Wat vraagt ISO 22301 over oefenen en testen?

ISO 22301 vraagt niet alleen om een continuïteitsplan, maar ook om aantoonbaar oefenen. Wat staat er precies in de norm, waar gaat het in de praktijk vaak mis, en hoe zet je een oefenprogramma op dat echt iets oplevert?

ISO 22301 is de internationale norm voor business continuity management. Naast beleid, risicoanalyse en plannen vraagt de norm organisaties om hun plannen en procedures regelmatig te oefenen en te testen. Dat deel krijgt in de praktijk vaak de minste aandacht. Niet uit onwil, maar omdat de plannen zelf al zoveel tijd kosten dat het oefenen naar volgend jaar schuift.

Toch is juist dat deel van de norm het interessantst. Het is de plek waar je ontdekt of alles wat je hebt opgeschreven ook werkt.

Wat de norm precies vraagt

De ISO vraagt dat je een programma inricht van oefeningen en testen dat na verloop van tijd aantoonbaar maakt dat je continuïteitsstrategieën en -oplossingen werken¹. Die oefeningen moeten aan een aantal voorwaarden voldoen:

Ze passen bij de reikwijdte en de doelen van je continuïteitsmanagementplan.
Ze zijn gebaseerd op goed voorbereide scenario’s met duidelijk omschreven doelen.
Ze bouwen bij de mensen met een rol in het plan aan samenwerking, vaardigheid, vertrouwen en kennis.
Samen toetsen ze over de jaren heen al je strategieën en oplossingen, niet alleen één onderdeel.
Ze leveren een formeel verslag op met uitkomsten, aanbevelingen en verbeteracties.
Die uitkomsten worden meegenomen in de continue verbetering.
Ze vinden plaats volgens een vaste planning én wanneer er binnen de organisatie of daarbuiten iets wezenlijks verandert.

Daarna moet je dus ook wel iets doen met de resultaten: aanpassingen doorvoeren en verbeteringen uitvoeren.

Verder vraagt de ISO dat je beoordeelt of je impactanalyse, risicoanalyse, strategieën, plannen en procedures nog geschikt en effectief zijn¹. Dat doe je onder meer via oefeningen en testen, maar ook via evaluaties na echte incidenten, en door te kijken naar de continuïteit van belangrijke partners en leveranciers. Ook die beoordeling hoort op vaste momenten plaats te vinden, en daarnaast na een incident of na een wezenlijke verandering.

Het verschil tussen oefenen en testen

De norm spreekt over beide, en het verschil is handig om te kennen. Een test is een oefening waarin je vooraf vastlegt wat slagen of zakken is. Denk aan het overschakelen naar een uitwijklocatie of het terugzetten van een back-up binnen de afgesproken tijd. Het werkt, of het werkt niet.

Een oefening richt zich meer op mensen: weet het team wie de leiding neemt, hoe besluiten worden genomen, wie communiceert met klanten en medewerkers? Daar is geen simpel goed of fout, maar wel heel veel te leren.

Een goed programma heeft beide nodig. Een uitwijk die technisch werkt, helpt weinig als niemand weet wie het besluit mag nemen om hem in te zetten.

Waar het in de praktijk vaak misgaat

Wie met de norm werkt, herkent waarschijnlijk een of meer van deze patronen:

Elk jaar dezelfde tafeloefening. Volgens certificerende instellingen is het herhalen van dezelfde oefening onvoldoende; een programma hoort steeds andere scenario’s, teams en onderdelen te toetsen.
Alleen de techniek wordt getest. De IT-uitwijk wordt jaarlijks gecontroleerd, maar het crisisteam heeft nog nooit samen een scenario doorlopen.
Een verslag zonder vervolg. Er is een rapport, maar de verbeteracties zijn niet belegd, of staan een jaar later nog open. Auditors kijken juist naar verslagen met afgeronde acties, en naar evaluaties die aantoonbaar iets in het systeem hebben veranderd.
Echte incidenten blijven buiten beeld. Een storing of incident wordt opgelost en daarna vergeten. Toch geldt het als een veelvoorkomende afwijking wanneer echte verstoringen nooit worden nabesproken en meegenomen. Elk incident is een gratis oefening.
Het programma dekt maar een deel. De norm vraagt dat oefeningen samen, over meerdere jaren, alles toetsen. Een programma dat alleen het hoofdkantoor of alleen IT raakt, laat gaten.

Wat een goed evaluatieverslag bevat

Het verslag na een oefening is meer dan een bewijsstuk voor de auditor. Het is het geheugen van je organisatie. Een bruikbaar verslag beantwoordt in elk geval deze vragen:

Wat wilden we toetsen? Het doel en de reikwijdte van de oefening.
Welk scenario gebruikten we? Inclusief de wendingen die tijdens de oefening werden ingebracht.
Wie deed er mee, en in welke rol? Rollen, geen namen in een beoordeling.
Wat gebeurde er? Een tijdlijn van besluiten en acties, liefst vastgelegd tijdens de oefening zelf.
Wat ging goed? Dat is net zo belangrijk om vast te houden als wat beter kan.
Waar wijkt de praktijk af van het plan? En ligt dat aan het plan, aan de afspraken of aan iets wat nog ontbrak?
Welke verbeteracties volgen er? Met een eigenaar en een datum.
Wanneer kijken we of het gewerkt heeft? Bij voorkeur in de volgende oefening.

Een verslag met deze opbouw laat aan je auditor zien wat er getoetst is, wat er goed ging en welke stappen je zet. Maar vooral helpt het je eigen team om de volgende keer verder te komen.

Een programma over meerdere jaren

Je hoeft niet alles in één jaar te doen. Een programma dat stap voor stap zwaarder wordt, werkt vaak beter dan één grote oefening. Begin bijvoorbeeld met een doorloop van het plan en een tafeloefening met een realistisch scenario, naast een technische test van de belangrijkste uitwijk. Bouw daarna geleidelijk op: andere scenario’s, onverwachte wendingen, afdelingen of locaties die nog niet aan bod kwamen en een test van de bereikbaarheid van sleutelfuncties. Zo werk je toe naar een simulatie onder tijdsdruk, waarin het crisisteam besluiten moet nemen met onvolledige informatie, eventueel samen met een belangrijke leverancier. Bespreek tussendoor elke echte verstoring kort na, en plan een extra oefening bij een grote verandering in de organisatie, zoals een nieuw systeem, een verhuizing of een fusie.

Waarom de nabespreking het verschil maakt

De norm legt veel nadruk op het verslag en de verbeteracties, en daar is een goede reden voor. Uit onderzoek blijkt dat een goede nabespreking de prestaties gemiddeld met ongeveer een kwart verbetert, zowel in simulaties als in echte situaties, en zowel in de zorg als daarbuiten². Onderzoek toont bovendien aan dat nabesprekingen beter werken wanneer ze over het team gaan en gebruikmaken van objectieve vastlegging van wat er gebeurde³.

Met andere woorden: het verslag is niet de papierwinkel na de oefening. Het is waar het leren gebeurt.

Lees ook: Waarom een plan pas werkt als je het hebt geoefend

Bouwen naar vertrouwen

Het doel van de norm is niet het halen van een vinkje. De norm wil dat je kunt laten zien dat je plannen werken, en dat je leert van wat er tijdens een oefening gebeurt. Het vinkje haal je op papier. De crisis niet.

Bij Crisis Dynamics ontwerpen en begeleiden we oefeningen en simulaties die aansluiten op de eisen van ISO 22301, van een eerste tafeloefening tot een volledig oefenprogramma over meerdere jaren. Na elke oefening krijg je een evaluatieverslag met concrete verbeteracties, gericht op het plan en de samenwerking, nooit op personen.

Je kunt je niet op elke crisis voorbereiden, maar je kunt wél zorgen dat je team elke crisis aankan.

Bronnen

ISO 22301:2019, Security and resilience — Business continuity management systems — Requirements, clausules 8.5 en 8.6.
Tannenbaum, S.I. & Cerasoli, C.P. (2013). Do team and individual debriefs enhance performance? A meta-analysis. Human Factors, 55(1), 231–245.
Keiser, N.L. & Arthur, W. (2021). A meta-analysis of the effectiveness of the after-action review (or debrief) and factors that influence its effectiveness. Journal of Applied Psychology.

Geschreven door het team van Crisis Dynamics