# Vuistregels per kritiek proces

Wat er uit ervaring geregeld hoort te zijn voor een betrouwbare procesgang. De afweging blijft aan de
proceseigenaar: wijkt hij af, dan is het verstandig vast te leggen wat er dan wel geregeld is en waarom hij
dat afdoende vindt.

De zeven assen hieronder zijn de MAPGOOD-indeling: mensen, apparatuur, programmatuur, gegevens, organisatie,
omgeving en diensten. Loop ze jaarlijks langs, en in elk geval na een organisatiewijziging.

## Het proces zelf

- Sturing en continu verbeteren zijn onderdeel van de dagelijkse werkwijze, niet van een apart project.
- Het proces is beschreven en die beschrijving is actueel. Minstens jaarlijks herzien.
- Taken, rollen en bevoegdheden liggen vast. Functiescheiding wordt afgedwongen en blijft werken bij
  verminderde bezetting.
- Er is een escalatiestructuur, inclusief de triggers en de manier van signaleren, alarmeren en rapporteren.

## Mensen

Voor functies zonder wie het proces niet kan draaien of hersteld worden, is vervanging beschikbaar.

**Drie personen per onmisbare functie.** Dat is de ervaringsregel: met drie vang je verloop, verlof en ziekte
tegelijk op. Met twee niet. Deze functionarissen regelen onderling dat de bezetting rond is, als onderdeel
van hun vak. Zijn het er tijdelijk minder, dan kan dat worden opgevangen met serviceafspraken met derden,
bijvoorbeeld collega's uit buurorganisaties of een leverancier.

Denk hierbij niet alleen aan uitvoerders maar ook aan management, beslissers, controleurs en functioneel
beheer. Juist daar draait het vaak op een enkeling.

## Apparatuur

- Er is voldoende apparatuur om bij defecten en gepland onderhoud de kritische onderdelen beschikbaar te
  houden.
- Essentiele apparatuur is in principe dubbel uitgevoerd, of zowel digitaal als analoog te bedienen.

## Programmatuur

- Er zijn servicelevels afgesproken met de leverancier, intern of extern.
- Daarop wordt gemonitord en gerapporteerd. Een afspraak zonder rapportage is een aanname.

## Gegevens

- De gegevens zijn helder gedefinieerd.
- Er is een classificatie gedaan om vast te stellen welke beschikbaarheid, integriteit en vertrouwelijkheid
  vereist zijn.
- Bij clouddiensten: er zijn back-upafspraken, de export van data en het gegevensmodel zijn beschikbaar, en
  een exit is mogelijk volgens de geldende inkoopvoorwaarden.

## Organisatie

- De verantwoordelijkheden zijn belegd in een ingevulde verantwoordelijkhedenmatrix, aanwijsbaar per rol.

## Omgeving

- Gebouwen en ruimtes die het proces nodig heeft, zijn in beeld.
- Noodstroom voor gebouwgebonden voorzieningen, als er geen alternatieve ruimte beschikbaar is.

## Diensten

- Serviceafspraken en monitoring passend bij het belang van het proces. Let op dat leveranciers vaak
  beperkte garanties geven uit voorzichtigheid en om claims te voorkomen, terwijl de praktijk gunstiger is
  dan het contract suggereert. Vraag naar de praktijk, niet alleen naar de garantie.
- Voor kritische diensten in bedrijfskritische processen: er is een exitplan waaruit blijkt hoe de dienst
  beeindigd en elders ondergebracht kan worden. Dat helpt bij gelijkwaardig samenwerken en bij het behouden
  van een onafhankelijke positie.

---

## Uitgangspunten voor de continuiteitsstrategie

Deze liggen onder de vuistregels en bepalen hoe je ze toepast.

**Continuiteit is een lijnverantwoordelijkheid.** Onderdelen die ondersteunende processen uitvoeren, moeten
voldoen aan de eisen die het primaire proces stelt. Niet andersom.

**Het doel is het voorkomen van maatschappelijke ontwrichting.** Gaat het toch mis in een kritiek proces, dan
is de doelstelling om het op te lossen voordat het een crisis wordt waarop de crisisorganisatie moet
handelen.

**Continuiteitsbeheer sluit wel aan op de crisisorganisatie**, waarbij externe veiligheid voorgaat op
bedrijfscontinuiteit. Opleiden, trainen en oefenen gebeurt in samenhang, niet in twee gescheiden programma's.

**Twee lagen plannen.** Er is centraal een generiek continuiteitsplan, met een bestuurlijk verantwoordelijke
voor de inhoud en een coordinator voor het beheer. Daarnaast heeft elk organisatieonderdeel een eigen plan
dat daarop aansluit, en dat is van de proceseigenaar.

**Afspraken staan op het juiste niveau.** Wat generiek geldt, staat in het centrale plan. Wat specifiek is
voor een kritiek proces, staat in het plan van dat proces. Over de levering van voorzieningen wordt
gerapporteerd, zodat je periodiek kunt evalueren of de afspraak ook werkelijkheid is.

**Per kritiek proces liggen de continuiteitseisen vast:** de maximale uitvalsduur, het maximale
gegevensverlies, en het minimumniveau waarop de dienstverlening tijdens een verstoring doorgaat.

**Er zijn voorzieningen die die eisen waarmaken**, in eigen middelen of in geborgde afspraken met interne of
externe aanbieders. Een eis zonder voorziening is een wens.

**Jaarlijks beoordelen.** Alle plannen en voorzieningen worden minstens een keer per jaar getoetst op
volledigheid, juistheid en actualiteit, gecoordineerd door de beheerder van het betreffende plan.

**Tweejaarlijks oefenprogramma**, in samenhang met de opleidingsplannen van de crisisorganisatie.

**Toezicht ligt bij de directie**, de uitvoering daarvan bij interne of externe auditors.