The crisis management plan step by step

A crisis management plan is needed precisely when nobody has time to write one. That is why it should be created beforehand, kept short and tested. In this article we take the board through seven steps for building such a plan and show how to check that it is not merely a nice document in a drawer.

Reading time: 9 min · Crisis management in the company · Commplace® since 1996

What a crisis management plan is for

A crisis management plan answers one fundamental question: what do we do in the first hour, the first day and the first week, when something seriously threatens the company? It is not meant to describe every possible event. It is meant to give the team a shared language, a division of responsibility and an order of action, so that nobody has to invent them under stress.

W praktyce plan spełnia trzy zadania. Skraca czas potrzebny na pierwsze decyzje, bo progi alarmowe i role są już ustalone. Ogranicza liczbę błędów wynikających z pośpiechu, bo istnieje lista rzeczy do sprawdzenia. I chroni zarząd przed zarzutem, że nie zachował należytej staranności, ponieważ pokazuje, że firma o ryzyku myślała. To ostatnie warto omówić z prawnikiem, bo ocena zależy od okoliczności i przepisów. Ogólny obraz całego obszaru znajdziesz w przewodniku po zarządzaniu kryzysowym w firmie.

Step 1: risk analysis, or what could happen

Every company’s crisis plan starts with a list of events that could happen to that particular company. We do not copy other people’s scenarios. We sit down with the people responsible for production, sales, IT, HR, legal and communications and ask: what would hurt us most, and what is realistically possible? We record the result in a simple register in which each risk shows its likelihood, its impact and its owner.

Dobrym uzupełnieniem jest spojrzenie z zewnątrz: na to, co o firmie piszą klienci, co pojawia się w opiniach i co mówią o branży media. Więcej o tym, jak wyglądają zagrożenia dla wizerunku, piszemy w materiale o tym, jak zbudować mapę ryzyk reputacyjnych. Nie musisz mieć stu pozycji. Dziesięć dobrze opisanych zdarzeń da lepszy punkt wyjścia niż długa lista ogólników.

For each risk, it is worth asking two more questions. First: how will we know it is starting, that is, which warning signal will appear first? Second: who in the company will see that signal earliest? It often turns out that the first piece of information reaches a helpline agent, a salesperson or a system administrator, not the board. The plan should therefore show how such a message travels upwards and to whom, without the employee fearing that they will be accused of raising an alarm over nothing.

Step 2: the severity scale and alert thresholds

A crisis response plan must answer the question of when an ordinary problem becomes a crisis. Without that, some people report everything and others report nothing. The simplest solution is a three-level severity scale. At the lowest level, the matter is handled by the owner of the area; at the middle level, it involves the head of communications and a director; at the highest level, it activates the whole crisis team and informs the board and the supervisory board.

Każdy poziom powinien mieć krótki, sprawdzalny opis, a nie ocenę na czuja. Na przykład: czy jest zagrożone życie lub zdrowie, czy sprawa jest już w mediach, czy dotyczy danych osobowych, czy grozi zatrzymaniem działalności. Szczegółowy opis takiej skali znajdziesz w tekście o tym, jak wyglądają poziomy poważności P1, P2 i P3. Ważne, by próg był zapisany, a decyzja o eskalacji nie zależała od odwagi jednej osoby.

Step 3: roles and responsibilities in the team

The third step is to assign roles to specific people. We need a chair who takes decisions, a person who gathers facts, a person responsible for external and internal communication, a lawyer, a representative of operations and a secretary who keeps the incident log. Each of these functions has a deputy. Crises like to happen on Friday evenings and during holidays.

Nie należy mylić roli z tytułem. Prezes nie musi być rzecznikiem, a dyrektor marketingu nie musi decydować o sprawach prawnych. Ważne, by każdy wiedział, w czym ma ostatnie słowo, a w czym tylko doradza. Szerzej o tym, jak dobrać skład, piszemy w materiale o tym, jak zbudować zespół kryzysowy. Listę osób i telefonów warto trzymać w formie, która jest dostępna także wtedy, gdy nie działa firmowa poczta.

Step 4: the crisis procedure, or the order of action

A crisis procedure does not have to be complicated. It is enough for it to contain a few stages in a fixed order: confirming the facts, assessing severity, convening the team, deciding on the first actions, communication, monitoring the effects and closing the matter. For each stage we name an owner and an indicative time in which it should be completed, as well as how decisions are recorded.

Warto przygotować krótkie karty działań dla kilku najbardziej prawdopodobnych zdarzeń: awarii, wycieku danych, wypadku, publicznego zarzutu. Karta zajmuje jedną stronę i mówi, kogo wołamy, co sprawdzamy i czego nie robimy. Zakaz bywa ważniejszy niż zalecenie, na przykład zakaz komentowania w mediach społecznościowych przez osoby nieupoważnione. Pierwsze godziny opisujemy szerzej w artykule o tym, co robi zarząd w pierwszych 60 minutach kryzysu.

1. Confirm the facts and record what is known and what is not.
2. Assess severity against the agreed scale.
3. Convene the team and settle who owns the decision.
4. Decide on the first protective actions.
5. Start communication in the agreed order of audiences.
6. Monitor the effects and update the assessment at set intervals.
7. Close the matter, summarise and record the lessons.

Step 5: communication as part of the plan, not an add-on

In many companies, the crisis plan describes the technical fixing of the problem and tacks communication on at the end in a single paragraph. That is a mistake, because whether employees, customers and partners believe the company depends on how and when it speaks about the matter. The communication section should identify audiences, the order of notification, the people authorised to speak and templates for first statements, to be completed with the facts.

Wzory nie mogą udawać, że wiedzą więcej, niż wiadomo. Dobry komunikat na początku mówi: co się stało, co już zrobiliśmy, czego jeszcze nie wiemy i kiedy podamy kolejne informacje. Zasady takiej komunikacji opisujemy w tekście o tym, jakie są zasady komunikacji kryzysowej. Jeśli dotyczy Cię sytuacja, w której potrzebujesz wsparcia przy budowie tego rozdziału, sprawdź communication strategy at Commplace®.

Steps 6 and 7: resources and exercises, or checking that the plan is alive

The sixth step is resources. The plan must state where the team will meet, how it communicates if email is not working, who has access to documents, what the contingency budget is and which external experts can be called on. It is better to have agreements with advisers signed before a crisis, because in the middle of a case nobody wants to negotiate terms. Resources also tie in with the business continuity plan, a description of how the company keeps its most important processes running when something stops working.

Siódmy krok to ćwiczenia. Plan, którego nikt nie przetestował, jest hipotezą. Najlepiej co roku przeprowadzić symulację: stół, scenariusz, zegar i kilka niespodziewanych informacji wprowadzanych w trakcie. Po ćwiczeniu zapisujemy wnioski i poprawiamy plan. O tym, jak zorganizować takie sesje, piszemy w artykule o tym, jak wygląda symulacja kryzysu dla zarządu, a o utrzymaniu pracy firmy w awarii w tekście o tym, jak zbudować plan ciągłości działania.

The most common mistakes in building a crisis plan

The first mistake is a plan that is too long. A document that cannot be read in a few minutes will not be used. The second is a plan without an owner: nobody is responsible for updating it, so the contacts go out of date and the roles describe people who no longer work at the company. The third is a plan without exercises, which looks good until the first incident.

Czwarty błąd to kopiowanie szablonu z internetu bez dostosowania do firmy. Szablon może być punktem wyjścia, ale nie zastąpi rozmowy o tym, jakie ryzyka dotyczą właśnie Was. Piąty to pominięcie komunikacji wewnętrznej: pracownicy są pierwszymi ambasadorami i pierwszymi krytykami firmy. Jeśli jesteś ciekaw, jak Twój plan wypada na tle dobrych praktyk, pomocny jest audyt kryzysowy firmy z checklistą i skalą oceny.

• a plan longer than a dozen or so pages that nobody knows,
• no named deputies and no up-to-date contacts,
• no severity scale and no threshold for raising the alarm,
• communication tacked on at the end, with no audiences and no templates,
• no exercises and no review at least once a year.

How the Nawigator helps you build a plan that works

Our work begins with a diagnosis: conversations with the board, a review of documents and a check of which plans and procedures the company already has. Then we run risk workshops, build the severity scale, assign roles and write a short plan with action cards. At the end we organise an exercise and make the corrections. We run the whole process at a rhythm that does not paralyse the board’s day-to-day work.

Koszt bezczynności jest jakościowy, ale realny: zarząd, który nie ma planu, zużywa energię na spory organizacyjne w chwili, gdy powinien podejmować decyzje merytoryczne. Następny krok jest prosty: rozmowa o tym, co macie, i lista luk. Opisujemy crisis management in Commplace®, a spotkanie ustalisz przez arrange an interview.

Source: compilation by Commplace®. Examples and animations are illustrative; they do not constitute legal advice or guarantees of results. The increase in the indicator after the action itself does not prove that the action caused it.