In een crisis is de grootste vijand zelden de gebeurtenis zelf: het is het onvermogen om snel en juist te beslissen. U kunt over een volledig crisisbeheerplan (CMP) beschikken, maar als de beslissingsmatrix op het moment van de waarheid onduidelijk is, is het plan nutteloos. Het RAPID-framework (gepopulariseerd door Bain & Company) pakt dit aan door aan elke beslissing 5 afzonderlijke rollen toe te wijzen, in plaats van een vage, dubbelzinnige RACI. Dit artikel toont hoe u het toepast in uw crisisbeheerplan.
Het RAPID-framework in 5 letters
Voor elke beslissing worden 5 actoren geïdentificeerd (dat kunnen personen of groepen zijn):
| Letter | Rol | Vraag |
|---|---|---|
| R — Recommend | Adviseert | Wie bereidt het advies voor? |
| A — Agree | Keurt goed | Wie moet uitdrukkelijk goedkeuring geven (veto)? |
| P — Perform | Voert uit | Wie voert de beslissing uit? |
| I — Input | Levert input | Wie levert feitelijke elementen aan? |
| D — Decide | Beslist | Wie hakt de knoop door bij onenigheid? |
Belangrijkste verschil met RACI (Responsible, Accountable, Consulted, Informed): RAPID scheidt het advies van de beslissing, waardoor de beslissingsketen expliciet moet maken wie voorbereidt en wie beslist. In een crisis is dat cruciaal.
RAPID toepassen in een crisisbeheerplan
Een CMP dat is afgestemd op ISO 22361 bevat doorgaans 8 structurerende beslissingen in crisismodus. Hier is een voorbeeld van een RAPID-matrix voor een industriële kmo met 200 medewerkers:
| Beslissing | R | A | P | I | D |
|---|---|---|---|---|---|
| De crisiscel activeren | BCM Manager | CEO | CIO/CFO/CHRO | Security | CEO |
| Extern communiceren | Communicatie | CEO, GC | Communicatie + Marketing | Iedereen | CEO |
| Toezichthouder/CSIRT melden | CIO/CISO | GC | CISO | Security, BCM | CISO |
| Productie stilleggen | Sitemanager | Industrieel directeur | Sitemanager | Kwaliteit, Veiligheid | CEO |
| Plan B voor leveranciers activeren | Aankoop | CFO, CEO | Aankoop | CIO, Logistiek | CFO |
| RTO/RPO herijken | CIO | BCM Manager | CIO, Cloud | BIA-eigenaars | CISO |
| Overmacht inroepen tegenover klanten | Communicatie | GC | Communicatie + Sales | GC, BCM | CEO |
| De crisis afsluiten | BCM Manager | CEO | BCM | Iedereen | CEO |
Deze matrix moet in uw crisisbeheerplan zelf staan, niet in een losstaand document. Valideer ze in rustige tijden (directiecomité) en herzie ze na elke tabletop-oefening.
Veelgemaakte fouten
Fout 1 — A (Agree) en D (Decide) verwarren
A = vetorecht. D = de bevoegdheid om als eindarbiter te beslissen. Als A en D dezelfde persoon zijn, verliest u de controle via een dubbele blik. Als meerdere personen D hebben, raakt u bij onenigheid in een impasse.
Fout 2 — Te veel A's
Hoe meer A's (Agree) op een beslissing, hoe trager ze verloopt. Beperk tot maximaal 1 of 2. In een crisis valt A voor operationele beslissingen op korte termijn vaak terug tot nul.
Fout 3 — Geen expliciete R
Zonder R komt de beslissing "naakt" bij D terecht. D heeft geen concreet voorstel om te valideren of te verwerpen. Het debat loopt vast. R = de persoon die het werk voorkauwt.
Fout 4 — Vage I (Input)
I moet specifieke personen of systemen vermelden, met antwoordtermijnen. "Vraag het aan het IT-team" is geen I. "De IT-wachtdienst antwoordt binnen 15 min over de status van de back-ups" is een correcte I.
RAPID integreren in het BCMS
Een crisisbeheerplan zonder RAPID-matrix = wishful thinking. Om de matrix in uw BCMS te integreren:
- Breng de 8–15 structurerende beslissingen in uw CMP in kaart.
- Documenteer één RAPID-lijn per beslissing.
- Test in tabletop-oefeningen: meet de tijd van elke beslissing en controleer of ze door de juiste D werd genomen.
- Herzie na elke echte crisis in de AAR.
- Bewaar de matrix in een gedeelde, 24/7 beschikbare repository, niet in een Word-bestand op een lokale share.
ResiPlan levert dit sjabloon in de module Crisisbeheerplan (/features/crisis-gaming). De RAPID-matrix is geversioneerd, ondertekend door de CEO en toegankelijk vanuit het dashboard van de crisiscel.
RAPID vs RACI vs DACI: welk kiezen?
| Framework | Sterkte | Zwakte | Wanneer gebruiken |
|---|---|---|---|
| RACI | Algemeen bekend | Vermengt C (Consulted) en A (Accountable) | Lange projecten, beperkte beslissingsinzet |
| DACI | Onderscheidt Driver en Approver | Mist een expliciete "uitvoering" | Productprojecten |
| RAPID | Scheidt R en D, dwingt beslissingsmechanismen af | Moeilijker te verinnerlijken | Crisis, strikte governance, M&A |
Voor een crisisbeheerplan volgens ISO 22361 of afgestemd op NIS2 is RAPID onze aanbeveling.
Voorbeeld van een tabletop-oefening
Scenario: ransomware-aanval gedetecteerd om 03:22.
- T+0 (wachtdienst): I = SOC, BCM, DPO. R = CISO. A = ø. P = IT-teams. D = CISO.
- T+15 min (escalatie naar crisisniveau): R = CISO + BCM Manager. A = CEO. P = CEO (beslissing tot activering van de cel). I = CIO, GC. D = CEO.
- T+45 min (melding aan het CSIRT): R = CISO. A = GC. P = CISO. I = BCM, Communicatie. D = CISO (met GC als vangrail).
- T+2 u (externe communicatie): R = Communicatie. A = CEO, GC. P = Communicatie + Marketing. I = Sales (getroffen klanten). D = CEO.
Deze expliciete toewijzing verkort de gemiddelde beslissingstijd met 30–60% in geobserveerde oefeningen. Zie 10 scenario's voor crisisoefeningen.