Struisvogelpolitiek helpt niet! ADVISORY

Transcriptie

1 KPMG s visie op de voorbereiding op een grieppandemie Struisvogelpolitiek helpt niet! ADVISORY

2 Struisvogelpolitiek helpt niet! Volgens vooraanstaande virologen is de kans dat een grieppandemie zich voordoet 100% De dreiging van een pandemie is reëel; iedere 30 tot 50 jaar doet zich een grieppandemie voor Het scenario van een pandemie is complex; de precieze gevolgen zijn lastig voorspelbaar en de karakteristieken wijken significant af ten opzichte van andere rampen zoals een brand of stroomstoring De afwijkende gevolgen en karakteristieken nemen de noodzaak tot handelen niet weg; een goede voorbereiding op een pandemie is cruciaal voor de continuïteit van de organisatie, de keten en de economie en maatschappij als geheel. Bovendien biedt een goede voorbereiding op een pandemie kansen met betrekking tot synergie, concurrentiepositie, marktwaarde en compliance 2

3 De gevolgen Tijdens een grieppandemie kan 30% tot 40% van de bevolking uitvallen, waarbij het aantal sterfgevallen in Nederland kan oplopen tot De gevolgen van een grieppandemie wijken significant af van andere rampen: Primair vallen medewerkers uit in plaats van middelen Externe partijen en concurrenten hebben dezelfde problemen De kans op (acute) verandering in consumentengedrag is groot De kans op maatschappelijke ontwrichting is aanwezig Enkele specifieke karakteristieken van een grieppandemie zijn wel bekend: Een grieppandemie gebeurt op wereldwijde schaal Een grieppandemie ontstaat niet plotseling; de ontwikkelingen van een griepvirus zijn volgbaar (WHO) Een grieppandemie kent een bepaald verloop voor wat betreft duur en herhaling van de griepgolf, evenals pieken in de griepgolf De precieze gevolgen van een grieppandemie zijn lastig te voorspellen: Onze maatschappij, economie, mobiliteit en informatievoorzieningen zijn sterk veranderd sinds de laatste pandemie Besmettingsgraad, ziektebeeld en mogelijkheden omtrent vaccinaties zijn vooraf onbekend. Sommige pandemieën raakten vooral jonge en oude mensen, andere pandemieën raakten juist de werkende bevolking 3

4 Maatschappelijke ontwikkelingen Sinds de aanslagen op 9/11 staat BCM nadrukkelijker op de agenda van de Raad van Bestuur Maar uit onderzoek blijkt dat: organisaties nauwelijks weten wat de impact van een pandemie is op hun functioneren; bescherming van medewerkers en klanten, evenals bedrijfscontinuïteit, de belangrijkste redenen zijn om stil te staan bij een pandemie; bescherming van de belangen van de aandeelhouders veel minder als motief wordt gezien, terwijl uit wetenschappelijk onderzoek blijkt dat organisaties die niet effectief reageren een lagere aandeelhouderswaarde hebben na het uitbreken van een ramp. 4

5 Ontwikkelingen met betrekking tot wet- en regelgeving rondom pandemieën De overheid en toezichthoudende instanties realiseren zich steeds beter welke gevolgen en impact een pandemie zal hebben Een aantal wettelijke regelingen: De Wet geneeskundige hulpverlening bij rampen 1991 De Kwaliteitswet zorginstellingen 1996 Wet Bescherming Persoonsgegevens (WBP) 2001 Enkele recente ontwikkelingen: Toetsingskader Business Continuity Planning Financiële Kerninfrastructuur, DNB 2004/2006 Circulaire continuïteitsaspecten grieppandemie, DNB & AFM 2006 * Publicatie document Scenario s grieppandemie, Ministeries van VWS en BZK april 2008 * Wet op veiligheidsregio s, Ministeries van VWS & BZK mei 2008 (aangeboden aan Tweede Kamer) Nieuwsberichten: Nederland nog niet klaar voor grieppandemie mei 2008 * Jongeren overleden aan griep mei 2008 * Wetenschappers wekken Spaanse-griepvirus tot leven mei 2008 * Kans op epidemie groter dan ooit augustus 2007 * Wereldwijde epidemieën in de toekomst juli 2007 * * zie bijlage 5

6 De uitdagingen Door het tonen van veerkracht op cruciale momenten zullen organisaties excelleren op momenten dat de concurrentie strompelt Mensen Systemen en technologie zijn belangrijk, maar uiteindelijk komt het in crisissituaties aan op de menselijke factor. Juist de verstorende effecten op het menselijk handelen zijn moeilijk voorspelbaar. Toch is het onder andere noodzakelijk om: de effecten en afhankelijkheden van tevoren zo goed mogelijk in beeld te brengen; de verantwoordelijkheden bij het optreden tijdens een pandemie eenduidig te beleggen. Diversiteit Hoe meer alternatieven, hoe lager de kwetsbaarheid. Het pandemieplan dient dan ook zo flexibel mogelijk te zijn, door zoveel mogelijk opties en alternatieven open te houden. Dit betekent bijvoorbeeld dat: er goede mogelijkheden moeten zijn voor het op afstand werken, bijvoorbeeld als mensen door omstandigheden niet meer naar hun werk kunnen of willen reizen; er voordelen kunnen worden behaald door het mogelijk te maken uit te wijken naar andere locaties (van regionaal tot internationaal) en door medewerkers multi-inzetbaar te maken, zodat taken gemakkelijker kunnen worden overgedragen. Samenwerking Ook al zijn de voorgaande twee uitdagingen optimaal aangepakt, dan staat of valt de veerkracht van een organisatie nog steeds met het vermogen om de voorbereidingen goed te laten aansluiten op die van andere partijen. Zonder een goede samenwerking op dit thema bestaat het risico dat de individuele voorbereiding niet effectief blijkt te zijn, juist omdat die afhankelijkheden zich tijdens een crisis heel duidelijk manifesteren. 6

7 De fasen van een goede voorbereiding Standaardoplossingen voor een complexe, afwijkende ramp werken niet! KPMG heeft een raamwerk opgesteld dat organisaties in staat stelt om vanuit de aspecten van een pandemie BCM maatregelen te evalueren en/of op te stellen. Hierbij wordt de basis gelegd door te starten vanuit het risicomanagementproces, waarbij een grondige analyse van de pandemie en de gevolgen de basis vormt voor het vaststellen en inrichten van procedures en maatregelen. Om de effectieve werking van procedures en maatregelen te vergroten, dient ook rekening te worden gehouden met de specifieke karakteristieken van een pandemie. Evaluatie en onderhoud Verbeteren Reviewen Testen Risico analyse Analyse Business Impact Analyse Uitvoeren Uitvoering Analyse Herstelmogelijkheden Incident management plan Business Continuiteits-plan Uitwijkplan Business Herstel plan Procedures en maatregelen 7

8 KPMG s dienstverlening rondom voorbereiding op een pandemie Readiness Scan In hoeverre is uw organisatie goed voorbereid op een grieppandemie? Is (de impact van) deze dreiging in voldoende mate meegenomen vanuit risicomanagement en dekken de bestaande plannen en maatregelen de specifieke gevolgen van een grieppandemie voldoende af? Is voldoende rekening gehouden met alle onderlinge afhankelijkheden? En hoe werkt dit alles door op uw IT-organisatie? Met de Readiness Scan wordt op een snelle en effectieve manier in kaart gebracht in welke mate uw organisatie is voorbereid op een grieppandemie en kunnen aandachtsgebieden en gaten in de voorbereiding vooraf in kaart worden gebracht, zodat ze vervolgens snel en daadkrachtig kunnen worden opgepakt. Plannen en maatregelen opstellen, aanvullen en implementeren Hoe waarborgt u de continuïteit van uw organisatie in het geval van een grieppandemie, zonder onevenredig veel tijd en kosten kwijt te zijn in de voorbereiding? Waar ligt de balans als het gaat om effectieve plannen en maatregelen om de gevolgen van een grieppandemie zo goed mogelijk de baas te kunnen zijn? Zijn separate plannen nodig, of kunnen huidige plannen worden aangevuld? Vaststellen en opstellen van de benodigde beleidsrichtlijnen, procedures en maatregelen. Ondersteuning bij de selectie, onderlinge afstemming, concretisering en balans (kosten/effectiviteit), mede gebaseerd op uw risk appetite. Ook bij de implementatie daarvan kan KPMG ondersteuning bieden of als onafhankelijk reviewend partner optreden (projectmanagement en projectassurance). Ten slotte kan KPMG ook helpen wanneer het gaat om voldoen aan wet- en regelgeving (compliance). Testen & Simuleren Testen is de enige manier om proactief na te gaan in hoeverre plannen en maatregelen adequaat zijn, maar hoe test of simuleert u een grieppandemie van maanden, die niet alleen uw organisatie raakt, maar ook derden met wie u zaken doet? En hoe draagt u zorg voor een goede en onafhankelijke observatie en evaluatie van de oefening? Op basis van een afgestemd scenario wordt een draaiboek opgesteld. Daarnaast kunnen zogenaamde injects, media, en eventueel benodigde infrastructurele (communicatie)middelen worden voorbereid. Zo wordt een dynamische en realistische simulatie gevormd, die tegelijkertijd beheersbaar en stuurbaar blijft, waardoor de observatie en evaluatie effectiever worden. In alle fasen zijn adviseurs, observatoren en begeleiders van KPMG met kennis van zowel pandemieën als uitwijkoefeningen en crisissimulaties actief betrokken. Dergelijke simulaties zijn mogelijk op verschillende niveaus in en zelfs buiten de organisatie (marktbrede oefeningen). 8

9 Vragen met betrekking tot de voorbereiding op de gevolgen van een pandemie (1/2) Business Continuity Management in geval van een pandemie Analyse Procedures en maatregelen Risicoanalyse Business Impact Analyses Business Herstel Analyses Incident management plan Business Continuïteitsplan (1/2) Afwezigheid van medewerkers Uitval van personeel binnen de organisatie Analyse van geïdentificeerde risico s ten aanzien van afwezigheid van personeel en uitvalpercentages. Analyse van afwezigheid van (kritieke) medewerkers en de impact hiervan op de business. Inventarisatie van de minimaal benodigde aantallen medewerkers en kritieke functies. Analyse van de mogelijkheden met betrekking tot het tijdig stilleggen en gefaseerd herstellen van de business op basis van beschikbaarheid van personeel en in relatie tot de pandemiekarakteristieken. Indien nodig aanpassen van incident management- en communicatieplan met aanvullende maatregelen specifiek voor de significante afwezigheid van personeel. Indien nodig treffen van beheersingsmaatregelen om afwezigheid van personeel te beperken, op te vangen en inventariseren van afhankelijk-heden met overige maatregelen. Gevolgen van een pandemie Uitval van personeel bij externe partijen Analyse van geïdentificeerde risico s ten aanzien van uitval van (kritieke) externe partijen. Inventarisatie van kritieke externe partijen. Analyse van afhankelijkheid van de (kritieke) externe partijen en de impact hiervan op de business. Analyse van de betrokkenheid van bestaande en/of nieuwe externe partijen bij het herstellen van de business in relatie tot afwezigheid van personeel en de Business Impact Analyse. Indien nodig aanpassen van incident management- en communicatieplan met aanvullende maatregelen specifiek voor wat betreft afhankelijkheden van externe partijen, inclusief overheid en (lokale) autoriteiten. Indien nodig treffen van beheersingsmaatregelen om uitval van externe partijen te beperken, op te vangen en inventariseren van afhankelijk-heden met overige maatregelen. Veranderend consumentengedrag Analyse van geïdentificeerde risico s ten aanzien van veranderend consumenten-gedrag en eventuele afhankelijkheden met andere locaties. Analyse van de impact hiervan op de business. Analyse in relatie tot onder andere afwezigheid van personeel en uitval van externe partijen. Analyse van de mogelijkheden om producten en dienstverlening af te stemmen op veranderend consumentengedrag tijdens en kort na de pandemie. Indien nodig aanpassen van signalerings- en communicatie-plan, inclusief afhankelijkheid met maatschappelijke ontwrichting. Maatschappelijk verkeer Indien nodig treffen van beheersingsmaatregelen om veranderend consumenten-gedrag te beperken (of te beïnvloeden), op te vangen en inventariseren van afhankelijk-heden met overige maatregelen. Maatschappelijke ontwrichting Analyse van geïdentificeerde risico s ten aanzien van maatschappelijke ontwrichting en in het bijzonder het wegvallen van vertrouwen in de betreffende sector. Doorvertaling en analyse van maatschappelijke ontwrichting. Analyse van de langetermijngevolgen van maatschappelijke ontwrichting, inclusief de mogelijkheden en/of afhankelijkheden van (ingrijpen van) overheid en lokale autoriteiten. Indien nodig aanpassen van benodigde plannen, communicatie en voor-gedefinieerde (pers)berichten in relatie tot maatschappelijke ontwrichting. Indien nodig treffen van beheersingsmaatregelen voor adequate communicatie en informatievoorziening naar de buitenwereld en eigen personeel. 9

10 Vragen met betrekking tot de voorbereiding op de gevolgen van een pandemie (2/2) Business Continuity Management in geval van een pandemie Procedures en maatregelen Uitvoering Business Continuïteitsplan (2/2) Uitwijkplan Business Herstel Plan Uitvoeren plannen Afwezigheid van medewerkers Uitval van personeel binnen de organisatie Beoordeling effectiviteit van bestaande beheersingsmaatregelen in relatie tot pandemiekarakteristieken. Indien nodig opstellen van uitwijkplannen voor de kritieke bedrijfsprocessen en het inventariseren van mogelijke scenario s om uitval van personeel op te vangen en te werken op verschillende locaties in binnen- en buitenland (bijvoorbeeld doordat gebieden in quarantaine zijn geplaatst). Opstellen van een stappenplan welke de getroffen maatregelen gefaseerd en gecontroleerd terugdraaien met aandacht voor zorg en herstel van zieke/getraumatiseerde medewerkers. Organisatie van praktische zaken zoals chain of command, alternatieven, contactgegevens van vervangers en kritieke werknemers en een communicatieplan. Ten uitvoer brengen van de business continuïtyplannen. Gevolgen van een pandemie Uitval van personeel bij externe partijen Beoordeling effectiviteit van bestaande beheersingsmaatregelen in relatie tot pandemiekarakteristieken. Inventariseren van kritieke processen waarvoor de organisatie in grote mate afhankelijk is van externe partijen en het inventariseren van mogelijke scenario s om uitval van leveranciers (preventief of reactief) op te vangen en te werken met andere partijen en/of op andere locaties. Inventariseren van mogelijkheid en wenselijkheid om de getroffen maatregelen ten aanzien van leveranciers gefaseerd en gecontroleerd terug te draaien. Ten uitvoer brengen van het communicatieplan. Veranderend consumentengedrag Beoordeling effectiviteit van bestaande beheersingsmaatregelen in relatie tot pandemiekarakteristieken. Inventariseren van de mogelijke consequenties van veranderend consumentengedrag voor de uitwijkplannen en deze hierop aanpassen. Opstellen en implementeren van initiatieven om effectief de markt te bewerken gericht op het terughalen van klanten en binnen halen van nieuwe klanten. Ten uitvoer brengen van de (aangepaste) marketing- en communicatieplannen. Maatschappelijk verkeer Maatschappelijke ontwrichting Beoordeling effectiviteit van bestaande beheersingsmaatregelen in relatie tot pandemiekarakteristieken. Inventariseren van de mogelijke consequenties van veranderende maatschappelijke omstandigheden voor de uitwijkplannen en deze hierop aanpassen. Inventariseren van mogelijkheden om sector- en overheidsbrede campagnes te starten om te werken aan herstel van de economie. Treffen van specifieke beveiligings- en voorzorgsmaatregelen. Evaluatie Testen Het uitwijkplan, het incidentmanagement plan, het business continuïty plan en het business herstel plan dienen voor de verschillende mogelijke pandemiescenario s (periodiek) te worden getest. UItvoeren van een marktbrede oefening waarbij alle partijen in een keten gezamenlijk de juiste werking van hun BCM-plannen testen. Scenarioanalyse. Scenarioanalyse. 10

11 KPMG s track record KPMG heeft ruime ervaring op het gebied van risicomanagement, evenals Business Continuity Management en Disaster Recovery Opdrachten Marktbrede oefening in Nieuw-Zeeland met pandemiescenario (met Ministry of Health) Marktbrede oefeningen in Singapore, waaronder een oefening met pandemiescenario Marktbrede oefeningen in de UK (met Financial Services Authority) Opstellen calamiteitenplan landelijk EPD, inclusief crisissimulatie voor Ministerie van VWS Ondersteuning crisismanagement bij het Ministerie van VROM Ondersteuning multidisciplinaire veldoefeningen nucleaire ramp bij Eenheid Planning en Advies nucleair Adviseren over en beoordelen van Business Continuity Management en Disaster Recovery uitwijkplannen en uitwijkoefeningen, onder andere bij financiële instellingen, productiebedrijven en (semi-)overheid Beoordelen Business Continuity Management en Disaster Recovery in het kader van de jaarrekeningcontrole Publicaties Voorbereiden op een pandemie: struisvogelpolitiek helpt niet Living on the Frontline Referaat Business Continuity Management en Pandemieën in de Bancaire Sector (ten behoeve van post-graduate IT-auditopleiding VU Amsterdam) 11

12 Contactgegevens Peter Kornelisse IT Advisory Amstelveen kornelisse.peter@kpmg.nl Giovanni Vierling IT Advisory Den Haag vierling.giovanni@kpmg.nl Henk Pater IT Advisory, Financial Services Amstelveen pater.henk@kpmg.nl Roel van Overdam IT Advisory, Financial Services Amstelveen vanoverdam.roel@kpmg.nl Hans Kramer IT Advisory Amstelveen kramer.hans@kpmg.nl 12

13 Bijlagen 2008 KPMG Advisory N.V., a Dutch limited liability company and a member firm of the KPMG network of independent member firms affiliated with the KPMG International, a Swiss cooperative. 13

14 De Nederlandsche Bank en de Autoriteit Financiële Markten De circulaire gaat specifiek in op de continuïteitsaspecten in relatie tot een grieppandemie en is gestuurd aan alle instellingen onder prudentieel toezicht van DNB en onder gedragstoezicht van de AFM 1. Proactief volgen van de ontwikkelingen rondom een mogelijke grieppandemie, bij voorkeur in een multidisciplinair team met IT, HR, de business en business continuity planning. 2. Expliciete impactanalyse door het in kaart brengen en analyseren van de mogelijke gevolgen voor de instelling van een grieppandemie. 3. Beoordelen toereikendheid Business Continuity Plannen (BCP s) waarbij rekening wordt gehouden met de mogelijke operationele gevolgen van een grieppandemie en waarbij waar nodig verbeteringen in de BCP s zo snel mogelijk worden doorgevoerd. 4. Expliciet meenemen van het pandemiescenario in de teststrategie van de continuïteitsplannen. 5. Rekening houden met veranderend gedrag en voorkeuren van consumenten waarbij de infrastructurele voorzieningen een sterke toename in o.a. internetbankieren kunnen ondersteunen. 6. Vergewissen dat externe leveranciers en/of kritieke leveranciers toereikende maatregelen hebben getroffen en voldoende zijn voorbereid op een grieppandemie. 14

15 Publicatie document pandemiescenario s Ministeries van VWS en BZK De scenario s zijn ontwikkeld door de ministeries van VWS en BZK, in samenwerking met onder andere het Centrum Infectieziektenbestrijding van het Rijksinstituut voor Volksgezondheid en Milieu en GHOR- Nederland. Het milde scenario is gebaseerd op de Aziatische griep van Het ernstige scenario is gebaseerd op de Spaanse griep van

16 Grieppandemie in de actualiteit Nederland nog niet klaar voor grieppandemie Nederland is nog niet voldoende voorbereid op de uitbraak van een wereldwijde grieppandemie. Dat blijkt uit een inventarisatie van risico's voor de samenleving die het kabinet heeft laten uitvoeren. Een omvangrijke uitbraak van griep die wordt veroorzaakt door een nieuw virus, vormt volgens analisten een van de grootste bedreigingen die de maatschappij ernstig kan ontwrichten. Er kunnen veel doden vallen, er kan grote economische schade ontstaan en zo'n ramp kan tot angst of woede onder de bevolking leiden. De ministerraad heeft in mei 2008 besloten de Nationale Risicobeoordeling naar de Tweede Kamer te sturen. Volgens het kabinet is er in de afgelopen jaren al veel gedaan om bij een grieppandemie de verspreiding van het virus te voorkomen. Zo zijn er scenario's opgesteld. In de ernstige variant overlijden mensen. Eind volgend jaar wordt een grote oefening gehouden om te kijken hoe het met de voorbereidingen voor zo'n crisis staat. Minister Ter Horst benadrukte dat Nederland een veilig land is, maar dat er geen volledige garantie op veiligheid is te geven. Daarom is het volgens haar essentieel dat overheid, bedrijfsleven, instellingen en burgers hun eigen verantwoordelijkheid nemen om zich voor te bereiden op mogelijke risico's. (ANP, mei 2008) Jongeren overleden aan griep Twee patiënten uit Rotterdam en Utrecht zijn dit jaar overleden aan de gevolgen van een griepvariant die resistent bleek tegen het gangbare medicijn Tamiflu. Dat meldt het vakblad Medisch Contact in Mei De slachtoffers waren relatief jong: ze vielen buiten de risicogroep van bejaarden. Wel hadden ze een sterk verzwakt immuunsysteem. (mei 2008) Wetenschappers wekken Spaanse-griepvirus tot leven Amerikaanse wetenschappers hebben in een zwaar beveiligd laboratorium het griepvirus dat in de periode tientallen miljoenen mensen doodde weer tot leven gewekt. Zij deden dat voor onderzoek naar de mogelijkheid dat het huidige vogelgriepvirus een wereldwijde epidemie kan veroorzaken die vele doden zou kunnen eisen. (mei 2008) Kans op epidemie groter dan ooit Virussen en bacteriën vormen een grotere bedreiging voor de wereldgezondheid dan ooit tevoren. Doordat de ziekmakers zich razendsnel kunnen verspreiden, is de kans op een omvangrijke pandemie groot, waarschuwt de Wereld Gezondheidsorganisatie (WHO). (ANP, augustus 2007) Wereldwijde epidemieën in de toekomst De geneeskunde zal zich de komende vijftig jaar blijven ontwikkelen, maar helemaal virusvrij wordt de wereld nooit. De reactie van twee virologen op de vraag of we de komende decennia te maken krijgen met wereldwijde uitbraken van ziektes: "Er staat vast dat dit gaat gebeuren." (World Health Organization / Gezondsheidsnet, juli 2007) 16