Het downtimemodel dat je CFO wél goedkeurt
"We hebben betere back-up nodig" verliest budgetrondes. "Onze geteste RTO stelt ons bloot aan €320.000 per incident" wint ze — hier is het herbruikbare model.
Een IT-manager vraagt budget voor immutable back-upinfrastructuur. De CFO vraagt wat de huidige opzet het bedrijf in risicotermen kost. Het antwoord — "downtime is heel duur" — bevat geen getal, geen scenario, geen vergelijking, en dus geen besluit. Het verzoek schuift door naar volgend jaar. Volgend jaar hetzelfde gesprek. Het jaar erna het incident.
Het patroon breekt wanneer IT komt met wat finance overal elders al gebruikt: een risicogewogen kostenmodel met scenario's, gevoeligheidsmarges en een ROI-delta. Het bouwen kost een spreadsheet en een middag; het elke budgetcyclus hergebruiken maakt van continuïteit een blijvende, gekwantificeerde post in plaats van een terugkerend pleidooi.
De misvatting om af te schaffen: RTO en RPO zijn technische metrieken. Het zijn financiële variabelen met acroniemen om — uren offline is omzet en boetes, dataverliesvenster is herstelwerk en regelgevingsexposure. De hele taak van het model is die vertaling expliciet maken.
Wat gaat er in het model?
Vier inputcategorieën, elk met data die de organisatie al heeft.
De inputs en waar je ze vindt
Omzet per uur. Jaaromzet ÷ bedrijfsuren, met een vermenigvuldiger van 1,5–2× voor piekvensters. Een bedrijf van €50M met 250 dagen × 10 uur: ~€20.000/uur basis.
Stilstaand personeel. Getroffen medewerkers × volledig belast uurtarief. 200 mensen à €50/uur gedurende zes uur is €60.000 dat niets produceert.
Contractuele boetes en churn. SLA-credits zijn direct berekenbaar; voeg een churnaanname toe (bijv. 5% extra op de getroffen contractwaarde) voor incidenten die klanten merken.
Regelgevings- en incidentkosten. AVG-boetes schalen tot 4% van de wereldwijde omzet bij ernstig falen; de NIS2-richtlijn voegt tot €10M of 2% toe voor essentiële entiteiten zonder aantoonbare continuïteitsmaatregelen — plus forensische, juridische en meldingskosten die hoe dan ook komen, boete of niet.
Waarom drie scenario's in plaats van één getal?
Omdat één getal óf wordt afgedaan als bangmakerij, óf geaccepteerd en vergeten. Een marge, gekoppeld aan herstelcapaciteit, creëert een besluit. Best case: alles werkt — modelleer je laatst geslaagde oefentijd (doel 4 uur, oefening 5 uur → gebruik 5). Normale case: realistische frictie — een corrupte back-upset, een onbereikbare sleutelpersoon, een configuratiefout; doorgaans 2–3× het doel. Worst case: back-ups samen met productie gecompromitteerd, herstel in dagen — het ransomware-zonder-immutability-scenario, waarin een storing van 72 uur voor een bedrijf van €50M aannemelijk €3–5M stapelt over alle vier de kostencategorieën.
De eerlijkheidseis: elk scenario prijst je geteste capaciteit. Volgens het Cost of a Data Breach Report van IBM verlaagt snellere identificatie en indamming de datalekkosten meetbaar, tegen een wereldwijd gemiddelde van 4,88 miljoen dollar in 2024 — maar het model verdient zijn geloofwaardigheid alleen als de hersteltijden erin uit oefeningen komen, niet uit de ambities van het DR-document.
Waar het model de architectuur raakt
De grootste hendel van het model is de worstcaserij, en de worstcaserij is een architectuurvraag. Wat een incident van 12 uur scheidt van een incident van 72 uur is vrijwel altijd of er schone, immutable back-ups bestonden en of failover geoefend was. Concreet: immutable, EU-gehoste kopieën via backup-as-a-service verwijderen de tak "back-ups ook versleuteld" volledig; een geteste disaster recovery-capaciteit zet dagen herbouwen om in uren failover; en voor SaaS-gerichte landschappen doet onafhankelijke cloudback-up hetzelfde voor de tenantdata die het primaire platform niet herstelt.
In modeltermen schrapt of verkleint elke maatregel een scenario. Presenteer ze precies zo: niet als infrastructuur, maar als rijen die uit de verliestabel verdwijnen.
Bouwen en presenteren: een stappenplan in vijf stappen
Verzamel de vier inputs. Omzet per uur (Finance), belaste personeelskosten (HR), SLA-voorwaarden (Sales/Legal), regelgevingsexposure (Compliance). Eén middag mailen.
Stel de geteste RTO/RPO vast. Draai of herpak de laatste hersteloefening; de gemeten getallen verankeren elk scenario. Geen oefendata betekent dat de eerste deliverable een oefening is.
Prijs de drie scenario's. Duur × uurkosten + boetes + scenariospecifieke posten (forensisch onderzoek, meldingen, churn) per scenario. Houd de rekensom zichtbaar — controleerbaarheid ís overtuigingskracht.
Draai gevoeligheid op de aanjagers. Varieer piekseizoensvermenigvuldigers, churn (5/7/10%) en boeteaannames (0/2/4%). Presenteer de marge als tornadodiagram: welke variabele beweegt het totaal het meest.
Presenteer de delta, niet de techniek. Eén dia: huidige exposure per incident, exposure na investering, investeringskosten, terugverdientijd. Voorbeeldframing: "Geteste RTO 12 uur → €320K per incident plus €2M staartrisico; €150K investering brengt RTO naar 4 uur → €80K per incident, staartrisico weg; terugverdientijd onder 12 maanden."
De boarddia, geschetst
| Huidige staat (geteste RTO 12 uur) | Doelstaat (RTO 4 uur, immutable) | |
|---|---|---|
| Omzet- + personeelsverlies | €240.000 | €80.000 |
| SLA-boetes | €80.000 | €0 |
| Regelgevingsstaartrisico | tot €2M | Wezenlijk verlaagd (bewijs op dossier) |
| Verwachte kosten per groot incident | ~€320.000 + staart | ~€80.000 |
| Investering | — | €150.000 (jaar één) |
| Terugverdientijd | — | < 12 maanden bij 1 incident/jaar |
Houd het model na goedkeuring levend: een kwartaaldashboard met oefenresultaten tegen RTO-doelen, back-upsuccespercentages, SLA-naleving en cumulatieve vermeden-kostenschattingen maakt van de budgetverdediging van volgend jaar een prestatiereview van een werkende maatregel — de sterkste positie van waaruit IT kan presenteren.
Conclusie
Boards wijzen continuïteitsbudgetten niet af omdat ze betwijfelen dat downtime duur is — ze wijzen ze af omdat "duur" geen getal is dat ze tegen andere getallen kunnen afwegen. Het herbruikbare model dicht dat gat met inputs die Finance al vertrouwt, scenario's verankerd in geteste hersteltijden en een delta die leest als elke andere investeringscasus op de agenda. Bouw het één keer, voed het elk kwartaal met oefenresultaten, en het gesprek verandert blijvend van óf weerbaarheid gefinancierd wordt naar hoe snel de terugverdientijd loopt. Wil je je worstcaserij geprijsd zien tegen je werkelijke herstelcapaciteit? We helpen je die graag testen.
Veelgestelde Vragen
Hoe bereken ik de omzet per uur downtime?
Deel de jaaromzet door de jaarlijkse bedrijfsuren voor de basis — een bedrijf van €50 miljoen dat 250 dagen à 10 uur draait, verliest ruwweg €20.000 per uur — en pas een vermenigvuldiger van 1,5× tot 2× toe voor piekvensters. Tel stilstaand personeel op (getroffen medewerkers × belast uurtarief) plus eventuele contractuele SLA-credits voor het volledige uurbedrag. Het resultaat hoort uit de eigen cijfers van Finance te komen, zodat het model CFO-toetsing doorstaat.
Wat is het verschil tussen RTO en RPO in financiële termen?
RTO (recovery time objective) is hoelang systemen platliggen en vermenigvuldigt dus duurgebonden kosten: gederfde omzet, stilstaand personeel, SLA-boetes. RPO (recovery point objective) is hoeveel data verloren gaat en stuurt dus ernstgebonden kosten: handmatige reconstructie van transacties, AVG-meldplichten en regelgevingsexposure wanneer persoonsgegevens zijn geraakt. Modelleer ze apart — een incident kan een acceptabele RTO en een rampzalige RPO hebben, of omgekeerd.
Hoe vaak moet een downtimekostenmodel worden bijgewerkt?
Minimaal jaarlijks, en na elke continuïteitsoefening of elk echt incident. Werk omzet- en personeelsinputs bij naarmate het bedrijf verandert, pas SLA-aannames aan bij contractwijzigingen en — het belangrijkst — vervang aangenomen hersteltijden door gemeten tijden uit elke oefening. Een model gevoed met echte prestatiedata wint aan geloofwaardigheid, terwijl een statische spreadsheet van twee jaar oud voor boards én auditors als theater leest.