„Es gehört zu den weit verbreiteten Missverständnissen, das Business Continuity Management fokussiere vor allem auf die Verfügbarkeit der technischen Infrastruktur“, erklärt der BCM-Spezialist Hartmut Duwald. „Stattdessen umfasst es die gesamten Einflussfaktoren bis hin zu den baulichen Verhältnissen und dem Lieferantennetz“, betont er. Duwald ist Partner des BCM-Kompetenznetzwerkes der ITSM Consulting AG, das beispielsweise für einen Automobilindustriekonzern an seinen 40 weltweiten Standorten eine einheitliche IT-Notfallvorsorge eingeführt hat. Abgeleitet aus den Erfahrungen aus diesen und weiteren Projekten hat er Regeln abgeleitet, die den systematischen BCM-Aufbau unterstützen helfen:
1. Die Geschäftsführung muss BCM unterstützen:
Entscheidend für ein wirkungsvolles und effizientes Business Continuity Management ist die Einführung einer Unternehmensrichtlinie, die von der Geschäftsführung getragen wird. Sie sollte zudem mit den Verantwortlichen für die Bereiche Compliance, Risikomanagement und Informationssicherheitsmanagement abgestimmt werden, damit ein konsistenter Überbau über alle diese Themen hinweg entsteht.
2. BCM als Stabsstelle unterhalb der Geschäftsführung einrichten:
BCM ist nicht gleichzusetzen mit einem Risiko- oder Sicherheitsmanagement. Auch wenn diese beiden Funktionsbereiche gute Gründe hierfür haben, empfiehlt es sich, BCM als separate Stabsstelle direkt unterhalb der Geschäftsführung zu verankern. Dies erhöht die Schlagkraft und die Voraussetzungen dafür, dass das Unternehmen Notfälle und Krisen gut überstehen kann, da sich BCM primär mit unternehmensbedrohenden Worst-Case-Szenarien und deren Bewältigung beschäftigt.
3. Nicht auf die Wirtschaftsprüfer warten:
Die Umsetzung erster BCM-Maßnahmen sollte nicht so lange hinausgezögert werden, bis die Wirtschaftsprüfer Vorgaben mit sehr ambitionierten Umsetzungsterminen definieren. Die Maßnahmen werden zwangsläufig reaktiv angelegt sein, indem sie auf die Behebung der Feststellungen abzielen. Damit geht auch zwangsläufig ein Verlust an eigener Steuerungsfähigkeit einher, weshalb es sich empfiehlt, frühzeitig selbst initiativ zu werden.
4. An den eigenen Bedürfnissen und nicht starr an Standards ausrichten:
Vielfach wird argumentiert, dass BCM um seiner selbst willen realisiert werden muss und weil es sich dabei um einen Standard handelt. Diese Falle gilt es zu vermeiden, indem zunächst die eigenen Bedürfnisse identifiziert und zum Maßstab des Projekts werden. Schließlich soll ein Business Continuity Management in erster Linie Risiken minimieren und Schaden vom Unternehmen abwenden helfen und nicht formal einem Standard entsprechen.
5. Business Continuity muss anders behandelt werden als die etablierten Prozesse:
BCM stellt keinen üblichen Ablauf dar, der einen geschlossenen Lebenszyklus hat. Der BCM-Prozess besteht vielmehr aus vielen kleinen Prozessen, die sich unabhängig voneinander mit unterschiedlichen Geschwindigkeiten bewegen. Diese Teilprozesse liegen mal im strategischen und mal im operativen Bereich. Die Herausforderung besteht darin, sie trotzdem so miteinander zu verbinden, dass die Informationen konsistent fließen und jeder Bereich seiner Verantwortung nachkommt.
6. Mehr als ein operativer Bestandteil des IT-Betriebs:
Man sollte sich bewusst sein, dass BCM in erster Linie ein strategisches Thema auf der Geschäftsführungsebene darstellt. Auch wenn im Notfall natürlich der IT-Betrieb einen wesentlichen Anteil an einem erfolgreichen Wiederanlauf hat, kann er dies nur sicherstellen, sofern vorher die richtigen Vorsorgestrategien in den Fachabteilungen und in der IT erarbeitet wurden. Denn was nützen die besten Vorsorgemaßnahmen in der IT, wenn der Ausfall von Lieferanten, Fabrikationsgebäuden oder der Mitarbeiter unberücksichtigt geblieben ist. Entsprechende Maßnahmen müssen von der Geschäftsführung bewilligt und durch die Organisation umgesetzt werden.
7. Im Kleinen beginnen:
Mit BCM wird das gesamte Unternehmen bewegt, deshalb sollte vor allem am Anfang nicht zu viel vorgenommen werden. Das geht am besten, wenn das Business Continuity Management-Projekt in handhabbare Bausteine aufgeteilt wird. Damit wird eine Überforderung der Organisation vermieden.
8. Rechtzeitig um die erforderlichen Ressourcen im Regelbetrieb kümmern:
Damit BCM nicht nur einen Projektcharakter hat, muss es im Regelbetrieb verankert sein. Dies setzt voraus, dass bereits bei Projektstart mit den Verantwortlichen über die benötigten Ressourcen gesprochen wird, da der Planungshorizont oft über Jahre hinausgeht. Ansonsten stehen die erforderlichen Mitarbeiter bei Projektübergabe in die Linienorganisation nicht zur Verfügung. Zudem ist nicht nur an den operativen Betrieb zu denken. Denn benötigt werden ebenso Ressourcen für die regelmäßige Durchführung einer Auswirkungsanalyse mit den Fachbereichen sowie für die regelmäßigen Überprüfungen der Vorsorge- und Wiederanlaufstrategie.
9. Das meist zwangsläufige Kompetenzproblem lösen:
Die Einführung von BCM wird in der Regel nur einmal vorgenommen. Daher können sich die Unternehmen typischerweise nicht in der notwendigen Weise auf bestehende Kompetenzen und Erfahrungswissen stützen. Wird das fachliche Defizit jedoch nicht über Ressourcen mit entsprechender Expertise beseitigt, entstehen zwangsläufig Schwächen in der Ergebnisqualität und Robustheit der BCM-Lösung, aber ebenso Verzögerungen und Kostensteigerungen. Da sich hinter BCM komplexe Vorhaben verbergen, müssen die Fachspezialisten auch in ausreichender Ressourcenstärke zur Verfügung stehen.
10. Social Networking ist ein Schlüsselfaktor zum Erfolg:
Es ist geboten, die Mitarbeiter eng in das Projekt einzubinden. Dabei gilt: Je mehr die BCM-Verantwortlichen den Mitarbeitern zuhören, ihre Vorschläge und Bedenken ernst nehmen und sie mitnehmen, desto größer sind das Verständnis und die Mitwirkungsbereitschaft in der Umsetzung des BCM-Projektes. Die Social Media-Kommunikation hat sich hierbei als ein wirkungsvolles Instrument erwiesen.
