Zijn we veerkrachtig, weerbaar en wendbaar?

'Business Continuity' – ofwel bedrijfscontinuïteit – kan worden omschreven als: het vermogen van een organisatie om te plannen voor en te reageren op incidenten met als direct gevolg een ernstige verstoring van de organisatie, om zodoende te waarborgen dat men operationeel op minimaal een van tevoren vastgelegd niveau kan functioneren.

BCM is het complete managementproces dat mogelijke gevaren met betrekking tot de continuïteit van de bedrijfsvoering vaststelt en een kader schept voor het opbouwen van weerstandsvermogen en veerkracht (resilience). Door effectief te reageren worden de organisatiebelangen en de reputatie, maar ook het merk bewaakt. Daarnaast wordt de uitvoering van de waardecreërende activiteiten gewaarborgd[1].

Om BCM vorm en inhoud te geven is een uitgebreide collectie van normen ontstaan. Er worden business continuity plannen opgesteld en business continuity managementsystemen gebouwd, waarmee een organisatie zijn continuïteit poogt te borgen[2]. In dit artikel gaat het vooral om de kernbegrippen en de relatie daartussen. 

Resilience

Resilience is eigenlijk een paraplubegrip voor veerkracht en weerbaarheid (ook wel weerstandsvermogen genoemd). We kunnen het definiëren als het vermogen van mensen, organisaties en systemen om verstoringen te voorkomen, in onverwachte situaties te kunnen blijven functioneren en het effectief herstellen van verstoringen.

De eerste toepassingen van resilience zien we in de wereld van industrie, technologie en engineering waar complexe systemen bestand moeten zijn tegen onverwachte gebeurtenissen. Zo moet een brug bestand zijn tegen zware stormen. Het elektriciteitssysteem is (deels) redundant uitgevoerd om te voorkomen dat bij een calamiteit grote delen van het land zonder stroom komen te zitten.

In Tokio hebben de lagergelegen delen van de stad regelmatig last van flinke overstromingen. Het Tokyo Resilience Project is een enorm ondergronds complex met tunnels en watertanks om het overtollige regenwater op te vangen en weg te pompen naar een nabijgelegen rivier.

Meer recent wordt de term ook gebruikt in de ecologie: klimaatverandering kan catastrofale gevolgen hebben voor ecosystemen; door gerichte maatregelen kan het kantelen van ecosystemen worden voorkomen. Resilience wordt ook gebruikt in sociale wetenschappen – zoals de psychologie – om het vermogen van iemand te duiden om door te gaan na persoonlijke tegenslagen.

Normen en regelgeving

In normen en regelgeving komt resilience steeds vaker voor. Zo stelt de norm ISO 22301 (Security and resilience – Business continuity systems – Requirements): ‘Resilience is not just the ability to recover – it is the ability to adapt, evolve and continue to deliver under stress.' En de ISO 22366 (Framework and principles for energy resilience) bepaalt dat organisaties de afhankelijkheid van nutsvoorzieningen mee moeten nemen in hun risicoanalyses.

De Europese regelgeving spreekt op diverse plaatsen over resilience. De AI Act bepaalt dat hoog-risico systemen resilient moeten zijn tegen kwaadaardige aanvallen. De Cyber Resilience Act (CRA, Verordening cyberweerbaarheid) stelt eisen aan producten en aan processen van fabrikanten om beveiligingsproblemen te voorkomen en, als die zich toch mochten voordoen, deze te melden, op te lossen en er duidelijk over te communiceren. De CE-markering op het product geeft aan dat het voldoet aan de CRA-eisen. De Digital Operational Resilience Act (DORA, Verordening voor ICT-bescherming financiële sector) heeft als doel financiële ondernemingen te beschermen tegen bijvoorbeeld cyberdreigingen en datalekken. Verplichte ethische hacktests en inzicht in de mate van resilience bij ICT-toeleveranciers maken deel uit van het DORA-eisenpakket.

Veerkracht

Veerkracht is het vermogen om met crises om te gaan en hiervan te herstellen. Dat kan van toepassing zijn op bijvoorbeeld een persoon, een groep, een organisatie of zelfs een heel land. Persoonlijke veerkracht uit zich bijvoorbeeld in flexibel reageren op onverwachte gebeurtenissen, het herstellen na stressvolle situaties, het kunnen verwerken van trauma’s. Veerkracht kan versterkt worden op allerlei manieren, zoals:

• het plaatsen van crises in een nieuw perspectief;
• een focus op zelfontwikkeling in een crisissituatie;
• het nemen van verantwoordelijkheid;
• het vergroten van zelfvertrouwen;
• het behouden van een positieve blik; en
• het onderhouden van goede sociale contacten.

In het grotere verband van een organisatie of een gemeenschap kunnen we vier aspecten gericht op korte, respectievelijk lange termijn en meeveren, respectievelijk verbeteren, onderscheiden in veerkracht[3]:

• Spontane eerste hulp
  Na een crisis of een ramp ontstaan spontaan allerlei vormen van hulpverlening of andere manieren van werken. Tijdens de coronacrisis gingen restaurants maaltijden thuisbezorgen in plaats van in hun restaurant te serveren.
• Snelle innovaties
  Bij herstel na een crisis kun je alles weer in de originele staat terugbrengen maar ook direct verbeteringen doorvoeren. Als je dak door een storm ernstig beschadigd is, is dat wellicht het moment om er meteen zonnepanelen op te leggen.
• Building back better

Na een ramp zoals de vuurwerkramp in Enschede wordt de wijk weer opnieuw opgebouwd. Vanzelfsprekend niet exact zoals die was voor de ramp, maar gebruikmakend van nieuwe inzichten (duurzaam bouwen) en wensen van bewoners (burgerparticipatie). Daarbij hoort ook leren van de crisis en ervoor zorgen dat deze niet opnieuw optreedt. De Watersnoodramp van 1953 leidde uiteindelijk tot de aanleg van de Deltawerken waarmee voorkomen wordt dat Zeeland opnieuw overstroomt.

Weerbaarheid

Weerbaarheid is het vermogen om om te kunnen gaan met uitdagingen en bedreigingen waarbij ook nagedacht is over wat er kan gebeuren en wat de gevolgen daarvan zouden kunnen zijn. Weerbaarheid heeft een anticipatief aspect: voorbereidingen treffen en maatregelen nemen om mogelijke gevolgen van verstoringen te mitigeren. Enkele voorbeelden ter toelichting:

• Mentale weerbaarheid betekent dat je voor jezelf kunt opkomen, daarbij rekening houdend met anderen.
• Fysieke weerbaarheid uit zich in het kunnen omgaan onverwachte gebeurtenissen door fysieke technieken in te zetten. We kunnen hieraan bijvoorbeeld het zoals door de overheid aanbevolen noodpakket toevoegen, waarmee we een beetje ‘doomsday preppers’ worden.
• Digitale weerbaarheid is bij uitstek gericht op kunnen herkennen van digitale bedreigingen. Denk aan phishing emails en andere vormen van online fraude, maar bijvoorbeeld ook aan desinformatie via (social) media. Met de nationale cursus Digitale Weerbaarheid[4] kun je je weerbaarheid vergroten. Ambtenaren van de Rijksoverheid moeten de Basisopleiding Digitale weerbaarheid volgen.
• Maatschappelijke weerbaarheid kent vier pijlers: het beschermen van vitale processen, een veerkrachtige samenleving, een stabiele democratie, rechtstaat en overheid en een weerbare economie[5]. 

Wendbare mensen en organisaties

Wendbaarheid zegt iets over de mate waarin een persoon of een organisatie kan veranderen. Daarbij gaat het zowel om tijdig en snel als efficiënt en effectief kunnen reageren op dan wel zich aanpassen aan nieuwe omstandigheden. Wendbare mensen of organisaties zijn flexibel in denken en in staat om adequaat te handelen bij onverwachte ontwikkelingen, kansen te benutten en effectief met veranderingen om te gaan.

Wendbare mensen en teams blijven leren en zich ontwikkelen, zijn betrokken en breed inzetbaar en gericht op innovaties van producten, diensten en werkwijzen. Dat vraagt om een passende mindset: bereid zijn om vanuit een ander perspectief te denken, verschillende scenario’s te verkennen en experimenten uit te voeren. 

Wendbare organisaties zijn in staat voortdurend de wensen en behoeften van hun klanten te analyseren en hun aanbod daarop aan te passen. Dit betekent dat er binnen de organisatie sprake moet zijn van veranderbereidheid en veranderbekwaamheid. Dat kan zelfs leiden tot het ontstaan van compleet nieuwe sectoren van dienstverlening: denk aan Airbnb en Uber.

Relaties tussen de begrippen

De drie begrippen weerbaarheid, wendbaarheid en veerkracht vertonen een zekere overlap en zijn niet altijd scherp van elkaar te onderscheiden. Ze worden in de praktijk ook wel door elkaar gebruikt. Het Engels maakt geen onderscheid tussen weerbaarheid en veerkracht (resilience). Voor wendbaarheid is de Engelse term agility gangbaar. In onderstaande figuur is de overlap met enkele kernwoorden in beeld gebracht.

Weerbaar betekent dat we de risico’s van externe gebeurtenissen kennen en maatregelen hebben genomen om de mogelijke gevolgen van die bedreigingen te minimaliseren. Wendbaar houdt in dat we flexibel zijn, ons kunnen aanpassen aan veranderingen en openstaan voor leren en innoveren. Veerkracht geeft ons het vermogen om na een crisis te herstellen en waar mogelijk verbeteringen en innovaties door te voeren.

We hebben gezien dat de drie begrippen op elk niveau – individu, team, organisatie, samenleving – toepasbaar zijn. Als we ons focussen op organisaties dan is het vanuit continuïteitsoverwegingen van groot belang de verantwoordelijkheid voor weerbaarheid, veerkracht en wendbaarheid op het hoogste niveau in de organisatie te leggen. De CEO is de senior executive die in elk facet van de organisatie – denk primair proces, medewerkers, productiesystemen, informatienetwerken – nagaat hoe het staat met weerbaarheid, veerkracht en wendbaarheid en welke maatregelen getroffen moeten worden om het gewenste niveau van resilience te bereiken. Uiteraard in nauwe samenwerking met andere executives zoals de risk manager, de information manager, de security manager en/of de BCM-manager.

Oproep

We zijn benieuwd naar de reacties. Herken je de termen? Wordt er ook invulling aan gegeven in jouw organisatie? Wat doet de CEO? Wat zijn kenmerken van de organisatiecultuur? Laat het ons weten via redactie@nnk.nl.

Over de auteur

Kees de Vaal heeft zich na zijn studie Elektrotechniek aan de TU Delft gedurende bijna dertig jaar in de hightechindustrie beziggehouden met veel aspecten van kwaliteitsmanagement. Sinds 2012 is hij werkzaam als zelfstandig adviseur, principal auditor, docent en auteur. Hij was van 2006 tot 2015 bestuurslid van NNK. Van 2013 tot 2018 was hij hoofdredacteur van het vakblad Synaps en sinds 2020 is hij voorzitter van de redactieraad van NNK. Kees is mede-auteur van de boeken Kwaliteitsmanagement in de praktijk, Perspectieven op Kwaliteit.NL en De Kwaliteit van Data.

Voetnoten