In dit tweede artikel over continuïteit (beschikbaarheid) van bedrijfsapplicaties geef ik je een handreiking voor het uitvoeren van een impactanalyse. De uitkomsten van de impactanalyse vormen de basis voor het concreet vaststellen van de continuïteitseisen die in het eerste artikel hebben genoemd.
Aan de hand van de impactanalyse en de gekozen maatregelen kunnen we het Disaster Recovery Plan opstellen. Hiervoor geven we in het volgende, afsluitende artikel een handreiking. Dit plan vormt het sluitstuk aan de hand waarvan gebruikers en leverancier samenwerken om bij eventuele calamiteiten toch het gewenste niveau van continuïteit te kunnen handhaven.
Continuïteit: vanuit eigen inzicht naar samenwerking met de leverancier
Door het gebruik van Software as a Service besteden organisaties een belangrijk deel van het technische beheer en van gegevensbeveiliging uit aan de SaaS leverancier. Daarbij maakt deze laatste veelal gebruik van diensten van derden, zoals het hosten van de software en van gegevens door data centra. Het uitbesteden ontslaat de gebruiker echter niet van de verantwoordelijkheid voor de continuïteit van de eigen bedrijfsvoering.
Als gebruiker dien je dan ook het inzicht en overzicht te hebben over de invloed van bedrijfsapplicaties op de bedrijfsvoering, de gevolgen van het uitvallen van de systemen en de inschatting van gebeurtenissen die tot (gedeeltelijke) uitval kunnen leiden.
Alleen met deze inzichten kun je passende eisen en wensen formuleren. Vervolgens kan een leverancier gericht aangeven welke alternatieve oplossingen tegen welke kosten beschikbaar zijn.
Om dit inzicht en overzicht te verkrijgen dient een impactanalyse te worden uitgevoerd.
Het opstellen en uitvoeren van een impactanalyse
Bij het uitvoeren van een risicoanalyse staan drie eenvoudige vragen centraal:
- Welke gebeurtenissen beperken het kunnen beschikken over de bedrijfsapplicatie en de bijbehorende gegevens
- Wat is het effect van de beperkte beschikbaarheid op de organisatie
- Wat is de kans dat deze gebeurtenis plaatsvindt
Deze vragen stel je voor elke bedrijfsapplicatie of zelfstandig opererend onderdeel (module).
Belangrijke Les 1: Geen situatie is dezelfde
Voorbeelden uit de praktijk en literatuur kunnen een goede indruk en overzicht geven van veel voorkomende gebeurtenissen, generieke risico’s en de effecten van calamiteiten die de continuïteit van systemen en gegevens bedreigen. Ook over de maatregelen waarmee deze risico’s kunnen worden beheerst of verminderd is veel terug te lezen op bijvoorbeeld internet. De belangrijkste hiervan zijn in het vorige artikel weergegeven.
Lees hierover in Welke eisen stel je aan continuïteit van inkoopsoftware
Toch is het geheel aan risico’s en het gewenste en haalbare continuïteitsniveau voor elke organisatie anders. De mate van automatisering van processen, het activiteitenniveau, de integratie met andere processen, de koppeling met systemen van leveranciers en afnemers, de risicoperceptie, etc.
Een impactanalyse dient dan ook gebaseerd te zijn op een onderzoek binnen de eigen organisatie en aan de hand van de eigen, concrete situatie en risicoperceptie.
Belangrijke les 2: Betrek zowel uitvoerende medewerkers als management bij het onderzoek
Een impact- of risicoanalyse wordt in de praktijk nog regelmatig gezien als een abstracte bezigheid die wordt uitgevoerd door en onder management, eventueel met medewerking van een consultant. Door het onvoldoende betrekken van mensen die betrokken zijn bij de uitvoering van de processen of van hen die de gevolgen ondergaan (medewerkers van andere afdelingen; ICT; leveranciers; klanten) van (gedeeltelijke) uitval van een proces kunnen belangrijke risico’s en effecten over het hoofd worden gezien of verkeerd worden ingeschat. Een zogenaamde expert-benadering zorgt aldus voor concrete, op de praktijk gebaseerde informatie waar tegenover ook direct gerelateerde maatregelen zijn af te wegen.
Vanuit het (senior) management kan met name ingegaan worden op het relatieve belang van processen, de mate waarin risico’s acceptabel zijn en op de niet altijd direct zichtbare effecten van uitval.
Belangrijke les 3: De analyse is een levend document met een gezamenlijk belang
Door de abstracte benadering en beperkte betrokkenheid belanden onderzoeksrapporten en plannen na behandeling in een managementoverleg veelal in een la.
Een overzicht van risico’s en effecten op de continuïteit van processenvoering dient een gezamenlijk belang. Naast het concretiseren van eisen aan de continuïteit kan de analyse tevens uitgangspunt zijn voor een continu verbeterproces.
Door het betrekken van de juiste mensen bij het opstellen van de analyse, het koppelen van de analyse aan een verbeterproces en het daadwerkelijk realiseren van procesverbeteringen of risicobeperkingen wordt de impactanalyse een concreet en levend document.
Hiermee wordt tevens betrokkenheid gecreëerd die nodig is voor het actief bijdragen aan het realiseren van het gewenste niveau van continuïteit.
Belangrijke les 4: Uitvoeren analyse via een questionnaire of groepssessies
In de literatuur wordt aangegeven dat invullen van een questionnaire een efficiënte wijze is om de analyse uit te voeren. Efficiency is echter niet de enige overweging bij de keuze voor het uitvoeren van de analyse.
Het doel van de analyse is het verkrijgen van concreet inzicht in de belangrijkste risico’s en impact en betrokkenheid van deelnemers bij het vervolg. Daarbij is het de vraag in hoeverre binnen de organisatie reeds sprake is van cross-functionele evaluaties van processen.
Onze ervaring is dat het voor zowel de betrokkenheid als voor inhoudelijke kwaliteit van respons een groepsgewijze afstemming van bedoelingen en uitwisseling van bevindingen noodzakelijk is. Om redenen van efficiency kunnen kleinen werkgroepen worden gevormd die zich beperken tot specifieke procesdelen. Dit terwijl de uitkomsten van werkgroepen breed worden gedeeld.
De uitkomsten van de impactanalyse
Op basis van de bevindingen van de analyse kunnen de continuïteitsdoelstellingen worden vastgesteld per proces. Zoals aangegeven in het eerste artikel gebeurt dit door het vaststellen van de
- Recovery Time Objective: de tijd die nodig is om de applicatie weer beschikbaar te krijgen
- Recovery Point Objective: de hoeveelheid gegevens (uitgedrukt in uren of dagen) die een organisatie maximaal kwijt wil zijn
Op basis van onder meer kosten-baten overwegingen zal vervolgens een keuze moeten worden gemaakt welke maatregelen aanwezig moeten zijn om het gewenste niveau van beschikbaarheid te kunnen realiseren.
Data Recovery Plan
Het stellen van Eisen en kiezen van maatregelen legt een goede basis voor het realiseren de vereiste mate van beschikbaarheid van systemen en gegevens. Het voorkomt echter niet dat zich calamiteiten kunnen voordoen. In dat geval dient een goed werkend calamiteitenplan beschikbaar te zijn aan de hand waarvan alle betrokkenen in samenwerking de nadelige effecten zo veel als mogelijk beperken.
De inhoud en het opstellen van een zogenaamd Disaster Recovery Plan behandelen we in het afsluitende artikel.
Wil je meer weten over de keuze van continuïteitseisen, het uitvoeren van een risicoanalyse of het opstellen van een werkend Disaster Recovery Plan, neem dan gerust contact met ons op.
Wim Vriend
Kennispartner E-proQure
