Toen in maart 2020 een productiebedrijf in de Randstad zijn volledige magazijnteam kwijtraakte door quarantaine, bleek het bestaande calamiteitenplan precies één scenario te dekken: brand. Geen woord over langdurige personeelsuitval, geen alinea over het wegvallen van een kritische toeleverancier. Dat beeld is typerend voor hoe veel Nederlandse mkb-bedrijven de pandemie ingingen, en het roept de vraag op of die plannen sindsdien werkelijk zijn bijgewerkt.
Continuïteitsplannen van mkb-bedrijven: aangepast of vergeten?
Tijdens de coronacrisis improviseerden de meeste organisaties. Crisisteams werden ad hoc samengesteld, thuiswerkbeleid ontstond in een weekend en leveranciersissues werden per telefoon opgelost. Nu, jaren later, is de urgentie verdwenen.
Verder lezen: De groei van duurzame bedrijven in Nederland: een analyse
Het patroon dat we in de praktijk zien is helder: veel mkb-bedrijven hebben hun continuïteitsplan niet structureel herzien. Het oorspronkelijke document, vaak opgesteld voor fysieke calamiteiten, ligt weer in de la. Waar grote corporates hun Business Continuity Management (BCM) formaliseerden met scenario-analyses, ontbreekt die slag bij kleinere ondernemingen.
Dat is een probleem, want de verstoringen die COVID-19 blootlegde zijn niet verdwenen. Personeelstekorten, afhankelijkheid van enkele leveranciers en kwetsbare digitale systemen waren geen eenmalige pandemie-effecten. Het zijn structurele risico’s die elk bedrijf in Nederland raken.
Verder lezen: Juridische stappen bij het opstarten van een bedrijf in Nederland
Personeelsuitval als permanente verstoring
De pandemie leerde dat een bedrijf met tien medewerkers volledig stilvalt wanneer drie of vier tegelijk ziek zijn. Dat scenario beperkt zich niet tot een virus. Griepgolven, mantelzorgverplichtingen en de krappe arbeidsmarkt zorgen voor vergelijkbare druk.
Een concreet continuïteitsplan toetst drie dingen voor personeelsuitval:
- Welke functies zijn kritiek voor de dagelijkse bedrijfsvoering, en wie kan die op korte termijn overnemen? Cross-training is hier de kern.
- Is er een actuele contactlijst met uitzendpartners of zzp’ers die binnen 48 uur inzetbaar zijn voor operationele taken?
- Bestaan er duidelijke instructies zodat een invaller zonder inwerkperiode van twee weken aan de slag kan?
Cross-training en gedocumenteerde werkprocessen bleken tijdens COVID-19 het verschil te maken tussen bedrijven die doordraaiden en bedrijven die wekenlang stillagen. Toch is het vastleggen van werkprocessen juist bij kleinere bedrijven vaak niet gebeurd, omdat kennis in de hoofden van enkele medewerkers zit.
Digitale systemen: de kwetsbaarheid achter het thuiswerkkantoor
De snelle overstap naar thuiswerken werd breed gevierd als succesverhaal. Wat minder aandacht kreeg: veel bedrijven draaiden maandenlang op noodoplossingen. Privélaptops met verouderde software, VPN-verbindingen die niet waren getest op belasting, en cloudmigraties die in een paar dagen werden doorgevoerd zonder beveiligingsaudit.
Die digitale kwetsbaarheid is relevant gebleven. Uitval van digitale systemen kan een mkb-bedrijf net zo hard raken als een lockdown. Een ransomware-aanval, een storing bij een cloudprovider of het verlopen van een cruciaal softwarecontract leidt tot dezelfde operationele stilstand.
Een goed continuïteitsplan bevat daarom een aparte sectie voor digitale weerbaarheid. Denk aan offline back-ups van klantgegevens, een uitwijkscenario bij uitval van de primaire cloudomgeving en een jaarlijkse test van de herstelprocedure. Niet als IT-project, maar als bedrijfsrisico dat op directieniveau thuishoort.
Leveranciersketens na COVID-19: van single sourcing naar bewuste spreiding
Wat de pandemie zichtbaar maakte
Bedrijven die voor een kritisch onderdeel of grondstof afhankelijk waren van één leverancier, kwamen tijdens de coronacrisis in acute problemen. Productieketens vielen uit doordat fabrieken in Azië sloten, containervervoer vastliep en levertijden van weken naar maanden opliepen.
Wat een mkb-bedrijf concreet kan doen
De les is niet dat elk bedrijf een wereldwijd inkoopnetwerk moet opbouwen. De les is dat afhankelijkheid van één schakel een bewust geaccepteerd risico moet zijn, geen onbewuste gewoonte. Dat begint met het in kaart brengen van de drie tot vijf leveranciers waarvan de omzet direct afhankelijk is.
Vervolgens stel je per leverancier de vraag: als deze partij morgen drie maanden niet kan leveren, wat doen we dan? Sommige bedrijven kiezen voor dual sourcing, anderen leggen een voorraadbufer aan voor kritieke materialen. Beide opties kosten geld, maar wegen op tegen de schade van volledige stilstand.
Maatregelen voor bedrijfscontinuïteit toetsen aan echte scenario’s
Het grootste risico van een continuïteitsplan is dat het alleen op papier bestaat. Organisaties die tijdens de coronacrisis het snelst schakelden, hadden één ding gemeen: ze hadden hun plan weleens geoefend, al was het maar als tabletop-oefening met het managementteam.
Een jaarlijkse oefening hoeft niet groots te zijn. Neem een concrete verstoring (volledige IT-uitval, uitval van de helft van het personeel, wegvallen van de belangrijkste klant) en loop het plan stap voor stap door. Waar het plan vastloopt, zit het echte risico.
De coronacrisis in Nederland heeft aangetoond dat economische veerkracht mogelijk is, mits bedrijven bereid zijn hun kwetsbaarheden eerlijk te benoemen. Het verschil tussen organisaties die een volgende verstoring overleven en organisaties die in problemen komen, zit niet in de omvang van het bedrijf. Het zit in de vraag of het continuïteitsplan de afgelopen twaalf maanden is opengeslagen, getoetst en bijgewerkt.
