Een voorbeeld: de oefendag verloopt goed. Het team werkt scherp, de begeleider geeft een heldere terugkoppeling en iedereen verlaat de zaal met het gevoel dat er iets is geleerd. Drie maanden later vraagt de auditor wat er sindsdien is veranderd. Er is een presentatie met foto’s, er zijn aantekeningen van een deelnemer en er is een herinnering aan ‘iets met de alarmering’. Wat er concreet is verbeterd, kan niemand aantonen.

Dat is zelden een kwestie van onwil. Het is een kwestie van wat er vooraf is afgesproken. De evaluatie van een crisisoefening en de opvolging daarvan horen in de opdracht te staan, niet in de nabespreking. Hieronder leest u welke vier stukken u laat opleveren, welke termijnen en afspraken over vertrouwelijkheid daarbij horen, en hoe verbeterpunten hun weg vinden naar uw crisisplan.

Waarom de opbrengst in de opdracht hoort

Op de dag zelf is iedereen tevreden. Dat is ook logisch: een goede oefening voelt nuttig. Juist daarom is het moment ná de oefening het zwakste punt in de keten. De energie is weg, de agenda’s lopen weer vol en de begeleider is verder.

Wie de op te leveren stukken pas ter sprake brengt tijdens de nabespreking, onderhandelt op het slechtste moment. Staat het in de opdracht, dan is het geen gunst maar een prestatie die geleverd moet worden – en kunt u aanbiedingen daar vooraf op vergelijken, zoals beschreven in trainingsaanbiedingen vergelijken zonder appels en peren.

Evaluatie crisisoefening: vier op te leveren stukken

Vier stukken volstaan voor de meeste organisaties. Neem ze letterlijk op in de opdracht:

Observatieverslag per rol – wat is per rol waargenomen tijdens de oefening, feitelijk beschreven en niet als oordeel over personen.
Verbeterlijst met eigenaren en termijnen – elk verbeterpunt met één eigenaar en een datum, niet ‘de organisatie’ en ‘op korte termijn’.
Gemeten alarmerings- en reactietijden uit de oefening – wanneer kwam het signaal binnen, wanneer viel het activatiebesluit, wanneer was het team compleet en wanneer lag er een eerste situatiebeeld.
Deelnamebewijs voor audit en toezicht – wie heeft wanneer in welke rol deelgenomen, met de vastlegging die u later nodig heeft.

Het derde stuk wordt het vaakst vergeten en is het meest overtuigend. Tijden zijn feiten. Ze geven de directie een beeld dat niet afhangt van hoe de dag voelde, en ze maken vooruitgang meetbaar bij een volgende oefening.

Levertermijnen en vertrouwelijkheid vastleggen

Spreek per stuk een termijn af. Een werkbare afspraak is dat de gemeten tijden en de belangrijkste bevindingen binnen enkele werkdagen beschikbaar zijn – zolang de oefening nog vers is – en dat het volledige verslag met verbeterlijst binnen enkele weken volgt. Leg ook vast wie het verslag ontvangt, wie het vaststelt en in welke vorm het wordt aangeleverd, zodat u het intern kunt verwerken.

Maak daarnaast expliciete afspraken over vertrouwelijkheid. Observaties gaan over gedrag onder druk, en dat is gevoelig materiaal. Twee afspraken voorkomen de meeste problemen:

Observaties zijn niet herleidbaar tot personen in stukken die buiten het crisisteam circuleren; beschrijf rollen en besluiten, geen namen.
De oefening is geen beoordelingsinstrument – de uitkomsten spelen geen rol in functionerings- of beoordelingsgesprekken, en dat zegt u vooraf tegen de deelnemers.

Deze twee afspraken zijn geen vriendelijkheid maar een voorwaarde voor bruikbare resultaten. Wie bang is afgerekend te worden, neemt tijdens de oefening veilige besluiten – en juist die besluiten leren u niets.

Zonder hertoets is een verbeterpunt een voornemen

Dit is de regel die de opvolging draagt: zonder hertoets is een verbeterpunt een voornemen. Een verbeterlijst die na afloop niet meer wordt aangeraakt, verandert niets aan de crisisorganisatie – hoe zorgvuldig hij ook is opgesteld.

Leg daarom in dezelfde opdracht een toetsmoment vast. Dat hoeft geen volledige tweede oefening te zijn. Vaak volstaat een kort vervolgmoment waarin u per verbeterpunt vaststelt of het is doorgevoerd, en waarin de punten die de opschaling raken opnieuw worden beproefd. Hoe u van bevindingen naar besluiten komt, beschrijven wij in van leerpunten naar besluiten na een oefening.

Van verbeterlijst naar crisisplan – en naar audits

Verbeterpunten verdwijnen meestal niet omdat niemand ze wil oppakken, maar omdat ze nergens thuishoren. Wijs daarom per punt aan waar het landt:

In het crisisplan – bijvoorbeeld een aangepaste escalatiedrempel, een gecorrigeerd mandaat of een aangevulde rolbeschrijving.
In de bereikbaarheidsgegevens – verouderde contactgegevens, ontbrekende vervangers, piketafspraken.
In werkafspraken of systemen – een sjabloon voor het situatiebeeld, een vaste plek voor logging, een alternatief communicatiekanaal.
Op de agenda van de directie – punten die budget, mandaat of een principekeuze vragen.

Spreek af dat een wijziging pas is afgerond als het document is aangepast én de betrokkenen de nieuwe versie kennen. Dat een ongetest plan schijnzekerheid geeft, werkt overigens ook andersom: een plan dat na elke oefening wordt bijgewerkt, wordt stap voor stap betrouwbaarder – zie waarom een ongetest crisisplan schijnzekerheid geeft.

Voor audits en toezicht is vooral de aantoonbaarheid van belang. Onder NIS2 dragen bestuursorganen verantwoordelijkheid voor het risicobeheer van de organisatie; een dossier met verslag, verbeterlijst, gemeten tijden en deelnamebewijs laat zien dat daar invulling aan wordt gegeven. Dit artikel geeft geen juridisch advies – stem af met uw compliance- of juridische functie wat in uw situatie precies nodig is.

Volgende stap: de opbrengst vooraf vastleggen

Wilt u dat na de oefening vaststaat wat er verandert? In een crisismanagementtraining leggen wij vooraf vast welke stukken u ontvangt en wanneer, werken we met uw eigen rollen, processen en scenario’s en toetsen we bij een vervolgmoment of de verbeterpunten zijn ingedaald.

Veelgestelde vragen

Hoe uitgebreid moet een observatieverslag zijn?

Uitgebreid genoeg om besluiten en momenten te kunnen nalezen, kort genoeg om gelezen te worden. Een feitelijke lijn per rol, aangevuld met de belangrijkste knelpunten en de gemeten tijden, is in de praktijk voldoende.

Wie is eigenaar van de verbeterlijst?

Wijs één interne eigenaar aan, meestal de crisiscoördinator of de business continuity manager. De aanbieder levert de lijst, maar de opvolging is en blijft een interne verantwoordelijkheid.

Mogen wij het verslag delen met de auditor?

Dat kan, mits de observaties niet herleidbaar zijn tot personen. Maak daarom onderscheid tussen een intern document voor het crisisteam en een versie die geschikt is om te delen. Leg die tweedeling vooraf vast in de opdracht.

Hoe lang bewaren wij deze stukken?

Stem de bewaartermijn af met uw eigen documentbeleid en met wat toezichthouders of certificeringen van u vragen. Belangrijker dan de termijn is dat de stukken vindbaar zijn op één plek, samen met de versie van het crisisplan die erbij hoort.