Business continuity tijdens een pandemie: auditors opgelet!

COVID-19 legt genadeloos bloot wat er mis was bij veel organisaties. Dirk Bezemer schreef het nog eens mooi op in zijn nieuwste boek: Een land van kleine buffers. Het ontbrak aan alle kanten aan buffers; kapitaal, voorraden, noodscenario’s, et cetera. Ze waren er niet toen het hard nodig was.

Ik vraag het ook elke groep waarvoor ik mag optreden: had uw organisatie een scenario voorzien waarin een pandemie voorkwam? Tot mijn grote verrassing levert dat bijna altijd een blanco score op. Dat is gek, want in onze Nationale Veiligheidsmonitor staat al jaren lang een pandemie vermeld, met een grote mate van waarschijnlijkheid en een grote impact. We weten inmiddels dat dat klopt. Hoe kan het dan dat we dit gemist hebben?

Er zijn vast veel mogelijke antwoorden, maar een van mijn antwoorden is dat we te lang en te veel naar efficiency hebben gestreefd. Dat is op zich prima en goed voor de winstgevendheid. Er zijn echter een paar redenen waarom dat dogma zijn grenzen kent en dus niet dogmatisch moet worden toegepast.

Ten eerste zijn buffers nodig om fluctuaties in systemen op te kunnen vangen. Die fluctuaties zijn niet altijd te voorzien dus just in time is mooi, optimale voorraad- en bestelgroottes ook, maar de formules houden onvoldoende of geen rekening met de mogelijke fluctuaties die onze wereld nu eenmaal kent. De wereld is niet lineair maar non-lineair en daarmee inherent chaotisch. Die kennis vanuit complexiteitstheorie is onvoldoende in ons denken en handelen verankerd.

Ten tweede zijn buffers nodig om extreme schokken op te kunnen vangen. Sommigen noemen dat zwarte zwanen, overigens was de pandemie geen zwarte zwaan, hij stond immers al lang op het radarscherm. Extreme schokken zijn er soms ook en daarom zijn we in de financiële sector vertrouwd met stresstesten, maar buiten die sector zijn die bepaald geen gemeengoed, helaas.

We weten nu beter en onder het motto ‘never waste a good crisis’, kunnen we de lessen vasthouden die we geleerd hebben. Het goede nieuws is dat we niet ten onder zijn gegaan dus de ‘resilience’ van de samenleving en de economie bleek nog wel op orde. Vooral dankzij de overheid natuurlijk, die een flink deel van de rekening heeft betaald. Met de ironische consequentie dat de bekende ijverige en zuinige mier met lede ogen zag hoe de gemakzuchtige krekel weer werd gered – was dat niet in 2008 ook al gebeurd? – en hij zijn eigen buffers mocht aanspreken. Ook daar hebben we een naam voor: ‘moral hazard’, vergeeft u mij de Engelse termen.

Ook hebben we onze business-continuityplannen eens echt kunnen testen en het bleek dat uitwijken naar thuiswerken verbazingwekkend vlotjes geregeld kon worden. Voor sommige bedrijven leverde de crisis wel een enorme logistieke uitdaging op, veel bedrijven bleken niet eens te weten hoe de keten waarin ze zaten in elkaar stak en waar de risico’s lagen. De aanvoer stokte, schepen voeren niet meer. En ja, dan wordt er ook niet zoveel meer gemaakt of verkocht natuurlijk. Dat helpt ook niet als de financiële buffers toch al laag zijn.

Kortom, het is tijd om onzekerheid en complexiteit onderdeel te maken van ons denken en doen. Scenariodenken en stresstesting moeten we prominenter toepassen en waar nodig onder de aandacht brengen. Daarin kunnen internal auditors zeker behulpzaam zijn. Enerzijds helpt dat in het nadenken over de kwade kansen, maar ook de goede kansen kunnen we zo beter in zicht krijgen. Er zijn namelijk ook veel bedrijven die flink geprofiteerd hebben van deze pandemie. Het was vast hun plan niet, maar wel mooi meegenomen. Ook daarin kunnen scenario’s en stresstesting helpen. Internal auditors doe er uw voordeel mee!