ISO 22301 heeft in 2014 zijn intrede gedaan in de voedingsmiddelenindustrie. Dit was namelijk het jaar dat Albert Heijn van haar strategische partners ging verlangen dat zij de continuïteit van hun bedrijfsvoering aantoonbaar op orde hadden. Dit betekent dat een bedrijf maatregelen neemt om altijd te kunnen leveren, ook bij een crisis of calamiteit, zoals langdurige stroomuitval, een brand of leveringsproblemen bij een belangrijke leverancier.

Je certificeren volgens de ISO 22301-norm is een goede methode om dat te doen. “In veel sectoren zie je dat bedrijven met bedrijfscontinuïteit aan de slag gaan, omdat een externe stakeholder dat van hen vraagt”, zegt Aart Bitter, auditor bij DNV GL. “In het begin wordt het vaak als een verplichting gezien. Meestal zie je dat bedrijven op een gegeven moment de voordelen gaan inzien. De mensen gaan het leuk vinden en de norm wordt echt geadopteerd. Daar komen de beste crisisplannen uit voort.”

Kwetsbaarheden

De bakkerijen van Bakkersland en Borgesius maakten in 2014 voor het eerst kennis met deze ISO-norm. Later ging dit twintigtal bakkerijen verder onder de namen Borgesius en Goedhart. QESH-manager Babette Weenink vertelt dat ze zich in 2014 afvroeg of dit certificaat meerwaarde had. “Wij leveren iedere dag vers brood aan retailers”, vertelt ze. “Het is ons vak om altijd te leveren, ook als we tegenslag hebben. Wat er ook gebeurt, we lossen het altijd op, zodat de klant gegarandeerd geleverd krijgt. Daar zijn we goed in. We hadden het gevoel dat we onze bedrijfscontinuïteit al goed op orde hadden.”

Beide bedrijven maakten een bedrijfscontinuïteitsplan, zoals de norm dat voorschrijft. “Het goede daarvan was dat we ons wat meer bewust werden van de kwetsbaarheden in ons proces”, vertelt Manfred Fielmich, coördinator milieu en bedrijfscontinuïteit. “Maar voor de wijze waarop we met crisissituaties omgaan, verandert het vrijwel niets.”

Praktisch houden van ISO 22301

telefoon Aart Bitter vertelt dat het bij het opstellen van een bedrijfscontinuïteitsplan belangrijk is om het praktisch te houden. De norm vraagt allereerst wat voor type crisis jou als bedrijf kan overkomen. “Kijk daarbij allereerst naar de zaken waar je nu al regelmatig tegenaan loopt. Veel voedingsmiddelenbedrijven beginnen elke ochtend met een minicrisis. Er is namelijk altijd wel iets waar je tegenaan loopt. Een grondstof is bijvoorbeeld niet geleverd, een medewerker heeft zich ziek gemeld of het onderhoud van een machine duurt langer dan gedacht. Hoe ga je daar mee om? En hoe moet je hiermee omgaan als het incident groter is?”

Ook vraagt de ISO-norm om een analyse te maken van je belangrijkste bedrijfsprocessen. Welke maatregelen kun je nemen om ervoor te zorgen dat deze processen altijd doorgaan? “Misschien lever je bijvoorbeeld dertig verschillende soorten groente en fruit”, zegt Bitter. “Vijf daarvan zijn het belangrijkste voor je afnemer. Dan neem je maatregelen om ervoor te zorgen dat je deze vijf producten altijd kunt blijven leveren, ook als er problemen ontstaan. Je zorgt er bijvoorbeeld voor dat dit product door twee verschillende leveranciers kan worden geleverd of dat deze producten op twee verschillende lijnen gedraaid kunnen worden. Zo zorg je ervoor dat je tijdens een crisis je belangrijkste producten altijd kunt blijven leveren.”

Aanwezige kennis

1266922016Operators-aan-het-werk Fielmich vertelt dat de bedrijfscontinuïteitsplannen van Borgesius en Goedhart door de jaren heen verbeterd zijn. “In het begin hadden we de neiging om alle kwetsbaarheden van alle processtappen te omschrijven. Daardoor werd het te gedetailleerd. Nu kijken we meer naar het grotere geheel. Ook hebben we gemerkt dat het belangrijk is om termen te gebruiken die aansluiten bij de beleving op de werkvloer. In de norm staat bijvoorbeeld omschreven dat je kunt vastleggen hoeveel het kost als een bedrijfsproces stil ligt. Die geldbedragen zeggen een operator weinig. Maar een operator weet wel precies hoe lang een oven kan uitvallen, zonder dat we in de problemen komen. En hij weet welke maatregelen hij moet nemen als een storing langer duurt. Zo hebben we de norm op de werkvloer vertaald in termen waar ook de medewerkers een beeld bij hebben.”

Routine

Elke crisis is anders. “Toch is het goed om je voor te bereiden”, zegt Aart Bitter. “Daardoor krijg je namelijk een bepaalde routine, waardoor je beter weet hoe je moet handelen tijdens een crisis. Ook lijken veel crises vaak op elkaar. Veel bedrijven hadden bijvoorbeeld een scenario waarin staat dat veel mensen tijdens een crisis thuis moeten gaan werken. Zo konden zij tijdens de lockdown snel die overgang maken.”

Grote crisisoefening

In de ISO 22301-norm staat omschreven dat je een crisis of calamiteit periodiek moet oefenen. “Daarmee test je of de genomen maatregelen effectief zijn”, legt Bitter uit. “In veel plannen staat bijvoorbeeld een stroomuitval van een halve dag opgenomen. Dit zou je in een weekend kunnen oefenen. Zo kom je erachter of het mogelijk is om de fabriek op een noodaggregaat te laten draaien. En je ziet waar de knelpunten zitten. Vaak zit dat in kleine dingen, zoals een stekker die niet past of een kabel die te kort is.”

Onlangs brak er nog brand uit in een machinekamer bij Ekro in Apeldoorn. De productie kwam daardoor tijdelijk stil te liggen. Tijdens een grote crisis, zoals een brand, wordt er snel een team samengesteld dat zich richt op de continuïteit van de productie (foto: Bernhard Korsten)

Ook bakkerij Borgesius en Goedhart houdt periodiek calamiteitenoefeningen, zoals een ontruiming als gevolg van een brand. “Meestal brengt dit geen grote verbeterpunten aan het licht”, zegt Fielmich. “We zetten hiermee de puntjes op de i.” Zijn collega Weenink zou graag een keer een echt grote crisis oefenen. “Tijdens een grote calamiteit heeft iedereen een specifieke rol. De een houdt het logboek bij, de ander vangt de mensen op. Er wordt zo snel mogelijk een team samengesteld dat zich op de continuïteit van de productie richt. We hebben dit op papier allemaal goed omschreven staan. Maar pakken mensen die rol ook op als ze tijdens een crisis onder hoge druk staan? Vaak zie je tijdens een crisisoefening dat er nieuwe talenten opstaan. Zij pakken een bepaalde rol erg goed op. Tevens zie je tijdens zo’n grote oefening of iedereen de juiste rollen heeft. Een grote oefening is een goede en informatieve manier om de crisisplannen tot leven te brengen.”

Lerende organisatie

Borgesius & Goedhart is inmiddels zes jaar ISO 22301-gecertificeerd. Weenink vindt dit een goed moment om de plannen ook op andere vlakken uit te bouwen. “Nu beheert de afdeling QESH het werk dat voortkomt uit het certificaat. Maar ook een ICT-storing of logistieke crisis heeft potentieel veel impact. Daarom wil ik graag dat enkele mensen van die afdelingen een prominentere rol krijgen. Zij kunnen waardevolle input leveren.”

Fielmich benadrukt het belang van lering trekken uit de incidenten die geweest zijn. “Door de invoering van ISO 22301 zijn we de incidenten beter gaan registreren en evalueren. We zijn nu aan het kijken of we daar patronen in zien waardoor we zowel in preventieve zin als bij het reageren op incidenten eventueel de maatregelen kunnen aanscherpen. Zo draagt ISO 22301 eraan bij dat we nog meer een lerende organisatie worden.”

Fabian van Schie, commercieel directeur Verkade, over coronacrisis: ‘We moesten de fabriek draaiende houden om aan toenemende vraag te voldoen

Albert Heijn

VMT benaderde ook Albert Heijn om mee te werken aan dit artikel. Woordvoerder Anoesjka Aspeslagh geeft aan dat de afdeling communicatie op dit moment geen tijd heeft om het verzoek in behandeling te nemen. “We hebben het erg druk en de ISO 22301-norm is geen gemakkelijk onderwerp. Het kost te veel tijd om ons hierin te verdiepen en met een goede inhoudelijke reactie te komen. Die tijd hebben we op dit moment helaas niet.”

Cyberaanval

Een veel voorkomende calamiteit waar voedingsmiddelenbedrijven door getroffen kunnen worden, is een cyberaanval. Zo’n aanval begint vaak met een medewerker die op een verkeerd linkje klikt of een voorspelbaar wachtwoord gebruikt. Hiermee geven ze criminelen de kans om het netwerk te infecteren. Vervolgens leggen de criminelen met één druk op de knop het hele bedrijf stil. Dit betekent dat alle bestanden zijn versleuteld, de e-mail onbruikbaar is geworden en dat de fabriek niet meer kan draaien omdat ook het ERP-systeem is aangetast. Het komt regelmatig voor dat ondernemers zich genoodzaakt voelen om de criminelen losgeld te betalen, zodat zij de data weer herstellen.

ransomware cyberaanval Bedrijven die ISO 22301-gecertificeerd zijn en een cyberaanval als een serieuze dreiging zien, hebben maatregelen genomen om een cyberaanval te voorkomen. Ze zorgen er bijvoorbeeld voor dat de medewerkers zich bewust zijn van de gevaren en dat de software regelmatig geüpdatet wordt. Ook staan in het bedrijfscontinuïteitsplan maatregelen waardoor de schade bij een aanval beperkt blijft, zoals het maken van back-ups. Slaagt een crimineel er toch nog in om de hele fabriek stil te leggen? Dan staat in het bedrijfscontinuïteitsplan omschreven hoe het bedrijf de belangrijkste bedrijfsprocessen zo snel mogelijk weer operationeel krijgt.