Wat is een BCMS? Business continuity managementsysteem volgens ISO 22301
Een BCMS (business continuity managementsysteem) is het geheel van afspraken, rollen, processen en controles waarmee een organisatie haar bedrijfscontinuïteit beheert. De term komt uit ISO 22301, die beschrijft welke onderdelen een BCMS moet hebben om gecertificeerd te kunnen worden. Het systeem draait om bedrijfscontinuïteit en de afspraken in het bedrijfscontinuiteitsplan. Een BCMS is dus geen software en geen los document, maar een manier van werken die je aantoonbaar maakt.
Een BCMS is het systeem eromheen. Het bedrijfscontinuiteitsplan is één van de documenten erin.
Waarom een BCMS en niet alleen een plan?
Een plan veroudert snel. Een systeem zorgt ervoor dat het plan wordt bijgewerkt, getest en verbeterd. Stel je een bedrijf voor dat in 2024 een perfect continuïteitsplan schreef. In 2026 is de helft van de systemen vervangen, er zijn nieuwe leveranciers en twee medewerkers zijn vertrokken. Zonder BCMS staat het plan nog op de gedeelde schijf en klopt het niet meer.
Een BCMS houdt dat bij. Het legt vast wie het plan onderhoudt, hoe vaak het getest wordt en wat er gebeurt met de uitkomsten.
De onderdelen van een BCMS
ISO 22301 volgt de opzet van de PDCA-cyclus (plan, do, check, act): plannen, uitvoeren, controleren en verbeteren. Voor het BCMS betekent dat in de praktijk:
| Onderdeel | Vraag die het beantwoordt | Waar je het vindt |
|---|---|---|
| Context en scope | Wat valt binnen het BCMS en wat niet? | Stappenplan |
| Leiderschap | Wie is eigenaar en wie beslist? | Eisen van de norm |
| Risico en BIA | Wat is kritiek en hoe lang mag het uitvallen? | BIA, RTO en RPO |
| Continuïteitsstrategie | Met welk alternatief overbruggen we uitval? | Bedrijfscontinuiteitsplan |
| Procedures en crisisbeheer | Wat doen we op het moment zelf? | Crisismanagement |
| Testen en oefenen | Werkt het plan echt? | Oefenen en testen |
| Evaluatie en verbetering | Wat leren we en wat passen we aan? | Het auditproces |
Die tabel laat zien dat een BCMS meer is dan één document. Elke rij levert bewijs op dat een auditor kan controleren.
BCMS en BCP: wat is het verschil?
Een BCP (bedrijfscontinuiteitsplan) is het document met de concrete afspraken. Het BCMS is het systeem dat het plan voedt, onderhoudt en controleert.
| BCP | BCMS | |
|---|---|---|
| Wat is het? | Een document of set documenten | Een managementsysteem |
| Wanneer klaar? | Na het schrijven | Pas als het werkt en verbetert |
| Wie beheert het? | Meestal één eigenaar | Management, proceseigenaren en beheer samen |
| Bewijs | Het plan zelf | Het plan, oefenverslagen, besluiten en verbeteracties |
Een BCP zonder BCMS is vaak een mooi document dat na een jaar niemand meer kent. Een BCMS zonder BCP mist de inhoud. Je hebt beide nodig.
Een voorbeeld: een BCMS voor een klein bedrijf
Een installatiebedrijf met vijftien medewerkers wil ISO 22301 als traject starten. Het bedrijf houdt het klein:
- De directeur is eigenaar van het BCMS en tekent de scope af: planning, facturatie en de servicedesk.
- De BIA bepaalt dat de servicedesk binnen één dag terug moet zijn.
- Het bedrijfscontinuiteitsplan beschrijft dat storingsmeldingen tijdelijk via de mobiele telefoon van de planner binnenkomen.
- Elk kwartaal wordt een korte oefening gedaan: de planner neemt de telefoon mee naar huis en behandelt een testmelding.
- Na elke oefening staat er één verbeterpunt op de actielijst, met eigenaar en datum.
Dat is een werkend BCMS op kleine schaal. Het hoeft niet groter te zijn om aantoonbaar te zijn.
Hoe je een BCMS in een jaar opbouwt
Een BCMS bouw je in stappen op. Dit is een realistische volgorde voor een mkb-bedrijf, uitgaande van een kleine groep betrokkenen:
| Kwartaal | Wat je doet | Bewijs dat je oplevert |
|---|---|---|
| 1 | Scope vastleggen en eigenaar benoemen | Vastgestelde scope, mandaat |
| 2 | BIA uitvoeren voor de kritieke processen | BIA-tabel, goedgekeurde RTO en RPO |
| 3 | Continuïteitsstrategie en plannen schrijven | Bedrijfscontinuiteitsplan, IT-plan |
| 4 | Eerste oefening en interne controle | Oefenverslag, actielijst |
Na het eerste jaar begint de cyclus opnieuw. Je past het BCMS aan op wat de oefeningen en incidenten hebben laten zien. Dat is ook precies wat een auditor bij de surveillance wil zien: dat er iets is veranderd door het leren van het vorige jaar.
Veelgemaakte fouten
| Fout | Gevolg | Betere aanpak |
|---|---|---|
| Een BCMS alleen opschrijven | Niemand gebruikt het | Begin met één proces en laat het werken |
| Geen eigenaar aanwijzen | Het verloopt in de dagelijkse drukte | Benoem één verantwoordelijke met mandaat |
| Geen verbeteracties uit oefeningen | Dezelfde fouten keren steeds terug | Leg elke uitkomst vast met actie en datum |
| Scope te breed kiezen | Het traject loopt vast | Begin met de kritieke processen |
Hoe het BCMS in de certificering past
Voor certificering moet je aantonen dat het BCMS werkt. De auditor komt in twee stappen langs: eerst om te kijken of het systeem op papier klopt, daarna om te zien of het in de praktijk werkt. Het volledige verloop beschrijven we bij het auditproces. Voor de kosten en doorlooptijd zie je kosten en tijdlijn.
Veelgestelde vragen over het BCMS
Is een BCMS software? Niet per se. Software kan helpen met het bijhouden van documenten en acties, maar het BCMS is een manier van werken.
Moet een BCMS altijd gecertificeerd worden? Nee. Je kunt een BCMS ook inrichten zonder certificaat. Het certificaat is het bewijs voor derden.
Hoe begin ik? Begin met de scope en de BIA. Het stappenplan laat de volgorde zien.
Voor het begrip waarop het BCMS rust, lees wat bedrijfscontinuïteit is.