Minimaal Levensvatbare Organisatie (MVO): Maximaliseer veerkracht in onzekere tijden

Waarom een Minimaal Levensvatbare Organisatie (MVO)?

Veel organisaties bereiden zich voor op veerkracht door potentiële scenario's op te sommen en zich hierop voor te bereiden via een All Hazards-benadering. Potentiële scenario's kunnen cyberaanvallen, wijdverspreide IT-storingen, supply chain-verstoringen, weer- of natuurrampen en geopolitieke gebeurtenissen omvatten. Ervaring leert echter dat veel scenario's gelijktijdig kunnen plaatsvinden of onvoorspelbaar zijn — denk aan de COVID-19-pandemie — dus niemand kan weten wat morgen brengt. Daarom is het onze overtuiging dat organisaties moeten begrijpen wat tijdkritisch is om te behouden, met behulp van een concept dat we de MVO noemen.

Wat is een MVO?

De MVO is het begrip en de prioritering van de tijdkritische diensten, processen en (IT-)afhankelijkheden die nodig zijn om het minimaal acceptabele operationele niveau van een organisatie te leveren. In essentie beantwoordt het drie kritieke vragen: wat is het minimum dat je moet leveren om de organisatie draaiende te houden, wanneer wordt de impact onaanvaardbaar als je het niet kunt leveren, en welke middelen en capaciteiten heb je nodig om dat serviceniveau te handhaven?

Een MVO-strategie vormt de basis voor geïnformeerde besluitvorming door het leiderschap en vereist gerichte input van belangrijke senior stakeholders en veerkrachtervaring. Met behulp van een stapsgewijze benadering leggen organisaties de tijdkritische processen en afhankelijkheden vast — zoals (IT-)infrastructuur, mensen en supply chains. Door deze visie op tijdkritische zaken te cultiveren, vestigt de MVO top-down veerkracht vanaf bestuursniveau en verduidelijkt waar zij de bescherming moeten concentreren wanneer ze onder druk staan. Het doel is om robuustheid en veerkracht te prioriteren — niet efficiëntie. Dat maakt coherente beslissingen mogelijk in tijden van stress, stelt stakeholders gerust, beschermt de dagelijkse operaties en verduidelijkt waar vooraf te investeren in veerkracht.

3 P's-concept: prioriteren, beschermen en druk

Het begrijpen van de MVO is cruciaal omdat het veerkracht verschuift van alleen preventie naar een leiderschapscapabiliteit die helpt bij a) prioriteren, b) beschermen en c) druk.

Hoe prioriteer je?
Samen identificeren en rangschikken we de meest kritieke diensten en processen die essentieel zijn voor de continuïteit van je organisatie. Dit is een belangrijke uitkomst in het begrijpen van de MVO.

Wat bescherm je?
Organisaties implementeren strategieën en maatregelen om waardevolle tastbare en ontastbare activa te beschermen — informatie, middelen, reputatie en mensen — tegen crises. De MVO geeft aan welke activa beschermd moeten worden.

Hoe ga je om met druk?
De MVO wordt onder druk gebruikt om de juiste keuzes te begeleiden. Wanneer een crisis zich voordoet, zijn besluitvormers voorbereid en heeft druk minder effect op hun beslissingen.

De MVO helpt bij het scopen van het veerkrachtprogramma van de organisatie:

• Het richt het BCM-programma op de processen en vitale activa die bescherming nodig hebben;

• Het stuurt het security-programma naar de fysieke activa die bescherming vereisen. De bescherming van deze activa moet worden geprioriteerd in het licht van continuïteit;

• Het ondersteunt besluitvorming in crisismanagement tijdens een crisis of groot incident;

• Het stemt het IT DR-programma af op de IT-activa die het meest direct en significant de continuïteit van (bedrijfs)operaties beïnvloeden.

Strategische drijfveren om de MVO te begrijpen — regelgeving, geopolitiek, digitaal landschap en financiële druk

Organisaties moeten proactief anticiperen op, zich voorbereiden op en hun veerkrachtcapaciteiten versterken als reactie op evoluerende bedreigingen.

Regelgeving
Organisaties die een vitale rol vervullen in de samenleving worden als kritiek beschouwd onder verschillende wetgeving vanwege hun afhankelijkheden van kritieke leveranciers, digitale platforms en infrastructuur. Als een organisatie haar tijdkritische diensten kan prioriteren, kan zij de compliance-verplichtingen scopen naar de delen die relevant zijn onder regelgeving. Het is belangrijk te erkennen dat compliant zijn niet hetzelfde is als veerkrachtig zijn.

Hoewel regelgeving een noodzakelijke basis biedt, moet echte organisatorische veerkracht intrinsiek zijn en diep verankerd in bedrijfsstrategie en -operaties. Dit maakt gerichte veerkrachtinvesteringen mogelijk — waarbij inspanning en uitgaven worden gericht op de maatregelen die de grootste impact hebben voor de organisatie en voor de samenleving in het geval van een storing.

Deze prioritering moet ook de scope en verwachtingen van wetgeving informeren, zodat regelgevende vereisten proportioneel en resultaatgericht blijven. In snel tempo worden veerkrachtsregelgeving geïntroduceerd, zoals:

• Digital Operational Resilience Act (DORA), 2022 — cybersecurity- en veerkrachtvereisten voor financiële organisaties.

• EU Network and Information Security Directive (NIS2), 2023 — reguleert risico- en supply chain-controles, snelle incidentrapportage en bestuursverantwoordelijkheid; vereist robuuste veerkrachtprogramma's, inclusief strategische governance.

• EU Critical Entities Resilience (CER), 2023 — heeft tot doel de veerkracht van publieke en private kritieke infrastructuurorganisaties te versterken.

Geopolitiek
Mondiale spanningen vereisen proactieve preventie en voorbereiding op verschillende verstorende scenario's. Om dergelijke inspanningen te stroomlijnen, kan de MVO bepalen welke geopolitieke factoren een rol spelen als men begrijpt hoe de tijdkritische taken, processen en afhankelijkheden geografisch verspreid zijn en zich richten op strategieën en maatregelen hieromheen.

Digitaal landschap
Voor digitale veerkracht moet de MVO niet alleen een strategische verzameling van taken, processen en afhankelijkheden zijn, maar ook een diepgaand beeld van alle minimaal vereiste operationele IT-activa en hun onderlinge afhankelijkheden. Dit vanwege de alomtegenwoordige connectiviteit, AI-gestuurde operaties en uitgebreide software supply chains van derden die de frequentie en impact van cyberincidenten, storingen en IT-fouten verhogen. Een duidelijke identificatie van tijdkritische IT-diensten van de organisatie versterkt continuïteit en herstel.

Financiële druk
Volatiele vraag, stijgende inputkosten en striktere regelgeving betekenen dat zelfs korte verstoringen een buitensporige financiële impact kunnen hebben. De MVO vertaalt deze druk in duidelijke prioriteiten en richt beperkte veerkrachtbudgetten op de diensten waarvan de continuïteit de grootste economische en maatschappelijke waarde levert. Deze focus beschermt cashflow, ondersteunt compliance en marktvertrouwen, en maakt de business case voor gerichte veerkrachtinvesteringen overtuigender.

Concrete output?

De MVO stelt een gevalideerde lijst van prioriteiten vast die moet worden gebruikt bij het scopen van veerkrachtdomeinen (zie 3 P's-domeinen). De MVO-output helpt bij het prioriteren van de veerkrachtinspanning van een organisatie, biedt inzicht in wat in welke mate te beschermen, en in het geval van testen, simuleren of oefenen, wat onder druk moet worden gezet.

Wilt je begrijpen hoe een MVO kan helpen veerkracht in jouw organisatie te maximaliseren? Neem gerust contact op met:

Danny Tinga (Partner, Resilience, Crisis and Reputation team)
Jurgen Schot (Senior Manager, Resilience, Crisis and Reputation team)
Cate Pratt (Senior Manager, Resilience, Crisis and Reputation team)