So reagieren Unternehmen auf Krisen und Notfälle

Business Continuity Management (BCM) entwickelt sich zu einer zentralen Aufgabe im Unternehmensalltag. Während Risikomanagement in erster Linie auf potenzielle Gefahren abzielt, verfolgt BCM einen umfassenderen Ansatz. Es stellt sicher, dass ein Unternehmen auch in Krisensituationen handlungsfähig bleibt oder schnell wieder wird.

BCM hilft, die betrieblichen Abläufe unter erschwerten Bedingungen aufrechtzuerhalten. Es geht nicht mehr nur um IT, sondern um alle potenziellen Bedrohungen für den Geschäftsbetrieb. Das reicht von Naturkatastrophen und Pandemien über geopolitische Krisen bis hin zu Störungen in globalen Lieferketten.

Alle Unternehmensbereiche einbeziehen

Ein effektives BCM-System integriert alle potenziellen Bedrohungsszenarien in die übergeordnete Unternehmensstrategie. Der Prozess beginnt mit einer Business-Impact-Analyse (BIA), die kritische Geschäftsprozesse und Ressourcen identifiziert, analysiert und priorisiert.

Zudem ist es notwendig, alle Unternehmensbereiche in das BCM einzubeziehen. Neben der IT sollten auch HR, Einkauf, Produktion und Logistik eingebunden werden. Die IT kann dazu eine Infrastruktur bereitstellen, um dem Management relevante Daten für die Risikobewertungen zu liefern, die strategische Zielsetzungen berücksichtigen.

Ein weiterer wichtiger Aspekt des BCM ist die regelmäßige Überprüfung und Anpassung der Notfallpläne. Dabei können moderne Datenanalyse- und Simulationsverfahren eine zentrale Rolle spielen. Sie ermöglichen es, verschiedene Szenarien durchzuspielen und die Wirksamkeit der Maßnahmen zu prüfen. Zusätzlich sollten jedoch praktische Tests und Übungen durchgeführt werden, um die Wirksamkeit der Notfallpläne zu prüfen.

ISO 22301: Der BCM-Rahmen

Die internationale Norm ISO 22301 bietet einen anerkannten Rahmen für die Implementierung eines Business Continuity Management Systems (BCMS). Sie stellt sicher, dass ein Unternehmen alle relevanten Aspekte der Geschäftskontinuität berücksichtigt, von der Risikoidentifikation bis zur Umsetzung von Notfallplänen. Ein nach ISO 22301 zertifiziertes BCMS stärkt das Vertrauen der Stakeholder und verschafft Unternehmen einen Wettbewerbsvorteil, besonders in sicherheitskritischen Branchen mit hohen Anforderungen an die Verfügbarkeit.

Ein umfassendes BCM ist also nicht nur eine Maßnahme zur Risikovermeidung, sondern ein entscheidender Schritt zur Vorbereitung auf den Ernstfall. Unternehmen sollten diese Best Practices umsetzen. Externe Audits, bei denen unabhängige Expert:innen die implementierten Maßnahmen prüfen, sind zu empfehlen. Nur so kann eine kontinuierliche Verbesserung des Systems gewährleistet werden. Wichtige technische und organisatorische Grundlagen, die für das BCM relevant sind, sind im Standard ISO 27001 für Informationssicherheits-Managementsysteme (ISMS) angelegt. Da dieser Standard in der IT bereits fest verankert ist, können Unternehmen sowohl bei der Umsetzung als auch in der Auditierung ihrer BCM- und ISM-Systeme viele Synergien nutzen.

Best Practices für BCM

1. Kommunikationskanäle klar definieren: Getrennte Kommunikationskanäle für Notfall und Alltag sorgen für Klarheit und vermeiden Missverständnisse.
2. Technologie nutzen: Lösungen zur Überwachung und zum Management von Risiken helfen, potenzielle Probleme frühzeitig zu erkennen und darauf zu reagieren. Beispiele sind IT-Managementsysteme oder Risikomanagementsoftware.
3. Digitalisierung und Datenmanagement: Die Fähigkeit zum Zugriff auf digitale Daten und Systeme wird kritischer. Unternehmen benötigen resiliente und gut integrierte IT-Systeme, um im Krisenfall schnell reagieren zu können.
4. Zugangskontrollen und Sicherheitsmaßnahmen: Der Zugang zu kritischen Systemen sollte mit starken Passwörtern und Multi-Faktor-Authentifizierung geschützt und regelmäßig überprüft werden, um Notfälle durch Datenverluste zu vermeiden.
5. Backup- und Wiederherstellungssysteme: Regelmäßige Backups und getestete Wiederherstellungsverfahren helfen, schnell wieder betriebsbereit zu sein. Die Sicherungsdaten müssen sicher aufbewahrt und regelmäßig überprüft werden.
6. Dokumentation und Zugänglichkeit: Risikobewertungen, Notfallpläne und wichtige Dokumente sollten für die Notfallmanager leicht zugänglich und gut dokumentiert sein. Sie sollten regelmäßig aktualisiert und in Krisenszenarien getestet werden.
7. Krisenmanagement-Teams: Ein gut vorbereitetes Krisenmanagement-Team benötigt klare Aufgaben und Verantwortlichkeiten. Dieses Team sollte regelmäßig trainiert und auf mögliche Krisenszenarien vorbereitet werden.
8. Schulung und Sensibilisierung: Alle Mitarbeiter müssen geschult werden, um im Krisenfall richtig handeln zu können. Dazu gehören nicht nur technische Schulungen, sondern auch solche für Krisenkommunikation und -management.
9. Management-Review und Budgetplanung: Risiken und ihre potenziellen Auswirkungen sollten in die Budgetplanung einfließen. Dadurch kann frühzeitig in Sicherheits- und Risikomanagementmaßnahmen investiert werden.
10. Integration in die Unternehmensstrategie: Die BCM-Strategie darf nicht isoliert betrachtet werden, es ist Teil der Unternehmensstrategie. Notwenige Ressourcen müssen in der strategischen Planung berücksichtigt werden.

Angesichts der wachsenden Herausforderungen durch Klimawandel, geopolitische Unsicherheiten und Cyber-Angriffe ist BCM für Unternehmen unverzichtbar. Es versetzt sie in die Lage, auch in Krisen handlungsfähig zu bleiben und sich schnell zu erholen. Diese Resilienz stärkt nicht nur das Vertrauen von Kunden und Partnern, sondern auch die Führungsstärke auf Managementebene.

Über den Autoren: Guido Eggers ist Managing Director & Global Head Center of Excellence „Food and Sustainability“ beim Zer­ti­fi­zie­rungs­dienst­leis­ter DQS.

Bild von freepik, DQS