Unternehmen müssen heute jederzeit damit rechnen, dass wichtige Geschäftsprozesse durch unerwartete Ereignisse beeinträchtigt oder vollständig unterbrochen werden. Ein Cyberangriff, ein längerer Stromausfall, der Ausfall zentraler IT-Systeme, ein Brand, eine Naturkatastrophe, der Ausfall eines wichtigen Lieferanten oder der plötzliche Wegfall von Schlüsselpersonen können erhebliche Auswirkungen auf die Geschäftstätigkeit haben. Genau hier setzt das Business Continuity Management (BCM) an.
Business Continuity Management sorgt dafür, dass Unternehmen auch bei schwerwiegenden Störungen handlungsfähig bleiben und kritische Produkte und Dienstleistungen möglichst zuverlässig weiter erbracht werden können. Eine professionelle Notfallplanung ist deshalb längst nicht mehr nur ein Thema für Großunternehmen. Auch mittelständische Unternehmen und kleinere Betriebe sind auf funktionierende Prozesse, IT-Systeme, Lieferketten, Mitarbeiter und Dienstleister angewiesen.
Die ISO 22301 bietet einen international anerkannten Rahmen für den Aufbau eines Business Continuity Management Systems (BCMS). Sie unterstützt Unternehmen dabei, Risiken und Auswirkungen von Störungen systematisch zu analysieren, geeignete Vorsorgemaßnahmen zu definieren und für den Ernstfall belastbare Verfahren zur Reaktion und Wiederherstellung zu etablieren.
Was ist Business Continuity Management?
Business Continuity Management bezeichnet einen systematischen Managementansatz, mit dem Unternehmen ihre Widerstandsfähigkeit gegenüber Störungen erhöhen. Ziel ist es nicht, jede mögliche Krise verhindern zu können. Vielmehr geht es darum, die Auswirkungen unvermeidbarer oder nicht vorhersehbarer Ereignisse zu begrenzen und die wichtigsten Geschäftsaktivitäten auch unter außergewöhnlichen Bedingungen aufrechterhalten oder möglichst schnell wieder aufnehmen zu können.
Ein wirksames BCM betrachtet deshalb nicht nur einzelne Notfälle. Es untersucht das Unternehmen als Gesamtsystem: Geschäftsprozesse, Mitarbeiter, Gebäude, Maschinen, IT, Daten, Energieversorgung, Lieferanten, Dienstleister, Kommunikationswege und weitere Abhängigkeiten werden hinsichtlich ihrer Bedeutung für die Geschäftstätigkeit betrachtet.
Business Continuity Management verbindet damit verschiedene Themenbereiche, die in Unternehmen häufig getrennt betrachtet werden:
- Notfallplanung und Notfallvorsorge
- Risikomanagement
- Krisenmanagement
- IT-Notfallmanagement
- Informationssicherheit
- Lieferkettenmanagement
- Prozessmanagement
- Qualitätsmanagement
- Unternehmensorganisation
- Wiederanlauf- und Wiederherstellungsplanung
Ein professionelles Business Continuity Management führt diese Themen zusammen und schafft klare Verantwortlichkeiten für den Fall, dass der normale Geschäftsbetrieb gestört wird.
Warum ist eine professionelle Notfallplanung wichtig?
Im normalen Geschäftsbetrieb funktionieren Prozesse meist zuverlässig. Mitarbeiter kennen ihre Aufgaben, Systeme stehen zur Verfügung, Lieferanten liefern und Kommunikationswege funktionieren. Ein schwerwiegender Zwischenfall kann diese Voraussetzungen jedoch innerhalb weniger Minuten verändern.
Gerade in einer solchen Situation ist es problematisch, wenn Verantwortlichkeiten und Vorgehensweisen erst dann festgelegt werden. Unter Zeitdruck entstehen leicht widersprüchliche Entscheidungen, wichtige Informationen fehlen oder notwendige Maßnahmen werden zu spät eingeleitet.
Eine Notfallplanung schafft deshalb bereits im Vorfeld Klarheit. Sie beantwortet unter anderem folgende Fragen:
- Welche Geschäftsprozesse sind für das Unternehmen besonders kritisch?
- Welche Prozesse müssen nach einem Ausfall zuerst wiederhergestellt werden?
- Welche Ressourcen werden dafür benötigt?
- Wer entscheidet im Notfall?
- Wer übernimmt welche Aufgaben?
- Wie werden Mitarbeiter, Kunden, Lieferanten und weitere Interessengruppen informiert?
- Welche alternativen Arbeitsmöglichkeiten stehen zur Verfügung?
- Wie kann ein IT-Ausfall überbrückt werden?
- Welche Lieferanten oder Dienstleister sind besonders kritisch?
- Wie lange kann ein Prozess maximal ausfallen?
- Welche Maßnahmen sind erforderlich, um den Geschäftsbetrieb wiederherzustellen?
Eine gute Notfallplanung ist dabei kein statisches Dokument, das einmal erstellt und anschließend abgelegt wird. Sie muss regelmäßig überprüft, getestet und an Veränderungen im Unternehmen angepasst werden.
Business Continuity Management nach ISO 22301
Die ISO 22301 ist die internationale Norm für Business Continuity Management Systeme. Sie beschreibt Anforderungen an ein Managementsystem, mit dem Unternehmen ihre Fähigkeit zur Vorbereitung auf Störungen, zur Reaktion auf Ereignisse und zur Wiederherstellung wichtiger Geschäftsaktivitäten systematisch aufbauen und verbessern können.
Die Norm ist grundsätzlich branchenunabhängig und kann von Organisationen unterschiedlicher Größe und Struktur angewendet werden. Entscheidend ist, dass Umfang und Ausgestaltung des Business Continuity Management Systems zur Organisation, ihren Risiken und ihrer Komplexität passen.
Die aktuell veröffentlichte Fassung ist ISO 22301:2019. Eine neue Ausgabe befindet sich derzeit auf internationaler Ebene in der Entwicklung. Unternehmen, die ein BCM-System aufbauen oder weiterentwickeln möchten, sollten deshalb sowohl die Anforderungen der aktuell gültigen Norm als auch die zukünftige Entwicklung beobachten.
Was ist ein Business Continuity Management System?
Ein Business Continuity Management System (BCMS) ist die organisatorische Struktur, mit der ein Unternehmen Business Continuity dauerhaft steuert. Es geht damit deutlich über einen einzelnen Notfallplan hinaus.
Ein BCMS umfasst unter anderem Vorgaben, Verantwortlichkeiten, Prozesse, Analysen, Maßnahmen, Schulungen, Übungen, Prüfungen und Verbesserungsmaßnahmen. Dadurch wird Business Continuity zu einem festen Bestandteil des Managementsystems.
Das ist ein wesentlicher Unterschied zwischen einer klassischen Notfallmappe und einem professionellen Business Continuity Management. Ein Notfallplan beschreibt vor allem, was in einer konkreten Situation zu tun ist. Ein BCMS stellt darüber hinaus sicher, dass die erforderlichen Notfallpläne überhaupt entstehen, regelmäßig überprüft werden und im Unternehmen funktionieren.
Die wichtigsten Bestandteile des Business Continuity Managements
Analyse des Unternehmenskontextes
Am Anfang steht die Betrachtung des Unternehmens und seines Umfelds. Dabei werden beispielsweise interne und externe Einflussfaktoren, relevante Interessengruppen, gesetzliche und vertragliche Anforderungen sowie wesentliche Abhängigkeiten betrachtet.
Eine realistische Notfallplanung kann nur funktionieren, wenn bekannt ist, wie das Unternehmen tatsächlich arbeitet und welche Prozesse für seine Leistungsfähigkeit entscheidend sind.
Business Impact Analysis
Ein zentraler Bestandteil des BCM ist die Business Impact Analysis (BIA). Dabei wird untersucht, welche Auswirkungen der Ausfall einzelner Prozesse auf das Unternehmen hätte.
Die BIA hilft beispielsweise dabei, kritische Geschäftsprozesse zu identifizieren und deren zeitliche Wiederherstellungsanforderungen festzulegen. Dabei können finanzielle Schäden, Auswirkungen auf Kunden, gesetzliche Anforderungen, Vertragsverpflichtungen, Reputation und weitere Faktoren berücksichtigt werden.
Die entscheidende Frage lautet nicht nur: „Was kann ausfallen?“, sondern vor allem: „Was passiert, wenn es ausfällt – und wie lange kann das Unternehmen damit leben?“
Risikoanalyse
Die Business Impact Analysis und die Risikoanalyse erfüllen unterschiedliche Aufgaben. Während die BIA die Auswirkungen eines Ausfalls betrachtet, untersucht die Risikoanalyse mögliche Ursachen und Szenarien.
Dazu können beispielsweise folgende Ereignisse gehören:
- Cyberangriffe und Ransomware
- Ausfall von Servern oder Cloud-Diensten
- Stromausfall
- Brand oder Wasserschaden
- Naturereignisse
- Ausfall wichtiger Maschinen oder Anlagen
- Lieferantenausfall
- Probleme in der Logistik
- Ausfall von Schlüsselpersonen
- Unterbrechung von Kommunikationswegen
- Ausfall von Gebäuden oder Standorten
- Fehler bei kritischen Dienstleistern
Business Continuity Strategien
Aus den Ergebnissen der Analysen werden geeignete Strategien entwickelt. Je nach Prozess und Unternehmen können unterschiedliche Maßnahmen sinnvoll sein.
Dazu gehören beispielsweise redundante Systeme, alternative Arbeitsplätze, Ersatzlieferanten, zusätzliche Lagerbestände, Notstromversorgung, Datensicherungen, alternative Kommunikationswege oder definierte Vertretungsregelungen.
Die richtige Strategie hängt immer vom konkreten Unternehmen ab. Eine aufwendige technische Redundanz ist nicht automatisch die beste Lösung. Entscheidend ist das Verhältnis zwischen Risiko, möglichem Schaden, Wiederherstellungsanforderungen und wirtschaftlichem Aufwand.
Notfall- und Wiederanlaufplanung
Auf Grundlage der definierten Strategien werden konkrete Notfallpläne entwickelt. Sie sollen Mitarbeitern und Verantwortlichen im Ernstfall eine klare Orientierung geben.
Ein Notfallplan kann beispielsweise enthalten:
- Auslösekriterien für den Notfall
- Notfallorganisation
- Verantwortlichkeiten und Stellvertretungen
- Alarmierungswege
- Kontaktinformationen
- Entscheidungsbefugnisse
- Kommunikationsregelungen
- Schritt-für-Schritt-Anweisungen
- Prioritäten für kritische Prozesse
- Vorgehen bei IT-Ausfällen
- Wiederanlaufmaßnahmen
- Dokumentation des Notfalls
Notfallmanagement und Krisenmanagement
Notfallmanagement und Krisenmanagement werden häufig gleichgesetzt, obwohl sie unterschiedliche Schwerpunkte haben.
Das Notfallmanagement konzentriert sich stärker auf konkrete Ereignisse und die Aufrechterhaltung beziehungsweise Wiederherstellung definierter Prozesse. Das Krisenmanagement betrachtet dagegen eine übergeordnete Lage, in der beispielsweise zahlreiche Unternehmensbereiche gleichzeitig betroffen sind und strategische Entscheidungen erforderlich werden.
Ein funktionierendes Business Continuity Management sollte deshalb mit den bestehenden Strukturen für Krisenmanagement, Informationssicherheit, Risikomanagement und Qualitätsmanagement abgestimmt sein.
IT-Notfallmanagement als Teil der Business Continuity
Die zunehmende Digitalisierung macht Unternehmen in vielen Bereichen von IT-Systemen abhängig. Ein Ausfall zentraler Systeme kann deshalb unmittelbar zu einem Ausfall wichtiger Geschäftsprozesse führen.
IT-Notfallmanagement ist damit ein wichtiger Bestandteil der Business Continuity. Dabei geht es beispielsweise um Datensicherung, Wiederherstellungsverfahren, Ersatzsysteme, Zugriffsrechte, Kommunikationsmöglichkeiten und definierte Verantwortlichkeiten.
Wichtig ist allerdings, Business Continuity nicht ausschließlich als IT-Thema zu betrachten. Ein funktionierendes Backup verhindert beispielsweise keinen Produktionsausfall, wenn gleichzeitig Maschinen, Gebäude, Personal oder Lieferketten betroffen sind. Ein ganzheitliches BCM betrachtet deshalb die gesamte Organisation.
Business Continuity und Lieferketten
Unternehmen sind heute häufig eng mit Lieferanten, Logistikdienstleistern, IT-Anbietern und weiteren externen Partnern verbunden. Dadurch können Störungen außerhalb des eigenen Unternehmens unmittelbare Auswirkungen auf die eigene Leistungsfähigkeit haben.
Eine professionelle Notfallplanung sollte daher auch kritische externe Abhängigkeiten berücksichtigen. Dazu gehören beispielsweise Single-Source-Lieferanten, externe IT-Dienstleister, Cloud-Plattformen, Logistikunternehmen oder spezialisierte Servicepartner.
Je nach Bedeutung können alternative Lieferanten, Notfallvereinbarungen, Sicherheitsbestände oder andere Vorsorgemaßnahmen erforderlich sein.
Notfallplanung für mittelständische Unternehmen
Business Continuity Management ist nicht ausschließlich ein Thema für internationale Konzerne. Gerade für mittelständische Unternehmen kann eine durchdachte Notfallplanung von großer Bedeutung sein.
Viele mittelständische Unternehmen verfügen über besonders wichtige Einzelpersonen, spezialisierte Maschinen, einzelne Lieferanten oder zentrale IT-Systeme. Fällt eine dieser Komponenten aus, können die Auswirkungen überproportional groß sein.
Ein BCM-System muss dabei nicht zwangsläufig kompliziert sein. Entscheidend ist vielmehr, die tatsächlichen Risiken und kritischen Prozesse zu erkennen und angemessene Maßnahmen zu definieren.
Ein schlankes und praxisorientiertes Business Continuity Management kann insbesondere für kleinere Unternehmen sinnvoller sein als umfangreiche Dokumentationen, die im Ernstfall niemand verwendet.
Business Continuity Management in bestehende Managementsysteme integrieren
In vielen Unternehmen existieren bereits Managementsysteme nach ISO 9001, ISO 14001, ISO 27001 oder anderen Standards. Business Continuity Management sollte deshalb möglichst nicht als isoliertes Zusatzsystem betrachtet werden.
Viele Anforderungen und Methoden lassen sich sinnvoll miteinander verbinden. Dazu gehören beispielsweise Prozessmanagement, Risikoanalysen, interne Audits, Managementbewertungen, Dokumentenlenkung, Schulungen und kontinuierliche Verbesserung.
Besonders interessant ist die Verbindung zwischen ISO 9001 und ISO 22301. Während das Qualitätsmanagement insbesondere auf die Fähigkeit zur zuverlässigen Erfüllung von Kundenanforderungen und die Verbesserung von Prozessen ausgerichtet ist, konzentriert sich Business Continuity Management auf die Widerstandsfähigkeit gegenüber Störungen und die Aufrechterhaltung beziehungsweise Wiederherstellung kritischer Aktivitäten.
Auch zwischen ISO 27001 und ISO 22301 bestehen wichtige Schnittstellen. Informationssicherheit ist für die Business Continuity vieler Unternehmen von zentraler Bedeutung, gleichzeitig reicht Informationssicherheit allein nicht aus, um sämtliche betrieblichen Ausfallrisiken abzudecken.
Business Continuity Management richtig einführen
Die Einführung eines Business Continuity Management Systems sollte strukturiert und an den tatsächlichen Bedürfnissen des Unternehmens ausgerichtet erfolgen.
1. Ausgangssituation analysieren
Zunächst wird festgestellt, welche Strukturen bereits vorhanden sind. Dabei können bestehende Managementsysteme, Notfallpläne, Risikoanalysen, IT-Konzepte und Prozessbeschreibungen berücksichtigt werden.
2. Kritische Geschäftsprozesse bestimmen
Im nächsten Schritt werden die Prozesse identifiziert, deren Ausfall besonders schwerwiegende Folgen hätte. Dabei werden Abhängigkeiten und Wiederherstellungsanforderungen untersucht.
3. Risiken und Szenarien bewerten
Welche Ereignisse könnten zu einer Unterbrechung führen? Welche Ressourcen wären betroffen? Welche Abhängigkeiten bestehen? Die Ergebnisse bilden die Grundlage für geeignete Vorsorgemaßnahmen.
4. Business-Continuity-Strategien entwickeln
Für kritische Prozesse werden geeignete Strategien definiert. Dabei sollten technische, organisatorische und personelle Maßnahmen gemeinsam betrachtet werden.
5. Notfallpläne erstellen
Die Strategien werden in konkrete und verständliche Notfall- und Wiederanlaufpläne überführt. Zuständigkeiten und Kommunikationswege müssen eindeutig festgelegt sein.
6. Mitarbeiter schulen
Ein Notfallplan ist nur dann wirksam, wenn die betroffenen Personen wissen, was zu tun ist. Schulungen und Sensibilisierung sind deshalb ein wichtiger Bestandteil des BCM.
7. Notfallübungen durchführen
Die Wirksamkeit eines Notfallkonzepts lässt sich nicht allein anhand von Dokumenten beurteilen. Übungen und Tests zeigen, ob Kommunikationswege funktionieren, Verantwortlichkeiten bekannt sind und Wiederanlaufmaßnahmen tatsächlich umsetzbar sind.
8. System regelmäßig überprüfen und verbessern
Unternehmen verändern sich. Neue IT-Systeme, neue Lieferanten, neue Standorte, neue Produkte oder organisatorische Veränderungen können auch die Business-Continuity-Risiken verändern. Deshalb muss das BCM regelmäßig überprüft und weiterentwickelt werden.
Business Continuity Management als Wettbewerbsvorteil
Business Continuity Management dient nicht ausschließlich der Krisenbewältigung. Ein professionelles BCM kann auch einen Wettbewerbsvorteil darstellen.
Kunden und Geschäftspartner erwarten zunehmend zuverlässige Lieferfähigkeit, belastbare Prozesse und einen professionellen Umgang mit Risiken. Ein Unternehmen, das seine kritischen Geschäftsprozesse kennt und auch bei Störungen handlungsfähig bleibt, kann seine Zuverlässigkeit gegenüber Kunden und Partnern besser nachweisen.
Darüber hinaus kann die systematische Betrachtung von Geschäftsprozessen Schwachstellen sichtbar machen, die auch im normalen Geschäftsbetrieb zu Ineffizienzen, unnötigen Kosten oder Abhängigkeiten führen.
Business Continuity Management Beratung mit PeRoBa München
Die PeRoBa Unternehmensberatung GmbH unterstützt Unternehmen bei der Einführung, Weiterentwicklung und Überprüfung von Managementsystemen. Die Beratung umfasst unter anderem Qualitätsmanagement, Prozessmanagement, Audits, Schulungen und die Unterstützung bei der Umsetzung unterschiedlicher Managementstandards. PeRoBa arbeitet dabei branchenübergreifend und unterstützt sowohl mittelständische Unternehmen als auch kleinere Organisationen.
Beim Business Continuity Management steht nicht die Erstellung möglichst umfangreicher Dokumentationen im Mittelpunkt. Entscheidend ist ein System, das zum Unternehmen passt und im Ernstfall tatsächlich funktioniert.
Gemeinsam können beispielsweise bestehende Prozesse analysiert, kritische Geschäftsaktivitäten identifiziert, Risiken bewertet und geeignete Maßnahmen für Notfallvorsorge und Wiederanlauf entwickelt werden. Dabei lassen sich vorhandene Managementsysteme und bestehende Strukturen berücksichtigen.
PeRoBa verfügt über langjährige Erfahrung in der Beratung, Einführung, Weiterentwicklung und Auditierung von Managementsystemen. Das Unternehmen blickt auf mehr als 25 Jahre Erfahrung im Qualitäts- und Prozessmanagement zurück und arbeitet branchenübergreifend.
Business Continuity Management
- haben Sie Fragen dazu?
Vereinbaren Sie ein unverbindliches Erstgespräch via Online-Termin,
oder schreiben Sie uns eine Nachricht über das Kontaktformular.
Gerne können Sie uns auch telefonisch erreichen.