Een bedrijfscontinuïteitsplan (BCP) is een kort, schriftelijk document dat uitlegt hoe je bedrijf blijft draaien, of snel weer gaat draaien, wanneer iets de bedrijfsvoering verstoort: een brand, een stroomuitval, een ransomware-aanval, een falende leverancier of het plotselinge wegvallen van een sleutelpersoon. Voor een klein bedrijf hoeft het geen tachtig pagina’s te beslaan. Een paar heldere pagina’s die mensen onder druk kunnen vinden en volgen, zijn veel meer waard dan een dikke map die niemand heeft gelezen.
Waarom heeft een klein bedrijf er een nodig?
Kleine bedrijven hebben meestal weinig speling: één eigenaar, één locatie, één hoofdsysteem en een handvol klanten die morgen op je rekenen. Een plan voorkomt geen incidenten, maar verkort de verwarring erna, beschermt omzet en klantvertrouwen en wordt steeds vaker gevraagd door grotere klanten, verzekeraars en financiers.
Stap 1: bepaal je kritieke functies
Begin met een lijst van wat het bedrijf dagelijks echt doet en markeer wat het meeste pijn zou doen als het stilviel. Gebruikelijke kandidaten:
- Werk dat omzet oplevert: producten of diensten leveren, bestellingen aannemen, de winkel of werkplek draaiende houden.
- Betaald krijgen: facturatie, betalingsverwerking en het innen van achterstallige rekeningen.
- Anderen betalen: salarissen, leveranciers, belastingen en huur.
- Communicatie: telefoon, e-mail en de kanalen waarlangs klanten je bereiken.
- Wettelijke en veiligheidsverplichtingen: alles wat je moet blijven doen om aan de regels te voldoen of mensen te beschermen.
Noteer bij elke functie van welke mensen, systemen, leveranciers en locaties ze afhankelijk is. Die lijst met afhankelijkheden is de grondstof voor al het andere.
Stap 2: voer een eenvoudige risicobeoordeling uit
Je hebt geen formele methodiek nodig. Vraag bij elke kritieke functie wat haar realistisch gezien kan onderbreken en geef twee dingen een score van een tot vijf: de kans dat het gebeurt en de ernst van de gevolgen. Vermenigvuldig de scores en pak de hoogste eerst aan. Veelvoorkomende scenario’s:
- Verlies van het pand door brand, wateroverlast of een afgesloten gebouw.
- Uitval van stroom, internet of telefoon.
- Cyberincident, dataverlies of een defect apparaat.
- Uitval van een belangrijke leverancier of softwareaanbieder.
- Ziekte, ontslag of afwezigheid van een sleutelpersoon.
Wees eerlijk over single points of failure, zoals de ene persoon die de wachtwoorden kent of de ene leverancier zonder alternatief.
Stap 3: stel hersteltijddoelen vast
Een recovery time objective (RTO) is de langste tijd dat een functie uit de lucht mag zijn voordat de schade onaanvaardbaar wordt. Stel er een vast voor elke kritieke functie, in eenvoudige eenheden zoals twee uur, een dag of een week. Een verwante maat is de recovery point objective (RPO): hoeveel recente data je kunt missen, wat bepaalt hoe vaak er een back-up moet draaien. Korte doelen kosten meer, dus laat de cijfers bepalen waar je geld aan uitgeeft: facturatie kan misschien een dag wachten, het aannemen van bestellingen waarschijnlijk niet.
Stap 4: wijs rollen toe en houd contactgegevens actueel
Bij een incident is het ergste vaak dat niemand weet wie beslist. Benoem een eigenaar van het plan, een vervanger voor elke rol en een duidelijke beslisvolgorde. Leg daarna vast:
- Contactgegevens van medewerkers: mobiele nummers en een privé-e-mailadres, niet alleen werkaccounts die kunnen uitvallen.
- Belangrijke externe contacten: leveranciers, verhuurder, verzekeraar, bank, IT-partner, accountant en nutsbedrijven.
- Klantcommunicatie: wie wat aan klanten vertelt, via welk kanaal en met welk overbruggingsbericht.
Bewaar een geprinte of offline kopie op een bereikbare plek, want een plan dat alleen op het uitgevallen systeem staat, helpt niemand.
Stap 5: plan back-ups en noodoplossingen
Schrijf bij elke kritieke functie de terugvaloptie op. Meestal is dat een mix van data-back-ups en handmatige of alternatieve werkwijzen:
- Data: bewaar minstens één kopie extern of in de cloud, een kopie die een besmet apparaat niet kan wijzigen of verwijderen, en controleer of terugzetten echt werkt.
- Systemen en toegang: bewaar kritieke inloggegevens veilig, met een manier voor een tweede vertrouwde persoon om erbij te komen.
- Pand en apparatuur: thuiswerkmogelijkheid, een wederzijdse afspraak met een ander bedrijf of reserveapparatuur voor het hoogstnodige.
- Leveranciers: een goedgekeurd alternatief voor alles waar je niet zonder kunt.
- Cashflow: genoeg reserve of krediet om salarissen te betalen terwijl de inkomsten haperen, en een check van wat je verzekering werkelijk dekt.
Stap 6: test het plan
Een ongetest plan is een gok. Begin met een korte tafeloefening: breng het team samen, beschrijf een scenario als „het kantoor is maandagochtend onbereikbaar” en loop door wie wat doet. Noteer elke lacune, zoals een verouderd nummer of een ontbrekend wachtwoord. Test daarna de technische onderdelen apart, vooral het terugzetten van een back-up. Zelfs één realistische oefening per jaar legt problemen bloot die nu veel goedkoper op te lossen zijn.
Stap 7: evalueer volgens een vast ritme
Plannen veroudern snel. Loop je plan minstens eens per jaar na, en telkens als er iets wezenlijks verandert: een nieuw systeem, een nieuwe locatie, de komst of het vertrek van een sleutelpersoon, een grote leverancierswissel, of na elk echt incident of elke test. Leg de datum, de versie en de goedkeurder vast en laat nieuwe medewerkers tijdens de inwerkperiode kennismaken met hun rol.
Wil je dat het plan leeft op de plek waar je team al werkt, dan kan FulcrumGrid Command Center je belangrijkste taken, eigenaren en deadlines op één plek bundelen, wat helpt bij de lijst met afhankelijkheden en de herinneringen voor de evaluatie. Het is een hulpmiddel voor coördinatie, geen vervanging van het denkwerk hierboven: de waarde van een continuïteitsplan zit in de beslissingen die je erin neemt en in het oefenen ervan voordat je ze nodig hebt.
Veelgestelde vragen
Wat is een bedrijfscontinuïteitsplan?
Een kort schriftelijk plan dat beschrijft hoe een bedrijf blijft draaien, of snel herstelt, wanneer iets de bedrijfsvoering verstoort, zoals een brand, een storing, een cyberincident of het wegvallen van een sleutelpersoon. Het omvat kritieke functies, hersteldoelen, rollen, contacten, back-ups en tests.
Hoe lang moet het plan van een klein bedrijf zijn?
Zo lang als nodig om bruikbaar te zijn, en voor de meeste kleine bedrijven zijn dat een paar pagina’s. Helderheid gaat boven lengte: je moet het bij een incident snel kunnen vinden en volgen.
Wat is een recovery time objective (RTO)?
Dat is de langste tijd dat een functie niet beschikbaar mag zijn voordat de schade onaanvaardbaar wordt. Je stelt er een vast per kritieke functie, bijvoorbeeld twee uur voor het aannemen van bestellingen of een dag voor facturatie, en het bepaalt hoeveel je investeert in back-ups en alternatieven.
Hoe vaak moet ik het plan testen en evalueren?
Evalueer het minstens eens per jaar en telkens als er iets belangrijks verandert, zoals een nieuw systeem, een nieuwe locatie of sleutelpersoon. Houd minstens één tafeloefening per jaar en test regelmatig of je back-ups echt terug te zetten zijn.
Is een bedrijfscontinuïteitsplan hetzelfde als een disaster recovery-plan?
Niet helemaal. Een continuïteitsplan gaat over het draaiende houden van het hele bedrijf, inclusief mensen, pand en leveranciers. Een disaster recovery-plan is meestal het engere technische onderdeel dat zich richt op het herstellen van IT-systemen en data.
FulcrumGrid Command Center
Houd je continuïteitsplan toegewezen, actueel en zichtbaar
FulcrumGrid Command Center geeft je team één plek om eigenaren, taken en evaluatiedata te volgen, zodat je continuïteitsplan actueel blijft in plaats van vergeten in een map te liggen.