CMP of BCP: wat is het verschil?

Een crisismanagementplan en een business continuity plan worden vaak door elkaar gehaald, of samengevoegd in één dik document. Toch beantwoorden ze verschillende vragen. Wat regel je met elk plan, hoe sluiten ze op elkaar aan, en welke heb jij nodig?

Wie begint met crisis- en continuïteitsmanagement, komt al snel twee afkortingen tegen: CMP en BCP. Ze klinken vergelijkbaar en ze gaan allebei over verstoringen. In de praktijk zien we dan ook vaak dat een organisatie het ene plan heeft en denkt dat het andere daarmee ook geregeld is. Of dat beide in één document zijn gepropt, waardoor niemand er onder druk snel iets in terugvindt.

Het crisismanagementplan regelt wie stuurt en beslist, het business continuity plan regelt hoe je bedrijfsprocessen zo snel mogelijk weer operationeel krijgt.

Wat is eigenlijk een crisis?

Het onderscheid tussen de twee plannen begint bij het onderscheid tussen een incident en een crisis. Vaak zie je dat incidenten voorzienbaar zijn en zich lenen voor een vooraf bedachte aanpak, ook al weet je niet precies wanneer en hoe ze zich voordoen. Een crisis is van een andere orde: een zeldzame gebeurtenis met grote impact, die de organisatie voor strategische vragen stelt en daarom ook een strategische aanpak vraagt. Crises vragen om een flexibele, creatieve en volgehouden aanpak die geworteld is in de waarden van de organisatie¹.

Een serverstoring is meestal een incident: vervelend, maar je weet wat je moet doen. Een cyberaanval waarbij klantgegevens op straat komen te liggen en de pers belt, is een crisis: er zijn geen kant-en-klare antwoorden, en de directie moet keuzes maken die de reputatie en de toekomst van de organisatie raken.

Het crisismanagementplan (CMP)

Het CMP beschrijft hoe je organisatie een crisis aanstuurt. Het is geen draaiboek dat elke stap voorschrijft, want een crisis laat zich niet voorspellen. Het is een structuur die ervoor zorgt dat de juiste mensen snel bij elkaar zitten en weten hoe ze besluiten nemen. Een goed CMP regelt in elk geval:

Het crisisteam: wie erin zit, met welke rol, en wie de vervanger is.
Opschaling: wanneer wordt een incident een crisis, en wie mag dat besluiten?
Besluitvorming: hoe neem je besluiten met onvolledige informatie, en hoe leg je ze vast?
Communicatie: met medewerkers, klanten, leveranciers, toezichthouders en pers. Wie spreekt namens de organisatie?
Afschaling en nazorg: wanneer is de crisis voorbij, en hoe evalueer je?

Een bruikbaar CMP is kort. Onder druk lees je geen vijftig pagina’s; je pakt een actiekaart met je rol en de eerste stappen.

Het business continuity plan (BCP)

Het BCP richt zich op het doorgaan van je kritieke processen. Het wordt doorgaans omschreven als gedocumenteerde informatie die je organisatie helpt om op een verstoring te reageren en de levering van producten en diensten te hervatten en te herstellen, in lijn met de eigen continuïteitsdoelen².

De basis van een goed BCP is een bedrijfsimpactanalyse (BIA). Daarin bepaal je welke activiteiten voorrang krijgen om onaanvaardbare schade tijdens een verstoring te voorkomen³. Per activiteit leg je drie belangrijke tijden vast:

Maximaal aanvaardbare uitvaltijd (MTPD): de periode waarna de gevolgen van stilstand onaanvaardbaar worden.
Hersteltijddoel (RTO): de termijn, binnen die maximale uitvaltijd, waarin je een activiteit weer op een minimaal aanvaardbaar niveau hebt draaien.
Herstelpuntdoel (RPO): hoeveel gegevens je maximaal kwijt mag raken. Het RPO gaat over data, RTO en MTPD gaan over tijd, en het RTO ligt altijd binnen de MTPD.

Het BCP beschrijft vervolgens wat je nodig hebt om die doelen te halen: mensen, locaties, systemen, leveranciers en noodoplossingen. Denk aan een uitwijklocatie, handmatige werkwijzen als systemen uitvallen, of een tweede leverancier voor kritieke onderdelen.

De verschillen op een rij

	Crisismanagementplan (CMP)	Business continuity plan (BCP)
Hoofdvraag	Wie stuurt en beslist?	Hoe gaat het werk door?
Niveau	Strategisch	Tactisch en operationeel
Gebruikers	Crisisteam en directie	Proceseigenaren en afdelingen
Basis	Scenario’s en rollen	Bedrijfsimpactanalyse
Kern	Besluitvorming en communicatie	Prioriteiten, hersteltijden en middelen
Kenmerk	Flexibel, voor het onvoorspelbare	Vooraf uitgewerkt, voor het voorzienbare
Norm	ISO 22361 (richtlijn)	ISO 22301 (certificeerbaar)

Hoe ze samenwerken

Stel: er breekt brand uit in je distributiecentrum. Het BCP vertelt je dat orders binnen 24 uur via een andere locatie moeten lopen, welke systemen daarvoor nodig zijn en welke medewerkers ernaartoe gaan. Het CMP zorgt dat het crisisteam bij elkaar komt, besluit of die uitwijk wordt ingezet, de klanten informeert en de vragen van de pers beantwoordt.

Het een kan niet zonder het ander. Een BCP zonder crisisteam is een set procedures die niemand activeert. Een crisisteam zonder BCP moet midden in de crisis bedenken welke processen voorrang hebben.

En soms is een BCP simpelweg niet genoeg. De pandemie liet dat zien: een continuïteitsplan redt een winkel in de binnenstad niet als niemand zijn huis uit mag. Dan zijn er strategische keuzes nodig die geen plan vooraf kan bevatten, en daar is het crisisteam voor.

Vijf veelvoorkomende misverstanden

“Ons BCP is ons IT-herstelplan.” Een IT-herstelplan regelt de terugkeer van systemen. Een BCP gaat over het hele proces: ook mensen, locaties en leveranciers.
“Alles in één document is overzichtelijker.” Vaak juist niet. De directie heeft andere informatie nodig dan de proceseigenaar op de vloer.
“Hoe gedetailleerder het CMP, hoe beter.” Een crisis volgt geen script. Te veel detail maakt het plan onbruikbaar zodra de werkelijkheid afwijkt.
“De plannen staan los van elkaar.” Als het CMP andere opschalingscriteria of contactgegevens gebruikt dan het BCP, ontstaat verwarring op het moment dat het ertoe doet.
“Het plan is klaar als het goedgekeurd is.” Of een plan werkt, ontdek je pas als je het oefent.

Lees ook: Waarom een plan pas werkt als je het hebt geoefend

Welk plan heb jij nodig?

In de praktijk heb je beide nodig. Een paar vragen om te bepalen waar je staat:

Weet je welke processen binnen een dag weer moeten draaien, en is dat vastgelegd? Zo niet, dan ligt de eerste stap bij een bedrijfsimpactanalyse en een BCP.
Weet iedereen in de directie wie bij een crisis de leiding neemt, en wie namens de organisatie spreekt? Zo niet, dan ligt de eerste stap bij een CMP.
Werk je met ISO 22301? Dan vraagt de norm om continuïteitsplannen en een structuur om op verstoringen te reageren. Het oefenen van beide hoort daar ook bij.
Lees ook: Wat vraagt ISO 22301 over oefenen en testen?
Val je onder de Cyberbeveiligingswet? Dan vraagt de wet om bedrijfscontinuïteit én crisisbeheer.
Lees ook: NIS2 en het mkb: wat betekent het voor je crisismanagement?

Van papier naar weerbaarheid

Bij Crisis Dynamics schrijven of actualiseren we je crisismanagementplan en business continuity plan, in lijn met ISO 22301 en ISO 22361, en zorgen we dat ze op elkaar aansluiten. Daarna toetsen we ze in een simulatie, zodat ze passen bij hoe jouw team werkt.

Van papieren werkelijkheid naar echte weerbaarheid.

Bronnen

ISO 22361:2022, Security and resilience — Crisis management — Guidelines.
ISO 22301:2019, Security and resilience — Business continuity management systems — Requirements.
ISO/TS 22317:2021, Guidelines for business impact analysis.

Geschreven door het team van Crisis Dynamics