het voortbestaan van jouw bedrijf op het spel staat. En dus over de vraag of stakeholders je wel of niet kunnen beschouwen als een betrouwbare zakenpartner. Veel organisaties zijn door de crisis al jaren bezig te bezuinigen op preventie. Natuurlijk begrijpelijk. Als je zich echter niet wapent tegen calamiteiten, dan zult je op zijn minst ervoot moeten zorgen dat je verder kunt, als  calamiteiten daadwekelijk optreden. Hoe, dat leg je vast in jouw bedrijfscontinuiteitsplan. Daarmee maakt je ook dat risico weer beheersbaar en je dekt er je in elk geval aansprakelijkheidsrisico’s mee af.
In dit artikel zetten we kort uiteen wat bedrijfscontinuïteit anno nu inhoudt voor een MKB-bedrijf, zodat je zelf kunt bepalen of het voor je zinvol is om actie te ondernemen. 

2. Begrippenkader bedrijfscontinuïteit

Het bedrijfscontinuïteitsplan is van toepassing op calamiteiten en is gericht op het voorkomen van (niet te verzekeren) gevolgschade. De volgende begrippen zijn hierbij van belang:

• Een calamiteit is een voorval dat langdurige uitval van resources en voorzieningen veroorzaakt, en daardoor tot gevolg heeft dat kritische bedrijfsprocessen van de organisatie worden verstoord en de dienstverlening aan de afnemers stagneert. Voorbeelden zijn brand, overstroming, uitval van elektriciteit of ICT, afzetting van de omgeving door de autoriteiten, een calamiteit of faillissement bij een leverancier enzovoort.
• Het bedrijfscontinuïteitsplan richt zich dus niet op het voorkomen van calamiteiten (preventie is verankerd in de beheerprocessen en in contracten met derden ), ook niet op de bestrijding van de calamiteit en het voorkomen van directe schade (dit is uitgewerkt in het BHV-plan en hiertegen is de organisatie verzekerd), maar op het minimaliseren van de gevolgschade van een calamiteit, die ontstaat doordat tijdkritische bedrijfsprocessen stil komen te liggen.

In het bedrijfscontinuïteitsplan gaat het dus niet om de calamiteit zelf, maar om het effect van een calamiteit. Dat vereenvoudigt de zaak aanzienlijk, want je kunt zich dan richten op de beheersing van uitval van:

• medewerkers;
• (toegang tot) gebouwen;
• nutsvoorzieningen inclusief telecom;
• ICT-infrastructuur en data;
• toeleveranciers en markten;
• vertrouwen en/of reputatie. 

Uiteraard is het zeker voor het MKB niet nodig om met uitgebreide checklists en methodes te werken. De DGA is vaak als geen ander in staat risico’s in te schatten voor juist zijn situatie. (Zie ook ‘Maak business continuity toch niet zo complex’.)

3. Risico’s door gebrek aan vertrouwen

Een gebrek aan vertrouwen vormt  in toenemende mate een risico. Steeds meer partijen gaan garanties vragen aan zakenpartners, voordat zij contracten afsluiten. Voor je heeft dit mogelijk tot gevolg dat:

• u niet voldoet aan eisen van afnemers met inkoopvoorwaarden en duurzaamheidscriteria, zoals onder andere overheden en grote bedrijven, waarin steeds vaker een bedrijfscontinuïteitsplan wordt gevraagd;
• u voor jouw toeleveranciers een bedrijfsrisico vormt en zij zich dus niet te veel afhankelijk willen maken van je als afnemer;
• u niet voldoet aan regelgeving of aan de eis van de toezichthouder die aan je of jouw klanten wordt gesteld en waarin bedrijfscontinuïteit als onderdeel van jouw risk management systeem wordt benoemd.

Vaak is dit een kwestie van slikken of stikken. Zo heeft Albert Heyn van zijn vaste toeleveranciers een bedrijfscontinuïteitsplan geëist.

Daarnaast zijn natuurlijk ook risico’s te benoemen als:

• belemmering van internationale groei, omdat goede value added resellers moeilijk te krijgen zijn;
• bemoeilijking van het betreden van markten met grote spelers, omdat het vaak gaat om grote bedrijven of overheidsinstanties met tal van toezichthouders en regelgevers;
• ketenaansprakelijkheid, als jouw organisatie direct te maken heeft met de eindklant;
• mislopen van opdrachten via aanbestedingen;
• contracten met derden, die vaak geen calamiteitenparagraaf bevatten;
• uw standaardleveringsvoorwaarden, als die geen juridisch houdbare uitsluitingen of overmachtsituaties bevatten, in geval van een calamiteit; dit geldt zeker als jouw bedrijf moet tekenen voor standaardinkoopvoorwaarden van de klant.

Maar angst is een slechte raadgever. Het is aan je om deze risico’s te beoordelen. Ondernemen is tenslotte risico’s nemen en je bent de ondernemer. In onze veranderende wereld zijn echter veel risico’s grotendeels nieuw, doordat vertrouwen geen vanzelfsprekendheid meer is. 

4. Globaal stappenplan bedrijfscontinuïteit

Zoals gezegd, hoeft het opzetten van een bedrijfscontinuïteitsplan niet zo’n ingewikkelde exercitie te zijn. In essentie moet je een drietal stappen nemen:

• het uitvoeren van een risicoanalyse, om mogelijke uitwijkscenario’s te bepalen met als invalshoeken:
  • uw kritische bedrijfsprocessen;
  • relevante dreigingen voor jouw bedrijfscontinuïteit.
    Vervolgens is het aan je om op basis van een simpele kostenafweging te bepalen of je dit risico al dan niet accepteert (zie ook ‘Inventarisatie diensten, dreigingen en processen in jouw Business Continuity Plan BCP’).
• opstellen van een draaiboek voor het geval een calamiteit optreedt. Zo’n draaiboek is grotendeels standaard, en moet alleen nog op jouw situatie afgestemd worden.
• opstellen van een implementatieplan met als kern de structurele en eenmalige acties die nodig zijn om het draaiboek niet alleen nu, maar ook in de toekomst te laten werken.

Al met al vergt het maken van een bedrijfscontinuïteitsplan voor een MKB-bedrijf meestal een week tijd van één persoon. Dat is natuurlijk te verkiezen boven een situatie waarin al jouw medewerkers tengevolge van een calamiteit een dag met de armen over elkaar moeten blijven zitten (laat staan meer). je bent hiervoor niet verzekerd. Maar je kunt natuurlijk als MKB’er ook besluiten dat risico te accepteren.