Netwerk Organisatiebeheersing Risicomanagement procesmanagement en bedrijfscontinuteit Inhoud Doelstellingen

Netwerk Organisatiebeheersing Risicomanagement, procesmanagement en bedrijfscontinuïteit

Inhoud • • • Doelstellingen Risicomanagement Procesmanagement Bedrijfscontinuïteitsmanagement Vragen?

Core business van een organisatie • Voor agentschappen: oprichtingsbesluit of -decreet • Voor departementen: Kaderdecreet. Dit vindt zijn doorvertaling in lange termijnvisie: beheersovereenkomst / Managementovereenkomst.

Doelstellingen Gelet op taken / business bepaalt de organisatie • de visie en missie • de doelstellingen – strategische doelstellingen – operationele doelstellingen Rekening houdend hiermee wordt bepaald welke processen ontwikkeld moeten worden

Doelstellingen en processen Wie zijn we en waarom bestaan we? Welke is onze ambitie voor de komende jaren? Welk resultaat (product) moet het project opleveren? Is het in lijn met de SD’s van de organisatie? Welke zijn de belangrijkste doelstellingen die de organisatie moet halen om haar visie waar te maken? Welke zijn de kritische elementen die de SD’s beïnvloeden en waarvoor meetbare doelstellingen moeten behaald worden?

Risicomanagement Nadat de organisatie haar doelstellingen heeft goedgekeurd en gecommuniceerd, zal zij beslissen hoe en op welke wijze ze uitvoering zal geven aan de doelstellingen. De obstakels (= risico’s) die de organisatie kan tegen komen bij het uitvoeren van deze doelstellingen worden in kaart gebracht. Dit veronderstelt een duidelijk inzicht in de werking en de processen (= procesanalyse).

Risicomanagement is dus onlosmakelijk verbonden met het doelstellingenproces. Vanuit de identificatie van de organisatiedoelstellingen worden de risico’s ingeschat. De risicoanalyses moeten worden geïntegreerd in de strategiebepaling (plan)

Risicomanagement De risicoanalyse omvat het proces van de identificatie van risico’s (organisatorische + procesgebonden), de beoordeling ervan en de beoordeling van de risicobeheersing (zijn er beheersmaatregelen, zijn deze afdoende, …).

Impact / probabiliteit Als de risico’s geïdentificeerd zijn, dient er een ranking (prioritering) te gebeuren (hoog/middelmatig/laag). Deze ranking wordt uitgevoerd door een inschatting te geven over • impact en • probabiliteit.

Impact / probabiliteit • Een inschatting over de probabiliteit is een inschatting over de kans dat het risico zich effectief zal voordoen (de waarschijnlijkheid) • Bij de inschatting van de impact wordt een oordeel gegeven hoe erg het dan voor de organisatie is als het risico zich effectief manifesteert.

Risicostrategie Als de risico’s gedetecteerd zijn, dient de organisatie te beslissen welke strategie ze zal hanteren (risico-appetijt). Hierbij zijn er 4 mogelijkheden: • • Niets doen – risico’s aanvaarden (accept) Vermijden (avoid) Beheersen / beperken > beheersmaatregelen (reduce to acceptable level) Transfereren (transfer)

Risicostrategie bepalen

Risicomanagement

Risicomanagement is een continu proces. Elke organisatie is immers actief in een dynamische omgeving, waarin voortdurend nieuwe risico’s ontstaan die het bereiken van de organisatiedoelstellingen in het gedrang kunnen brengen, terwijl bestaande risico’s toenemen, afnemen of verdwijnen. Dit heeft gevolgen voor de effectiviteit van de door de organisatie gekozen beheersmaatregelen. Een organisatie moet dan ook steeds alert blijven om zijn beheersmaatregelen tijdig te kunnen bijsturen (check / act).

Processen Elke organisatie heeft als missie één of meer kernopdrachten te realiseren. Om deze kernopdrachten vorm te geven, worden een aantal (hoofd)processen opgezet. Die (hoofd)processen kunnen op hun beurt samengesteld zijn uit verschillende deelprocessen, enz. Verder zijn er ook ondersteunende en managementprocessen.

Procesmanagement Onder procesmanagement verstaan we de gecoördineerde activiteiten die gericht zijn op het effectief inrichten, uitvoeren, beheren en verbeteren van de bedrijfsprocessen. Elk van deze activiteiten is verbonden aan één van de stappen van de PDCA-cyclus. • Plan: definiëren/inventariseren, documenteren/modelleren, analyseren/simuleren, valideren, communiceren, implementeren/ontplooien. • Do: uitvoeren, monitoren/opvolgen • Check: evalueren • Act: bijsturen

Procesmanagement • Sleutelprocessen zijn geïnventariseerd en gedocumenteerd (input > output) • Processen zijn conform strategie, doelstellingen en verwachtingen • Per (sub)sleutelproces is er een proceseigenaar • In overeenstemming met reglementering • IC/OB: kritieke punten, functiescheiding, etc

Procesmanagement • Efficiëntie van de processen • Verbetering van de processen • Toewijzing van middelen aan processen (financieel, personeel, andere)

Procesmanagement http: //www 2. vlaanderen. be/internecontrole/procesmgt. htm

Proceselementen – – – – – de naam van het proces; de doelstelling van het proces; de proceseigenaar; de identificatie van beginpunt en eindpunt; wat is de input; wat is de output; wie is de klant; wat zijn de toepasbare normen en het regelgevend kader; wat bedreigt het behalen van de procesdoelstelling (= procesrisico’s), …. ? wat zijn de locaties waar een proces wordt uitgevoerd?

Bedrijfscontinuïteit en de link met OB 1. BCM is niet iets nieuws 2. BCM is onderdeel van interne controle / organisatiebeheersing (beheersproces) Behalen van maturiteitsniveau 3 tegen 2010 In leidraad IC/OB zit BCM (continuïteitsplanning) reeds in aantal thema’s verwerkt 3. BCM is meer dan ICT

Wat is Bedrijfscontinuïteitsmgt? Bedrijfscontinuïteitsmanagement (BCM) = beheersproces dat risico’s identificeert en beperkt, de mogelijke impact van een onderbreking van (tijds)kritische bedrijfsprocessen en ondersteunende systemen minimaliseert met als ultieme doel het tijdig herstellen van de kritieke bedrijfsprocessen.

Wat is Bedrijfscontinuïteitsmgt? BCM bereidt de organisatie voor op incidenten (bv. een brand, een stroompanne, een onderbreking van mail of telefonie, stakingen, een ongeval, …) die de goede werking van de dienstverlening in gevaar kunnen brengen met de bedoeling maatregelen te nemen op kritieke processen te garanderen of te kunnen heropstarten als het incident zich zou voordoen.

BCM en Risicomanagement • • Binnen het globale risicomanagement verdienen de continuïteitsrisico’s bijzondere aandacht. Zij vormen de basis voor het ontwikkelen van een bedrijfscontinuïteitsproces. Continuïteitsplannen kunnen zich richten op crisisbeheer en –communicatie, facility, ICT (Disaster Recovery Plan) en de processen (cf. de respectievelijke thema’s in deze leidraad).

Bedrijfscontinuïteitsmanagement Welke processen, applicaties, middelen nodig om de doelstellingen te realiseren? Rekening houdend met • wettelijke verplichtingen • contractuele verplichtingen Bepalen welke processen / applicaties eerst terug opgestart moeten worden (hoe lang kunnen ze uitliggen) + welk dataverlies is acceptabel

Business Impact Analyse (BIA) • Technieken en methodes om bedrijfsimpact te identificeren, kwantificeren en kwalificeren, samen met het effect op de organisatie, in geval van verlies, onderbreking of verstoring van de kritieke processen en hun afhankelijkheden • End-to-End ! • Identificeren van de minimale bedrijfsmiddelen door middel van Business Impact Resource Recovery Analysis (BIRRA): – Recovery Time Objective (RTO) – hersteltijddoelstelling – Recovery Point Objective (RPO) – aanvaardbaar verlies

Fases van BCM BCI Good Practice Guidelines De bedrijfsprocessen en onderliggende IT-infrastructuur doorgronden 1 Periodieke testen, onderhoud en audit 5 2 Bedrijfs- Bedrijfscontinuïteitsstrategieën continuïteitsmanagement 4 Creëren & uitbouwen van BCM-cultuur 3 Ontwikkeling & implementatie van herstelplannen

Business Continuity Management Process - BS 25999 -1 Understanding the Organisation Exercising, Maintaining & Auditing BCM Programme Management Developing and Implementing a BCM Response Determining BCM Options

Thema-audit BCM (2007) De entiteiten binnen de VO hebben een zelfinschatting (vragenlijst) uitgevoerd waarbij er een score bekomen werd. Daarnaast werd door IAVA de maturiteit ingeschat voor tien entiteiten. Beide resultaten vormt de nulmeting inzake conformiteit met de ICT-veiligheidsbeleidslijn BCM.

Maturiteitsmodel BCM Er wordt telkens voor elk van de volgende aspecten een score bepaald: (a) onderkenning van en communicatie over het probleem (b) het beleid (c) bijbehorende processen en opleiding voor de uitvoering van het beleid (d) de effectiviteit van het beleid en van de bijbehorende processen meten en op basis daarvan verbeteringen aanbrengen (watervalmodel: a > b > c > d)

KOMPAS Elk kernobject is een onderdeel van een groter geheel waarin ze allen op elkaar aansluiten. Ze staan niet los van elkaar. De processen zijn de “kapstok” van een organisatie ze staan centraal

Vragen?

Bijkomende info http: //www 2. vlaanderen. be/internecontrole/risicomgt. htm http: //www 2. vlaanderen. be/internecontrole/procesmgt. htm COP Procesbeheer: http: //bz. vonet. be/nlapps/docs/default. asp? fid=1052 PIB: http: //bz. vonet. be/nlapps/docs/default. asp? id=2792 IAVA – ronde tafelconferentie BCM: http: //dar. vonet. be/nlapps/docs/default. asp? fid=549