Netwerk Organisatiebeheersing Risicomanagement, procesmanagement en bedrijfscontinuïteit

Inhoud Doelstellingen Risicomanagement Procesmanagement Bedrijfscontinuïteitsmanagement Vragen?

Core business Core business van een organisatie Voor agentschappen: oprichtings-besluit of -decreet Voor departementen: Kaderdecreet. Dit vindt zijn doorvertaling in lange termijnvisie: beheersovereenkomst / managementovereenkomst.

Doelstellingen en processen Wie zijn we en waarom bestaan we? Welke zijn de belangrijkste doelstellingen die de organisatie moet halen om haar visie waar te maken? Welke is onze ambitie voor de komende jaren? Welke zijn de kritische elementen die de SD’s beïnvloeden en waarvoor meetbare doelstellingen moeten behaald worden? Gelet op taken / business bepaalt de organisatie de visie en missie de doelstellingen strategische doelstellingen operationele doelstellingen Rekening houdend hiermee wordt bepaald welke processen ontwikkeld moeten worden Welk resultaat (product) moet het project opleveren? Is het in lijn met de SD’s van de organisatie?

Risicomanagement Nadat de organisatie haar doelstellingen heeft goedgekeurd en gecommuniceerd, zal zij beslissen hoe en op welke wijze ze uitvoering zal geven aan de doelstellingen. De obstakels (= risico’s) die de organisatie kan tegen komen bij het uitvoeren van deze doelstellingen worden in kaart gebracht. Dit veronderstelt een duidelijk inzicht in de werking en de processen (= procesanalyse). Bij het uittekenen van de wijze waarop de doelstellingen uitgevoerd zullen worden (processen en projecten) moet nagedacht worden over wat er allemaal fout kan lopen > identificeren van risico’s

Risicomanagement

Impact / probabiliteit Als de risico’s geïdentificeerd zijn, dient er een ranking (prioritering) te gebeuren (hoog/middelmatig/laag). Deze ranking wordt uitgevoerd door een inschatting te geven over impact en probabiliteit.

Impact / probabiliteit Een inschatting over de probabiliteit is een inschatting over de kans dat het risico zich effectief zal voordoen (de waarschijnlijkheid) Bij de inschatting van de impact wordt een oordeel gegeven hoe erg het dan voor de organisatie is als het risico zich effectief manifesteert.

Risicostrategie Als de risico’s gedetecteerd zijn, dient de organisatie te beslissen welke strategie ze zal hanteren (risico-appetijt). Hierbij zijn er 4 mogelijkheden: Niets doen – risico’s aanvaarden (accept) Vermijden (avoid) Beheersen / beperken > beheersmaatregelen (reduce to acceptable level) Transfereren (transfer)

Risicomanagement Risicomanagement is een continu proces. Elke organisatie is immers actief in een dynamische omgeving, waarin voortdurend nieuwe risico’s ontstaan die het bereiken van de organisatie- doelstellingen in het gedrang kunnen brengen, terwijl bestaande risico’s toenemen, afnemen of verdwijnen. Dit heeft gevolgen voor de effectiviteit van de door de organisatie gekozen beheers- maatregelen. Een organisatie moet dan ook steeds alert blijven om zijn beheersmaatregelen tijdig te kunnen bijsturen (check / act).

Processen Elke organisatie heeft als missie één of meer kernopdrachten te realiseren. Om deze kernopdrachten vorm te geven, worden een aantal (hoofd)processen opgezet. Die (hoofd)processen kunnen op hun beurt samengesteld zijn uit verschillende deel- processen, enz. Verder zijn er ook onder- steunende en managementprocessen. Wat is een proces en welke soorten processen zijn er? Een proces is een geheel van opeenvolgende activiteiten dat middelen (input) omzet in resultaten (output en outcome) waardoor een meerwaarde wordt gecreëerd. Er zijn drie categorieën: Kernprocessen of primaire processen zijn essentieel om de producten of diensten van de organisatie te leveren. Het zijn die processen die nodig zijn om de behoeften van de klanten te vervullen. Bv. Dossierbehandeling, het uitvoeren van inspecties door inspectiediensten, verlenen van vergunningen / erkenningen Management- of beheersprocessen zijn nodig om de organisatie(-eenheid) te besturen, teneinde te voldoen aan de doelstellingen en aan de wet- en regelgeving. Bv. Strategie, organisatiebeheersing, missie- en doelstellingenbepaling, rapportering Ondersteuningsprocessen voorzien in de nodige middelen, ze kunnen zowel de kernprocessen als de managementprocessen ondersteunen. Bv. ICT, (uit)betalingsproces, aankoopproces, HR, ….. Een proces kan afhankelijk van de opdracht van de organisatie voor de ene organisatie een ondersteunend proces en voor een andere organisatie een kernproces zijn.

Procesmanagement Onder procesmanagement verstaan we de gecoördineerde activiteiten die gericht zijn op het effectief inrichten, uitvoeren, beheren en verbeteren van de bedrijfsprocessen. Elk van deze activiteiten is verbonden aan één van de stappen van de PDCA-cyclus. Plan: definiëren/inventariseren, documenteren/modelleren, analyseren/simuleren, valideren, communiceren, implementeren/ontplooien. Do: uitvoeren, monitoren/opvolgen Check: evalueren Act: bijsturen

Procesmanagement http://www2. vlaanderen. be/internecontrole/procesmgt

Bedrijfscontinuïteit en de link met OB BCM is niet iets nieuws BCM is onderdeel van interne controle / organisatiebeheersing (beheersproces) Behalen van maturiteitsniveau 3 tegen 2010 In leidraad IC/OB zit BCM (continuïteitsplanning) reeds in aantal thema’s verwerkt BCM is meer dan ICT

Wat is Bedrijfscontinuïteitsmgt? Bedrijfscontinuïteitsmanagement (BCM) = beheersproces dat risico’s identificeert en beperkt, de mogelijke impact van een onderbreking van (tijds)kritische bedrijfs- processen en ondersteunende systemen minimaliseert met als ultieme doel het tijdig herstellen van de kritieke bedrijfsprocessen.

BCM en Risicomanagement Binnen het globale risicomanagement verdienen de continuïteitsrisico’s bijzondere aandacht. Zij vormen de basis voor het ontwikkelen van een bedrijfscontinuïteitsproces. Continuïteitsplannen kunnen zich richten op crisisbeheer en –communicatie, facility, ICT (Disaster Recovery Plan) en de processen (cf. de respectievelijke thema’s in deze leidraad).

Bedrijfscontinuïteitsmanagement Welke processen, applicaties, middelen nodig om de doelstellingen te realiseren? Rekening houdend met wettelijke verplichtingen contractuele verplichtingen Bepalen welke processen / applicaties eerst terug opgestart moeten worden (hoe lang kunnen ze uitliggen) + welk dataverlies is acceptabel

Business Impact Analyse (BIA) Technieken en methodes om bedrijfsimpact te identificeren, kwantificeren en kwalificeren, samen met het effect op de organisatie, in geval van verlies, onderbreking of verstoring van de kritieke processen en hun afhankelijkheden End-to-End ! Identificeren van de minimale bedrijfsmiddelen door middel van Business Impact Resource Recovery Analysis (BIRRA): Recovery Time Objective (RTO) – hersteltijddoelstelling Recovery Point Objective (RPO) – aanvaardbaar verlies Techniques & methodologies to identify, quantify and qualify the business impacts and their effects on the organisation of a loss, interruption or disruption of a MCA(s) and/or their interdependencies; INCLUDING THEIR INTRA-ORGANISATION ANS OUTSOURCED PROVISION. BIA part to be executed by BUSINESS MANAGERS as they are better placed to correctly assess any impact effect and risk appetite role BIRRA (Business Resource Recovery Impact) should be carried out by operational staff because they are best placed to identify the resources that are required to achieve the RTO and RPO

Thema-audit BCM (2007) De entiteiten binnen de VO hebben een zelfinschatting (vragenlijst) uitgevoerd waarbij er een score bekomen werd. Daarnaast werd door IAVA de maturiteit ingeschat voor tien entiteiten. Beide resultaten vormt de nulmeting inzake conformiteit met de ICT-veiligheids- beleidslijn BCM.

KOMPAS Elk kernobject is een onderdeel van een groter geheel waarin ze allen op elkaar aansluiten. Ze staan niet los van elkaar. De processen zijn de “kapstok” van een organisatie  ze staan centraal

Vragen?

Bijkomende info http://www2.vlaanderen.be/internecontrole/risicomgt.htm http://www2.vlaanderen.be/internecontrole/procesmgt.htm COP Procesbeheer: http://bz.vonet.be/nlapps/docs/default.asp?fid=1052 PIB: http://bz.vonet.be/nlapps/docs/default.asp?id=2792 IAVA – ronde tafelconferentie BCM: http://dar.vonet.be/nlapps/docs/default.asp?fid=549