Business continuity management Archieven

Zijn pandemieplannen een ding van het verleden? Elke organisatie moet regelmatig haar BCP herbezien. Een van de scenario’s is pandemie. Pandemieplannen waren het heet van de naald in 2006 tem 2009. Toen was er de vogelgriep, H1N1, varkensgriep, Mex**** griep, etc. Zijn deze dingen een zaak van het verleden? Of hoort een pandemieplan toch thuis in een goed en deugdelijk BCP? Statistisch gezien is er een pandemie elke 30 jaar…In deze bijdrage geef ik mijn eigen mening, niet die van enige organizatie.Auteur: Manu Steens InhoudAlle bedreigingen techniekDaarom denk ik dat het pandemieplan als een scenario misschien nuttig blijft.“Verlies van personeel voor een langere tijd”Zoals verklaard werd bij de Titanic: “We hebben geen training nodig met de reddingsboten, want dit schip is onzinkbaar !”Wat vaak ontbreekt“Waarom toch daarvoor eens ‘diep’ plannen?”Wat we typisch denken Alle bedreigingen techniek Wanneer je een risicoanalyse maakt en je beziet een pandemie als een echte bedreiging, dan moet je een pandemieplan maken. Zo zegt de common sense binnen BCM op het eerste gezicht. Hetzelfde geldt voor stakingen, bomalarm, fraude, elektriciteitspannes, ICT-onbeschikbaarheden… en die plannen moeten telkens met alles rekening houden. Indien je een “alle bedreigingen” benadering neemt naar pandemieplannen toe zou je een “verlies van sleutelpersoneel” als case kunnen nemen. En dan moet je een antwoord vinden op het verlies van dienstbaarheid, alle verliezen, door het hebben van een strategie die een uitkomst biedt als deze mensen (tijdelijk) onbeschikbaar zijn. Deze “Verlies van sleutelpersoneel”-aanpak maakt de zaken zowel eenvoudiger als complexer. Het lijkt op het eerste zicht eenvoudiger. Maar men mag niet vergeten dat een dergelijk maneuver in de scenario’s een verschil maakt in de resultaten en de nodige benadering van de problematiek. Er zijn verschillen in impact en oplossingen naargelang je “verlies van sleutelpersoneel” gelimiteerd is tot de eigen afdeling, en de rest van de organisatie en de wereld doen aan business as usual, (zoals bij een geslaagde bomaanslag op uw bedrijf) of wijd verbreid is en de rest van de wereld heeft ook last van “verlies van sleutelpersoneel” (zoals bij een pandemie). Daarom denk ik dat het pandemieplan als een scenario misschien nuttig blijft. Maar hoe? Elk jaar is er een nieuwe griep die doorbreekt, en oude stammen baren soms langer dan een jaar zorgen. Daarom zijn maatregelen tegen verspreiding van ziekten en voorkomen van het krijgen van een besmetting belangrijk zolang er geen vaccin is, (maar ook als het er al wel is). Ook vaccins tegen nieuwe soorten van griep zijn belangrijk voor het personeel. Strategieën zoals vertrouwen stellen in mensen door hen te laten thuiswerken lukt inmiddels in de grotere organisaties. Maar ook daar is het niet triviaal en blijft een pandemieplan belangrijk voor hen die thuis geconfronteerd worden met zieken. Maar daaraan merk je ook dat het plan minder belangrijk is dan het plannen zelf. Zo kom je tot bijv. voorlichting voor mensen hun gedrag thuis, aanbevelingen hoelang ze thuis moeten blijven na de ziekte gehad te hebben, dus HR-betrokkenheid zit er ook voor iets tussen. Bovendien kan dit laatste ook gelden als ze voor een familielid zorgen. “Verlies van personeel voor een langere tijd” Zou het scenario beter zijn “Verlies van personeel voor een langere tijd”? (bijv. meer dan 2 weken) in tegenstelling voor een korte tijd. Het verschil met korte termijn afwezigheid is dat wellicht daar een her-prioriteren nodig is, terwijl bij lange termijn afwezigheden beter een deel van het werk opgeheven wordt. Er zijn dus twee zaken te doen: de business moet plannen maken voor lange termijn verlies van personeel en hoe ze dat opvangen, en het BCM team moet een pandemie-hygiëne-plan opmaken. Dit zijn twee verschillende dingen. Het pandemie-hygiëne-plan vertelt de medewerkers hoe ze zich moeten gedragen en geeft gedragsregels en hygiëne advies etc. In die opvatting is het geen continuïteitsplan. Het generieke plan van verlies van medewerkers voor langere tijd kan ook getriggerd worden bij een staking of onrust maar is identiek ongeacht de trigger (inclusief een pandemie). Zoals verklaard werd bij de Titanic: “We hebben geen training nodig met de reddingsboten, want dit schip is onzinkbaar !” Is een pandemie alleen maar een verlies van zieke mensen? Niet dus. Bij de Spaanse griep was er een impact op veel meer. Paniek waarde rond, gezonde mensen bleven thuis en verzorgden hun zieken, anderen waren bang om naar het werk te gaan, er was indirecte impact op de infrastructuur door gebrek aan onderhoud… Het gaat dus verder dan mensen niet op het werk hebben. Het plan moet rekening houden met indirecte implicaties van de gebeurtenis. Leveranciers die niet kunnen leveren, klanten die niet kunnen afnemen, medische zorginstellingen overbevolkt, de airco die uitvalt, langdurige onderbrekingen van IT en telefonie… Je moet het dus niet klein bezien, je moet het hele plaatje bekijken. In een echte virulente pandemie-plaag is de kans zeer groot op verlies van faciliteiten, IT, infrastructuur,… Als je een vijftal generieke scenario’s maakt met daarbovenop een hygiëne plan voor pandemieën ben je dus eigenlijk voorbereid op elke pandemie. De afhankelijkheid van airco bijvoorbeeld kan wellicht best gepland worden als een afhankelijkheid van de leverancier / hersteldienst na verkoop. En de procedure voor dit scenario zou een script-item moeten hebben dat zegt “indien de airco een probleem heeft doe X en als X niet mogelijk is doe Y”. Wat vaak ontbreekt Wat vaak ontbreekt is de beschrijving van wanneer je moet beslissen om je organisatie of een deel er van tijdelijk te sluiten, te wijten aan externe factoren. Globale organisaties, wellicht ook regio-wijde organisaties kunnen hun operaties verplaatsen naar gebieden zonder impact. Maar bij een pandemie, is dit niet eenvoudig realiseerbaar. Dus de vraag is: wanneer cancel je een contract? Wanneer schort je de dienstverlening op? Dit hangt af van de noden van de klant: als hij te ziek is om de diensten van de organisatie af te nemen, kan opschorten van bepaalde diensten een uitkomst zijn. Of functioneren op een veel lager niveau. En wanneer zal de eigenaar van een gebouw het gebouw sluiten omdat er onvoldoende beveiliging is? Of voor onderhoud? En dan later: hoe herstart je de zaak als de piek van de pandemie voorbij is? Hiervoor zijn testen nuttig. “Waarom toch daarvoor eens ‘diep’ plannen?” Ten voordele van het maken van een volledig en diep pandemieplan is het feit dat je een hoop zaken moet beschouwen die alles te maken hebben met waar het in een crisis om draait: verlies van mensen, falen van leveringen, verlies van gebouwen, verlies van faciliteiten, verlies van ICT, enz. Het verschil met een generiek worst case plan is dat het uitgaat van een specifieke oorzaak. Terwijl in BCM het draait rond de gevolgen en niet de oorzaken. Maar dat is dan weer niet anders dan voor een plan voor een bommelding, of een evacuatieplan voor brand, of een elektriciteitspanne, waar we toch van mogen hopen dat er iets voor in het BCP staat of preventieve maatregelen genomen zijn. En dat het diep ingaat op alle gevolgen, om zo de weerbaarheid te verhogen. Maar als we het er over eens zijn dat het BCP meer gevolgen-georiënteerd moet zijn dan oorzaak-georiënteerd waarom willen we dan meerdere plannen zoals het pandemieplan er een is? Die plannen gaan zeer grote overlap met elkaar kennen. Voor je het weet loop je het risico op “overdadige planning” waar je niet meer aan uit geraakt. En hoe meer plannen we hebben, die op het schab terecht komen, des te meer moeten we die onderhouden. Wat we typisch denken Typisch denken we dat alle infrastructuur en spoeddiensten beschikbaar zullen zijn. Typisch denken we dat het gewoon gaat over het niet kunnen werken van mensen. De BCP’s missen gewoonlijk het feit dat bij een grote pandemie (of biologische aanval) de politie geïmpacteerd is, de brandweer, de ambulancediensten, energiebedrijven, grootwarenhuizen, kleine winkels, waterwerken, rioolwerkers,… Wat als de steden en lokale gemeentediensten geïmpacteerd zijn? Hoelang duurt het voor uw elektriciteitsgenerator moet bijgetankt worden, als dat überhaupt nog kan… En wat als het brandalarm en de airco niet aangesloten zijn op de noodgenerator? Wil je echt dat de mensen komen werken bij een pandemie als je geen brandweermensen kan alarmeren? Of als de politie gegarandeerd haar werk niet ten vollen kan doen? Het voordeel is een uitstekende denkoefening te maken. Conclusie In mijn opinie, als ik deze gedachten aan me laat voorbij gaan, is er veel te zeggen voor modulaire scenario’s die op elkaar ingrijpen, aangevuld met details voor specifieke oorzaken. De vragen die men zich moet stellen en beantwoorden met generieke scenario’s zijn: Wat als het gebouw onbeschikbaar is Wat als de faciliteiten onbeschikbaar zijn Wat als personeel onbeschikbaar is bij ons / overal; korte/lange tijd Wat als ICT onbeschikbaar is Hoe werken deze problemen samen zoals bijvoorbeeld in een pandemie. Daarnaast stel je dan voor de belangrijkste bedreigingen (volgens de risicoanalyse) extra adviezen op, zoals een pandemie-hygiëne-plan voor infectieziekten etc. Dus: “Plan for the worst, hope for the best, and handle everything in between” !