Business Continuity Management (BCM) is often misunderstood as a collection of documents, recovery plans, or compliance artifacts. In reality, BCM is an operating capability, one that succeeds or fails based on people, roles, and accountability, not templates or ISO aligned tick boxes.

Across mature BCM frameworks and standards, one message is consistent: without clearly defined, resourced, and empowered roles, BCM will fail regardless of how good the plans look on paper. This is reinforced within the BCM Policy, which usually states that appropriate roles, responsibilities, and competent resources are a prerequisite for an effective Business Continuity Management System (BCMS).

BCM and Risk Management - While BCM does not replace Risk Management, Risk Management does not deliver continuity or resilience on its own. Risk Management does however focus on identifying, assessing, and prioritizing those risks.  BCM rather focuses on how an organization survives, when one or a combination of these risks materialize. The BCM Framework usually positions these disciplines as complementary, with Risk Management playing a role in informing the Business Impact Analysis (BIA), recovery strategies, and prioritization of continuity processes.

A common failure pattern being observed, is assuming that resources within the business have the understanding or knowledge to perform an appropriate Business Impact Analysis (BIA) or Risk Assessment (RA). Quite often they don't. Some areas believe that “having risks logged” equates to being resilient, it doesn't as risk registers don't restore services, people do.

Why do core BCM Roles exist?

Best practice BCM frameworks define a multi layered model around BCM roles, not a single “BCM person”. This is particularly relevant when embedding BCM within the organization and ensuring that accountability exists within the relevant roles. Within an organizations structure, and starting at the top, executive and senior management roles are accountable for demonstrating leadership commitment, providing the authority and funding to ensure success, while ensuring that the appropriate prioritization is provided.

By setting resilience expectations and holding teams accountable, the leadership team can ensure visibility and buy-in to ensure a successful BCM program. These leadership requirements are usually mandated in both the BCM Policy and Framework (Requires leadership commitment for the establishment, operation, and continuous improvement of the BCMS).

If BCM does not have the visible executive ownership, it will be de-prioritized the moment the organization is under pressure, typically during a disruption when it is needed most. The BCM function ownership and coordination role usually falls with the BCM-Leader, this role is responsible for:

  • Designing and maintaining the BCM framework
  • Driving BIAs, recovery strategies, testing, and training
  • Ensuring policy, framework, and plan alignment
  • Providing assurance reporting to leadership

These responsibilities are usually described in an organizations BCM framework and competency documentation, which emphasizes governance, coordination, and continuous improvement rather than document ownership.

Crisis, Incident, and Business Recovery Teams

Additional roles within the BCM framework should clearly distinguish between:

  • Crisis Management Teams (CMT) – strategic decision‑making and communication
  • Emergency / Incident Management Teams (EMT) – immediate life safety and incident control
  • Business Recovery Teams (BRT) – restoring critical services and operations
  • IT Disaster Recovery / ICT Continuity Teams (IT DR) - Restoring IT services and infrastructure

These roles should be formally defined to prevent confusion during real events, where having an unclear authority, is one of the biggest causes of response failure. If people do not know which team they are on until an incident occurs, the organizational is not resilient, its being rather hopeful.

ICT Continuity / IT Disaster Recovery: It's not optional, and it's definitely not separate from BCM, as most modern organizations are technology dependent. Business continuity without ICT Continuity could potentially leave organizations inoperable. The ICT Continuity Policy defines IT DR / ICT Continuity as the capability that ensures technology services, infrastructure, and data are restored within agreed recovery objectives to support business recovery and related processes. Some key ICT Continuity roles include executive accountability for ICT resilience, ICT / IT DR Coordinators (responsible for planning and coordination), and technical recovery teams that are responsible for system, infrastructure, and data restoration.

Lastly, the ICT Continuity policy usually provides insight to the roles that must be formally established, competently resourced, and trained. If ICT recovery is treated as a purely technical exercise, disconnected from business priorities, then recovery targets may be missed even if systems come back online.

Where does BCM Most Often Fail? Team Composition

In my more than twenty years of BCM experience, across a variety of roles I have been involved with numerous audits, incidents, and real-world situations. When considering what improvements could be implemented, the usual suspects of weaknesses tend to appear repeatedly:

  • Over reliance on one or two individuals holding global BCM responsibility
  • No formally assigned Business Recovery Team members
  • ICT Continuity roles assumed but not documented
  • Leaders expecting BCM to “work” without dedicated capacity
  • Testing performed, but lessons not owned or actioned

Most organizations are not immune to these weaknesses, often mitigation requires BCM and ICT Continuity policies to both require adequate resources, competent persons, and continuous improvement mechanisms. When one, some, or all of these are absent, BCM becomes ceremonial.

Quite often, improving BCM Maturity from a compliance exercise is a people problem, though plans, tools, strategies and frameworks do matter, they only work when roles are clear with accountability enforced. Ensuring that teams are trained and exercised, and that leadership actively participates in the process ensures that buy-in from executive leadership and the rest of the organization is encouraged.

BCM will be doomed to fail if we treat resilience as a documented requirement or “tick box” exercise, instead of an operational capability owned by people across the business and IT landscape.