Business impact analyse: welke processen zijn écht tijdkritisch?

Vraag een directie welke processen kritiek zijn en u krijgt binnen een minuut een lijst. Vraag daarna hoeveel dagen elk van die processen stil mag liggen voordat het bedrijf klanten verliest, en het wordt stil.

Dat verschil is precies waar een business impact analyse over gaat. Een business impact analyse bepaalt niet wat belangrijk voelt, maar wat tijdkritisch is: welke activiteiten binnen welke termijn hersteld moeten zijn voordat de schade onomkeerbaar wordt. Het korte antwoord op de vraag waarom u er een nodig heeft: zonder die analyse beschermt uw continuïteitsplan de processen die het meest zichtbaar zijn, niet de processen die uw organisatie het snelst omver duwen.

Wat een business impact analyse is — en wat het niet is

Een business impact analyse (BIA) is een gestructureerde analyse van de gevolgen van uitval over tijd. U bepaalt per activiteit hoe de schade oploopt naarmate de onderbreking langer duurt, welke middelen die activiteit nodig heeft, en binnen welke termijn hervatting moet plaatsvinden.

Een BIA is geen risicoanalyse. Dat onderscheid wordt vaak door elkaar gehaald en het kost organisaties geld. Een risicoanalyse kijkt naar de oorzaak: hoe waarschijnlijk is een brand, een cyberaanval, een leveranciersuitval? Een business impact analyse kijkt naar het gevolg en negeert de oorzaak bewust. Voor de vraag hoe lang uw facturatie stil mag liggen maakt het niet uit of de oorzaak ransomware of een stroomstoring is.

Die scheiding is waardevol. Oorzaken zijn oneindig en veranderen elk jaar. Gevolgen zijn eindig en veranderen zelden. Daarom veroudert een goede BIA veel langzamer dan een risicoanalyse — en daarom is het het fundament waar de rest van uw bedrijfscontinuïteit op rust.

Waarom continuïteitsplannen de verkeerde processen beschermen

Organisaties beschermen instinctief wat zichtbaar is: de productielijn, de webshop, het datacenter. Dat zijn de dingen waar mensen naar wijzen. Maar de processen die een bedrijf het snelst in de problemen brengen zijn vaak onzichtbaar en klein.

Een voorbeeld dat in veel organisaties opduikt: de webshop ligt eruit en iedereen rent. De salarisadministratie ligt eruit en niemand merkt het — tot dag negentien, wanneer duidelijk wordt dat de betaalrun een externe partij nodig heeft die zelf vijf werkdagen aanlooptijd vraagt. Zichtbaarheid en tijdkritiek zijn twee verschillende dingen.

Zonder business impact analyse verdeelt een organisatie haar herstelbudget op basis van aandacht. Met een BIA verdeelt ze het op basis van tijd. Dat is het hele verschil.

De vier uitkomsten die een business impact analyse moet opleveren

Een BIA die deze vier dingen niet oplevert, is een inventarisatie geweest en geen analyse.

1. MTPD — de maximaal aanvaardbare uitvalduur. De termijn waarna de schade aan de organisatie niet meer te herstellen valt. Dit is een directiebesluit, geen technische parameter.
2. RTO — de hersteltermijn die u nastreeft. Altijd korter dan de MTPD; het verschil is uw veiligheidsmarge. Een RTO die gelijk is aan de MTPD betekent dat elke vertraging meteen fataal is.
3. RPO — het aanvaardbare dataverlies. Hoeveel werk mag u kwijtraken? Vier uur transacties opnieuw invoeren is een ander gesprek dan vier weken.
4. Afhankelijkheden. Per activiteit: mensen, systemen, locaties, leveranciers, data, vergunningen. Dit is het onderdeel waar de verrassingen zitten.

De internationale norm voor bedrijfscontinuïteitsmanagement, ISO 22301:2019, vraagt om een gedocumenteerd proces waarin de organisatie de impact van verstoring over tijd analyseert en per activiteit hersteltermijnen vaststelt. In Nederland is die norm overgenomen als NEN-EN-ISO 22301:2019, die de editie uit 2012 vervangt. Een praktische, kosteloos beschikbare methodiek biedt daarnaast de BSI-Standard 200-4, die het Duitse Bundesamt für Sicherheit in der Informationstechnik op 14 juni 2023 in definitieve vorm presenteerde en die met een stufenmodel werkt voor organisaties van elke omvang. Het zijn kaders, geen wetten — en geen van beide vervangt het gesprek dat de analyse zelf oplevert.

Vijf misverstanden over de business impact analyse

„Dat is een IT-oefening.” De BIA bepaalt de eisen; IT levert de oplossing. Wie de analyse aan IT overlaat, krijgt hersteltermijnen die zijn afgeleid van wat technisch haalbaar is, niet van wat het bedrijf nodig heeft. Dat is de omgekeerde volgorde.

„Alles is kritiek.” Als alles kritiek is, is niets geprioriteerd. Een BIA die geen pijnlijke keuze afdwingt, is niet af. De toets: als u morgen maar drie processen kunt herstellen, welke zijn dat — en wie zegt dat tegen de vierde afdelingsmanager?

„We hebben het vorig jaar gedaan.” Een BIA veroudert door reorganisaties, systeemmigraties, uitbesteding en personeelswissel. Het document blijft geldig; de werkelijkheid eronder niet.

„De afdelingen weten zelf het beste wat kritiek is.” Ze weten het beste wat hún proces doet. Vrijwel niemand overschat zijn eigen belang bewust, maar vrijwel iedereen doet het. Zonder tegenspraak levert een uitvraag per afdeling een lijst op waarin alles binnen 24 uur terug moet zijn.

„Een business impact analyse is een compliance-verplichting.” Voor sommige sectoren speelt regelgeving mee, maar dat is de zwakste reden om er een te doen. De sterke reden is dat u anders niet weet waar uw geld het meest oplevert.

Waarschuwingssignalen: uw BIA is een invuloefening geworden

• Meer dan de helft van de processen heeft een RTO van 24 uur of korter.
• De RTO’s zijn nooit getoetst aan wat herstel feitelijk kost of duurt.
• Geen enkele afdeling heeft bij de laatste ronde een lagere prioriteit gekregen.
• De analyse is uitgevraagd per e-mail, niet in gesprek.
• Niemand kan aanwijzen welk directiebesluit uit de vorige BIA is voortgekomen.
• De afhankelijkhedenlijst noemt systemen, maar geen mensen en geen leveranciers.

Drie of meer herkenningen betekent niet dat het werk slecht is gedaan. Het betekent dat u een document heeft en geen besluit.

In zes stappen naar een bruikbare business impact analyse

1. Begin bij producten en diensten, niet bij afdelingen. Wat levert u aan wie, en wat gebeurt er als dat stopt? Afdelingen zijn een organisatiekeuze; leveringen zijn de werkelijkheid.
2. Werk de schade uit over tijd, niet als één getal. Vier uur, één dag, één week, één maand. De curve is de informatie — het punt waarop de lijn steil omhoog gaat is uw MTPD.
3. Laat de directie de MTPD vaststellen. Dit is geen analistenwerk. Het is een uitspraak over welke schade de organisatie accepteert, en die hoort bij wie daarvoor tekent.
4. Leid de RTO af, en toets hem. Vraag door: wat kost het om dit binnen die termijn te herstellen, en heeft iemand dat ooit gedaan? Een ongetoetste RTO is een wens.
5. Breng afhankelijkheden tot buiten de deur in kaart. Inclusief leveranciers, en inclusief de leveranciers van die leveranciers waar u van afhankelijk bent. Hier vindt u de single points of failure die in geen enkel systeem staan.
6. Toets de uitkomst in een scenario. Pas onder tijdsdruk blijkt of de prioritering standhoudt als twee A-klanten tegelijk bellen.

Stap één tot en met vijf zijn intern goed te doen. Stap zes is waar het schuurt — en waar de eerste vijf stappen hun waarde bewijzen of verliezen.

Waarom een interne business impact analyse vaak te optimistisch uitvalt

Wie zijn eigen proces beoordeelt, beoordeelt ook zijn eigen belang. Dat is geen kwade wil; het is hoe organisaties werken. De afdelingsmanager die een RTO van 48 uur accepteert, accepteert impliciet dat zijn werk twee dagen kan wachten — en dat voelt als een uitspraak over zijn positie.

Daar komt bij dat interne analyses zelden tegenspraak organiseren. De vragenlijst gaat rond, de antwoorden komen terug, iemand telt op. Niemand vraagt: u zegt vier uur, maar wanneer heeft u dat voor het laatst gehaald? De Nederlandse Academie voor Crisismanagement ziet in de praktijk dat het merendeel van de waarde van een BIA niet in de uitvraag zit, maar in het doorvragen daarna.

Een business impact analyse is pas af op het moment dat iemand het niet eens is met de uitkomst en dat verlies accepteert.

Externe begeleiding levert vooral drie dingen: iemand die de aannames niet deelt, iemand die de onprettige vraag mag stellen zonder er maandag mee verder te moeten, en een referentiekader uit andere organisaties die dezelfde afweging al hebben gemaakt.

Wilt u weten of uw huidige analyse standhoudt onder druk? Een crisisgereedheid audit toetst uw BIA tegen de werkelijkheid van uw organisatie.

Wat een goede crisisgereedheid audit toevoegt

Een realistisch voorbeeld (fictief ter illustratie)

Onderstaand voorbeeld is geconstrueerd en beschrijft geen bestaande opdracht.

Een zakelijke dienstverlener met circa 400 medewerkers voert een business impact analyse uit. De uitkomst van de eerste ronde: veertien van de negentien processen krijgen een RTO van 24 uur. De directie vindt dat prettig klinken en tekent.

In de toetsingsronde blijkt het anders te liggen. Herstel binnen 24 uur veronderstelt dat drie specifieke mensen beschikbaar zijn; twee daarvan zitten in hetzelfde team, en één is de enige met beheerrechten op het facturatiesysteem. Voor het proces met de hoogste omzetimpact bleek de werkelijke hersteltermijn geen 24 uur maar elf werkdagen — niet vanwege techniek, maar omdat een externe accountantsverklaring nodig was die niemand in de keten had meegeteld.

De opbrengst was geen dikker rapport. Het was één besluit: twee processen kregen een langere RTO, één proces kreeg extra bemensing, en de beheerrechten werden belegd bij drie mensen in plaats van één.

Checklist: tien vragen voor uw directie

1. Welke drie processen herstellen we als eerste als we moeten kiezen?
2. Wie heeft die volgorde vastgesteld — en wanneer?
3. Wat is per kritiek proces de maximaal aanvaardbare uitvalduur?
4. Is die termijn ooit getoetst, of alleen opgeschreven?
5. Hoeveel dataverlies accepteren we per proces?
6. Welke processen hangen aan één persoon?
7. Welke leveranciers zitten in het herstelpad van onze top drie?
8. Wat is er veranderd sinds de vorige analyse — reorganisaties, migraties, uitbesteding?
9. Welk directiebesluit is uit de vorige business impact analyse gekomen?
10. Wie merkt het als de analyse niet meer klopt?

Veelgehoorde bezwaren

„Dit kost ons maanden.” Een eerste bruikbare ronde op hoofdlijnen kost weken, geen maanden — mits u bij leveringen begint en niet bij een volledige processeninventarisatie. Volledigheid is de vijand van bruikbaarheid.

„We hebben al een risicoanalyse.” Die beantwoordt een andere vraag. De risicoanalyse zegt wat er kan gebeuren; de business impact analyse zegt wat u dan als eerste overeind zet. U heeft ze allebei nodig, en ze vervangen elkaar niet.

„Onze organisatie is te klein.” Kleinere organisaties hebben minder mensen per proces en dus vaker één-persoonsafhankelijkheden. De analyse is korter, niet minder nuttig.

„Dat weten we toch wel.” Meestal weet iemand het. De vraag is of die persoon in de crisisorganisatie zit en of het besluit is vastgelegd voordat het onder druk genomen moet worden.

Prioriteren doet u vooraf, niet tijdens de verstoring

Een verstoring dwingt uw organisatie tot kiezen. Dat gebeurt hoe dan ook — de enige variabele is of die keuze vooraf is gemaakt door mensen met mandaat en overzicht, of ter plekke door wie op dat moment het hardst praat.

Een business impact analyse is het instrument dat die keuze naar voren haalt, naar een moment waarop hij niets kost. Dat is de hele opbrengst: niet een rapport, maar een besluit dat al genomen is als het ertoe doet.

Uw huidige analyse laten toetsen

De Nederlandse Academie voor Crisismanagement begeleidt directies, BC-managers en risicoverantwoordelijken bij het omzetten van continuïteitsdocumentatie in werkbare prioriteiten. Wij werken met uw eigen leveringen en afhankelijkheden, niet met een standaardmodel, en benoemen wat niet klopt in plaats van het glad te strijken.

Een oriënterend gesprek duurt 30 minuten en levert twee dingen op: een beeld van waar uw analyse het meest waarschijnlijk te optimistisch is, en de vorm — audit, herziening van uw crisisplannen of toetsing in een simulatie — die bij u het meeste oplevert.

Oriënterend gesprek aanvragen

Veelgestelde vragen over de business impact analyse

Wat is een business impact analyse?

Een business impact analyse is een gestructureerde analyse van de gevolgen van uitval over tijd. Per activiteit bepaalt u hoe de schade oploopt naarmate een onderbreking langer duurt, welke middelen die activiteit nodig heeft en binnen welke termijn hervatting moet plaatsvinden. De analyse levert vier uitkomsten op: de maximaal aanvaardbare uitvalduur (MTPD), de hersteltermijn (RTO), het aanvaardbare dataverlies (RPO) en de afhankelijkheden per activiteit. Het is daarmee het fundament onder elk continuïteitsplan.

Wat is het verschil tussen een BIA en een risicoanalyse?

Een risicoanalyse kijkt naar de oorzaak: hoe waarschijnlijk is een bepaalde gebeurtenis en hoe erg is die? Een business impact analyse kijkt naar het gevolg en negeert de oorzaak bewust. Voor de vraag hoe lang uw facturatie stil mag liggen maakt het niet uit of de oorzaak ransomware, brand of leveranciersuitval is. Beide analyses zijn nodig en vervangen elkaar niet: de risicoanalyse stuurt preventie, de BIA stuurt prioritering en herstel.

Wie moet de MTPD vaststellen?

De directie of het bestuur. De maximaal aanvaardbare uitvalduur is geen technische parameter maar een uitspraak over welke schade de organisatie bereid is te accepteren voordat de continuïteit onherstelbaar wordt aangetast. Wanneer analisten of IT deze termijn invullen, ontstaat een norm die niemand met mandaat heeft bekrachtigd — en die in een echte verstoring dus ook niet standhoudt zodra er geld of klanten tegenover staan.

Hoe vaak moet een business impact analyse worden herzien?

Er is geen vaste termijn; de zinvolle frequentie hangt af van hoe snel uw organisatie verandert. Een werkbaar uitgangspunt: jaarlijks een lichte toets, en een volledige herziening bij elke wezenlijke verandering — reorganisatie, systeemmigratie, uitbesteding, overname of een grote wisseling in de directie. De analyse veroudert namelijk niet door tijd maar door verandering in mensen, systemen en leveranciers.

Vraagt ISO 22301 om een business impact analyse?

Ja. ISO 22301:2019 vraagt organisaties om een gedocumenteerd proces waarin zij de impact van verstoring over tijd analyseren, de activiteiten identificeren die producten en diensten ondersteunen, en per activiteit vaststellen binnen welke termijn hervatting moet plaatsvinden. In Nederland is de norm overgenomen als NEN-EN-ISO 22301:2019. Let op: de norm is een kader, geen wet, en certificering is een keuze — de analyse zelf is ook zonder certificeringsambitie waardevol.

Hoe lang duurt een business impact analyse?

Dat hangt af van omvang, complexiteit en hoeveel er al ligt. Een eerste bruikbare ronde op hoofdlijnen is bij de meeste organisaties een kwestie van weken, mits u begint bij producten en diensten in plaats van bij een volledige inventarisatie van alle processen. Volledigheid is daarbij de grootste valkuil: een analyse die alles meeneemt wordt zelden afgerond en nog zeldzamer gebruikt.

Kunnen we de BIA zelf uitvoeren?

De uitvraag en documentatie zijn intern goed te doen. Het knelpunt zit in de toetsing: wie zijn eigen proces beoordeelt, beoordeelt ook zijn eigen belang, en interne analyses organiseren zelden tegenspraak. Het resultaat is een lijst waarin vrijwel elk proces binnen 24 uur terug moet zijn. Externe begeleiding voegt vooral waarde toe bij het doorvragen en bij het afdwingen van de keuze die intern gevoelig ligt.

Wat levert een business impact analyse concreet op?

Een bruikbare business impact analyse eindigt niet in een rapport maar in een prioritering: welke activiteiten als eerste hersteld worden, binnen welke termijn, met welke middelen en wie daarvoor verantwoordelijk is. Daarnaast een expliciete lijst van afhankelijkheden en single points of failure, en een overzicht van de punten waarop de gewenste hersteltermijn en de feitelijke herstelcapaciteit uit elkaar lopen. Dat laatste overzicht is doorgaans het meest waardevolle onderdeel.