Samenwerken in crisis-, nood- en veiligheidsrespons in de chemische sector

De Chemical Facility Anti-Terrorism Standards (CFATS) Risk-Based Performance Standard (RBPS) 9 – Response, wijst er terecht op dat de noodrespons en de beveiligingsrespons op een incident niet met elkaar verward mogen worden. De twee zijn gescheiden, maar complementair. Terwijl het noodrespons- of crisismanagementplan de bredere implicaties van het incident behandelt, behandelt het beveiligingsplan de specifieke beveiligingsproblemen die door het incident op tactisch niveau worden opgeworpen. Hoe passen deze plannen bij elkaar? Hoe moeten organisaties zich organiseren om ervoor te zorgen dat de beveiligingsoperaties en de bredere respons op elkaar worden afgestemd? Welke andere plannen zijn mogelijk vereist om effectief te reageren op de gevolgen van een beveiligingsincident?

Laten we beginnen met een aantal basisconcepten en de verschillende elementen schetsen die we als cruciaal beschouwen voor een succesvolle respons op een beveiligingsincident. Hierbij moet worden opgemerkt dat er een hele wereld aan terminologie is rond crisismanagement en noodrespons, waarbij veel termen door elkaar worden gebruikt. Voor de duidelijkheid en voor dit artikel zullen we kort schetsen hoe we de verschillende sleuteltermen gebruiken en wat we beschouwen als de kernelementen van een succesvolle beveiligingsrespons.

• Crisismanagement: het beheer van een incident in de breedste zin van het woord, op strategisch niveau, meestal op bedrijfsniveau, grotendeels gericht op de financiële en reputatie-impact van het incident, en het verzekeren dat degenen die omgaan met de tactische en operationele impact de middelen hebben die ze nodig hebben om hun rol uit te voeren. Dit wordt ondersteund door een crisismanagementplan.
• Emergency Management: het beheer van het incident op tactisch niveau, meestal op siteniveau. Hier zijn hulpverleners verantwoordelijk voor de coördinatie van activiteiten om ervoor te zorgen dat het incident wordt afgehandeld en om de coördinatie van de bredere site te waarborgen. Dit wordt ondersteund door een noodresponsplan, siteresponsplan of iets dergelijks.
• Incident Management: de fysieke respons op het incident, een hands-on rol waarbij fysieke activiteiten worden ondernomen. Er kunnen meerdere incident management teams zijn. Bijvoorbeeld, één incident management team kan werken aan de beveiligingsrespons, terwijl een ander zich bezighoudt met de impact van het beveiligingsincident op de activiteiten van de site, zoals het beperken van schade en het beperken van de bredere impact. Dit team werkt op operationeel niveau. De incident management teams zullen waarschijnlijk rechtstreeks samenwerken met andere hulpverleners, zoals brandweerondersteuning, medische ondersteuning, ondersteuning bij het opruimen van gevaarlijke lekkages, teams voor milieuherstel en lokale wetshandhaving. Teams kunnen hier specifieke noodprocedures of noodoperatieplannen implementeren.
• Business Continuity Team: terwijl de crisis-, nood- en incidentmanagementteams opereren om te reageren op het incident, zal het business continuity team de impact van het incident op de activiteiten van de site overwegen en een plan bepalen om die activiteiten te herstellen in overeenstemming met vooraf overeengekomen middelen. Het beveiligingsincident kan er bijvoorbeeld toe hebben geleid dat de site essentiële benodigdheden heeft verloren of dat de site alle of een deel van haar activiteiten heeft stilgelegd. Het business continuity team is verantwoordelijk voor het verzekeren dat er een plan is zodat de site of het bredere bedrijf haar verplichtingen aan haar klanten kan blijven nakomen, ongeacht het incident.

De effectieve reactie op een incident ziet er ongeveer zo uit:

Te vaak overwegen organisaties alleen de eerste of tweede respons op siteniveau. Veel organisaties nemen niet zo snel mogelijk maatregelen voor bedrijfscontinuïteit. In plaats van hun herstel vanaf het begin te plannen, wachten ze tot het incident voorbij is en behandelen ze elke fase van het incident sequentieel. Dit leidt tot een langdurig herstel waarbij de staart van het incident veel langer duurt dan nodig is. Deze aanpak vergroot alleen de financiële, reputatie- en operationele gevolgen van het incident. Als het strategische crisismanagementteam niet wordt geactiveerd, kan de organisatie en het managementteam kwetsbaar worden. Ze kunnen verrast worden als het incident plotseling escaleert of niet voorbereid zijn op een mediavraag over een incident waarvan ze niets weten.

Hoe pakken we dit dan aan? Hoe zorgen we voor een holistische en gecoördineerde respons op een beveiligingsincident?

Activering: Activeringsprotocollen zijn essentieel om ervoor te zorgen dat de reactie op een beveiligingsincident snel is en dat alle lagen van de reactie worden geactiveerd. Veel organisaties vertrouwen op handmatige call cascades voor activering, waarbij een switchboard handmatig alle vereiste personen belt om te reageren. Dit kan echter veel tijd kosten, waardoor de reactiesnelheid drastisch wordt vertraagd, wat op zijn beurt de impact van het incident zal vergroten. Andere alternatieven zijn informelere cascades, zoals WhatsApp of massa-sms'jes, om teams te activeren. Deze aanpak kan echter moeilijk te controleren zijn en er is geen bevestiging dat het individu reageert.

Massale notificatietools zijn met name effectief om ervoor te zorgen dat alle niveaus van de respons zo snel mogelijk worden geactiveerd en toegang te bieden tot alle informatie die nodig is om hun aspect van de respons te implementeren. Massale notificatietools maken ook aangepaste notificatie mogelijk. Bijvoorbeeld, bij een incident op kleinere schaal kunnen we besluiten om een notificatie te sturen naar het crisismanagementteam voor alleen informatie - er is geen noodzaak om in dit stadium te reageren. Deze informatie zorgt ervoor dat het crisismanagementteam op de hoogte is, mochten er media-aanvragen zijn, en zorgt ervoor dat ze klaar zijn om op te staan als het incident escaleert. Neem contact op met CHEMTREC voor meer informatie over onze massale notificatieservices.

Command and Control: Command and control-structuren zijn essentieel voor de effectieve coördinatie van een incident. Het Incident Command System (ICS) van FEMA biedt een uitstekend model om een crisis-, nood- en incidentmanagementrespons voor uw organisatie op te bouwen. Dit is het model dat CHEMTREC's Crisis Solutions implementeert bij het ontwikkelen van plannen voor klanten. Het systeem is flexibel en schaalbaar naar de behoeften van het incident en biedt duidelijke koppelingen tussen de verschillende plannen en commandoniveaus. Het werkt voor alle incidenten, ongeacht hun omvang, reikwijdte of oorzaak, en moet worden geïmplementeerd voor het coördineren van een effectieve respons op elk incident dat niet de gebruikelijke gang van zaken is. Beschouw uw operationele leider als een primaire verbinding tussen de verschillende commandoteams. Zorg ervoor dat uw business continuity en recovery planning leads duidelijke feeds hebben naar de Incident Commander via de planningssectie of als een direct rapport.

Het implementeren van een effectieve command and control-structuur met duidelijke communicatiestromen tussen hulpverleners is essentieel. Bij een kleine respons met drie personen zijn de communicatielijnen eenvoudig en is er mogelijk geen behoefte aan een andere structuur dan een aangewezen leider, die alle uiteindelijke beslissingen kan nemen. Naarmate het incident en het responsteam echter groeien, zijn duidelijke communicatielijnen essentieel. Bekijk het onderstaande diagram als voorbeeld. Als het responsteam groeit van 3 naar 14 personen, groeien we plotseling van 3 naar 91 verschillende communicatielijnen, wat onhandelbaar is. Deze situatie vereist een duidelijke command and control-structuur, met gelaagde communicatielagen, waarbij elk individu tussen de 3 en 5 directe rapportagelijnen heeft. Dit zorgt voor de gezamenlijke aanpak.

Neem vandaag nog contact op met onze adviseurs voor meer informatie over het stroomlijnen van uw communicatie tijdens een incident of voor een evaluatie van de commando- en controlestructuren van uw organisatie.

Training, oefeningen en opgaven: RPBS 9 – Respons, is duidelijk over de noodzaak van training, oefeningen en opgaven, terwijl RPBS 11 een aantal specifieke trainingen en opgaven schetst die overwogen moeten worden als onderdeel van een Security Awareness Training Program (SATP). Het is echter van vitaal belang dat u bij het ontwikkelen van uw SATP ervoor zorgt dat zowel de technische als niet-technische responselementen van de training worden overwogen. Werknemers moeten trainen en oefenen op de indeling van de faciliteit, specifieke gevaren en de specifieke technische respons, en moeten ook de vaardigheden hebben om te werken als onderdeel van een bredere en gecoördineerde respons. Denk aan hun vermogen om een beeld te vormen van het incident – hun situationeel bewustzijn. Denk aan het vermogen van een werknemer om effectief te communiceren binnen zijn eigen team en de bredere respons. Zorg er daarnaast voor dat werknemers weten hoe ze effectieve beslissingen kunnen nemen en die beslissingen kunnen implementeren door middel van specifieke leiderschapsvaardigheden. De training en oefening van individuen moet veel breder zijn dan alleen de technische vereisten van hun rol; alleen wanneer dit plaatsvindt, kan de organisatie een echt gecoördineerde respons inzetten.

Voor meer informatie kunt u terecht bij onze e-learning Crisis Academy , waar u training krijgt in crisismanagement en leert hoe u effectief en gecoördineerd kunt reageren. U kunt ook contact opnemen met ons team van specialisten voor een persoonlijke training voor uw organisatie.

Er komt veel meer kijken bij een effectieve respons op een beveiligingsincident dan veel organisaties zich realiseren. Het goede nieuws is dat veel organisaties al de tools hebben om een gecoördineerde en effectieve respons te lanceren. Door crisis-, nood-, incident- en beveiligingsbeheer te verbinden via één commandostructuur en activeringsprotocol, zal de organisatie meer gecoördineerde en beter beheerde incidenten zien, wat op zijn beurt zowel de impact als de duur van het incident zal verminderen. Neem vandaag nog contact op met onze consultants voor een beoordeling van uw regelingen en tips om uw respons te verbeteren.