Bei der Digitalen Transformation konzentrieren sich Unternehmen viel zu oft auf interne Abläufe – und scheitern. Der Business-Transformation-Spezialist Signavio bietet eine Process-Mining-Lösungen an, die eine prozessgesteuerte und kundenorientierte digitale Transformation unterstützen.

Business Process Management

Wirtschaft

Prozessmanagement

Software

Digitale Transformation verbessern

Unternehmen müssen trotz Cybergefahren, Klimaveränderungen oder Pandemien ihre Geschäfte absichern. Ein Telekommunikationsanbieter hat daher auf der Grundlage einer Risikobetrachtung ein Business-Continuity-Managementsystem aufgebaut.

Wie ein Telekommunikationsdienstleister  seine Betriebs- und Geschäftsfähigkeit absichert

Normen / Standards

Recht allgemein / sonst.

Gut vorbereitet für Krisenzeiten

Musterbeispiel für ineffektive Prozesse ist das RKI: regelmäßig veröffentlicht es die begehrten Tagesfallzahlen mit Verspätung. Abhilfe schaffen kann hier Process Mining.

Process Mining ist ein wichtiges Puzzlestück

Wenn Unternehmen intelligente Automatisierungsprojekte erfolgreich durchführen wollen, müssen sie Führungskräfte und Fachabteilungen eng einbinden, so das zentrale Ergebnis einer Studie von Pegasystems.

Automatisierungstechnik

Führungskräfte und Fachabteilungen sind gefragt

Die Labtech Prüfungsgesellschaft mbH führt Untersuchungen hinsichtlich verschiedener gesetzlicher Vorgaben für Kunden der Mode- und Textilbranche durch. Das Prüflabor hat – neben den normativen Vorgaben der ISO/IEC 17025 – ebenso große Anforderungen an das eigene Qualitätsmanagement wie an effiziente Laborabläufe.

Wie im Prüflabor digitalisiert und Unternehmensprozesse optimiert werden

QMS-Software

Qualitätsmanagement

Software Qualitätsmanagement

Software für Qualitätssicherung

Auch Textilien wollen genauestens geprüft sein

Q.wiki ist der zentrale Ort in Ihrem Unternehmen, an dem Sie Prozesse transparent dokumentieren und jeder Mitarbeiter sein individuelles Wissen dazu beiträgt. So entwickeln Sie Ihre Organisation gemeinschaftlich weiter. Genau das ist der Grundgedanke Interaktiver Managementsysteme: Indem Sie alle Kolleginnen und Kollegen an Ihrem Qualitäts-, Prozess- und Wissensmanagement beteiligen, etablieren Sie aktuelle, akzeptierte und wirksame Vorgaben über alle Abteilungen hinweg.

Modell Aachen GmbH Interaktive Managementsysteme 

https://www.modell-aachen.de

Audit / Auditierung

Qualitätsmethoden

Audit-Software, Auditmanagement

Aufbau Prozessmanagement

Beratung und Consulting

Dienstleistungen

Aufbau QM-System

Beruf des Qualitätsmanagers

Changemanagement / -projekt

Dokumentationsmanagement

Dokumentenmanagement, CAQ

Qualitätssicherung

Führung / Leadership

Integriertes Management-System

ISO 9001:2000

ISO 9001:2008

Kennzahlen

Kennzahlen, Q-Leitstand, Q-Monitor

Kontinuierlicher Verbesserungsprozess

Kunden-Lieferanten-Verhältnis

Management-Beratung

Maßnahmenmanagement

Q-Management(system), Strategie

Qualitätsmanagement-Seminare

Seminare, Schulungen, Kongresse

Risikomanagement

Strategie und Organisation

Unternehmenskultur

VDA 6.1 / ISO TS 16949

Wissensmanagement

Workflow- / Prozessmanagement

Unvorhergesehene Ereignisse nicht nur hierzulande, sondern auch in Produktions- oder Beschaffungsländern können die Geschäftsprozesse eines Unternehmens erheblich stören. Solche Schäden von Unternehmen zu minimieren und bestmögliche Vorkehrungen für den Fall gravierender Störungen zu treffen ist Ziel von Business Continuity Management Systemen (BCMS).

Die Abläufe eines Unternehmens müssen auch in einer Krise gut funktionieren. Mit einem Business Continuity Management System wird diese Aufgabe leichter.

Moderne Geschäftsprozesse werden immer anfälliger für Störungen. Hauptgründe dafür sind einerseits zunehmend IT-gestützte Betriebsabläufe, andererseits Globalisierung und Internationalisierung mit Outsourcing, Outtasking und Einbindung zahlreicher Partner rund um den Globus.

Mögliche Störungen können sein:

<ul><li>Naturkatastrophen wie Überschwemmungen oder Erdbeben</li><li>Stromausfälle und Brände</li><li>Störungen und Beschädigungen der Infrastruktur</li><li>gesellschaftliche und politische Verwerfungen wie Unruhen und</li><li>politische Umbrüche</li><li>lokale und globale gesundheitliche Aspekte wie Epidemien oder</li><li>Pandemien</li><li>personelle oder materielle Verluste durch Anschläge oder Unfälle</li></ul>

Ein Business Continuity Management System (BCMS) definiert Pläne, wie der reguläre Betrieb nach störungsbedingter Unterbrechung in kürzestmöglicher Zeit wieder aufgenommen werden kann. So lassen sich Schäden reduzieren und existenzielle Bedrohungen für das eigene und verbundene Unternehmen vermeiden.

Um zu erkennen, ob ein implementiertes BCM-System im Ernstfall wirksam funktioniert, sollten effiziente und belastbare Notfallpläne zur Verfügung stehen. Die Anforderungen an ein BCM-System definieren u.a. die Norm ISO 22301 und zahlreiche andere Leitlinien oder Best Practices, die Unternehmen in einem Code of Practice Hilfestellung bei Aufbau, Betrieb und Optimierung geben.

Der systematische Ansatz zum Betrieb eines BCMS berücksichtigt die generischen Elemente von Managementsystemen, wie Kontext der Organisation, Führung (Leadership), Planung, Support, Betrieb (Operations) und Verbesserung (Improvement) und hat damit den gleichen grundsätzlichen Ansatz wie die künftige ISO 9001, die heutige ISO 27001:2013 oder die etwas anders strukturierte ISO 20000–1:2011.

Ein Business Continuity Management System starte mit der Frage nach dem Kontext der Organisation. Was sind die Ziele der Organisation, was erwarten Kunden, Geschäftspartner, Lieferanten, Mitarbeiter, die Gesellschaft?

Mit den Antworten auf diese Fragen kommt man zum Kern der Organisation, ihren Prozessen und den daraus resultierenden Produkten und/oder Dienstleistungen. Was ist wenn diese Prozesse unterbrochen werden? Welche Aktionen sind wichtig und dringlich, um den Betrieb wiederherzustellen?

Was könnte die Unterbrechung grundsätzlich auslösen? Es sind in der Regel Punkte der Kategorien „Fehler und Irrtum“, „höhere Gewalt“ und „kriminelle Handlungen“ in den unterschiedlichsten Ausprägungen.

Welche Objekte sind betroffen? Auch wenn wir in Business-Kategorien denken und Prozesse eine wichtige Denkkategorie darstellen, trifft der Einschlag das Personal, die Gebäude-Infrastruktur, die Informationstechnik oder sonstige wichtige Produktionselemente. Es trifft damit die Dinge eines Systems, die den Kern der Organisation unterstützen oder aufrechterhalten.

Zusammenhang zwischen Prozessen erkennen und gewichten

Es ist daher für die Organisationen notwendig, den Zusammenhang zwischen den Prozessen zu erkennen und daraus eine Gewichtung des BCMS herzuleiten. Die Organisation wird hierzu in der Regel abstrakte Kriterien festlegen. Mit Hilfe dieser Kriterien kann sie ihre kritischen Elemente bestimmen, die im Falle einer Störung anhand von Plänen wieder funktionsfähig gemacht werden.

Ein Standard wie die ISO 22301 hilft, die wichtigsten Punkte für ein Business Continuity Management zu berücksichtigen.

Wie alle anderen Anforderungen an Managementsysteme fordert die ISO 22301 grundsätzliche Dinge, wie Verfahren, die den systematischen Betrieb organisationsindividuell festlegen. In erster Linie fordert die ISO 22301 die Definition des Anwendungsbereichs für das Business Continuity Management System. Es ist der Bereich, innerhalb dessen eine Organisation kritische Prozesse betreibt.

Auch der Rest der ISO 22301 unterscheidet sich im Allgemeinen wenig von anderen Managementsystemstandards. Die ISO entsprach als eine der ersten Managementstandards der High Level Structure, einer einheitlichen Gliederung für die unterschiedlichsten ISO-Managementsystemstandards.

Beschäftigt man sich intensiver mit der ISO 22301 wird man feststellen, dass insbesondere die Sicht auf das Risikomanagement etwas spezieller ist und durch die Begriffe Business Impact Analyse und Risiko Assessment geprägt wird. In der Fachwelt werden diese beiden Begriffe sehr unterschiedlich kommentiert. Insbesondere die Business Impact Analyse hat eine Vielzahl von Kritikern wie auch Befürwortern. Für den Außenstehenden bleibt an dieser Stelle festzuhalten, dass es sich wie bei dem „normalen“ Risikomanagement um zwei Aktionen handelt. Die Business Impact Analyse beschäftigt sich mit dem Erkennen potenzieller Probleme, das Assessment bewertet diese.

Da es aber beim Business Continuity Management eher auf die Lösung des Problems und weniger auf die theoretische Analyse von Problemen ankommt, sei der geneigte Praktiker dazu aufgerufen, die Übungen der Business Continuity Aktivitäten und das Prüfen der Aktivitätsergebnisse nicht zu vernachlässigen.

Beim BCM ist jedoch die theoretische Analyse eher zweitrangig. Wichtig ist die praktische Lösung. Business Continuity Aktivitäten sollten daher regelmäßig geübt und ihre Ergebnisse überprüft werden.

Risiko Management und Business Continuity Management

Beim BCMS geht es um das systemische, proaktive Vorgehen mit dem Ziel wertschöpfende Geschäftsprozesse im Krisenfall aufrechtzuerhalten.

Das Risikomanagement ist grundsätzlich eine systematische Methodologie, die Wahrscheinlichkeit des Verlustes gewünschter Zustände ermittelt. Ein Risiko ist ein potenzielles Problem.

Das betriebliche Risikomanagement bewegt sich auf den unterschiedlichsten Ebenen und Sparten der Organisation. Ein gutes Risikomanagement betrachtet die Organisation nicht nur als Ganzes sondern zerlegt sie in einzelne Objekte oder Objektgruppen und bewertet deren Risiken. Da die Objekte der Organisation nützlich sind bezeichnet man sie auch als Assets. Dabei unterscheidet man zwischen primären und unterstützenden (supporting) Assets.

Die primären Assets sind organisationsindividuell, es sind die Kerngeschäftsprozesse und deren benötigte Informationen. Es ist das Organisationswissen und wird demnach in jeder Organisation unterschiedlich bewertet. Bei der Bewertung spielen neben eigenen Interessen insbesondere die sogenannten interessierten Parteien wie Kunden, Mitarbeiter, Sponsoren, Gesetzgeber usw. eine wichtige Rolle.

Betrieben wird die Organisation von den unterstützenden Assets wie Personal, Organisationseinheiten, Gebäudeinfrastruktur, Software, Hardware, technische Netze und sonstige Objekten.

Primäre und unterstützende Assets gehören zusammen, der Einsatz der unterstützenden Assets ergibt sich in der Regel aus der Bewertung der primären Kernprozesse und deren Informationen.

Was braucht die Organisation, um das Kerngeschäft aufrechtzuerhalten? Aus der Beantwortung dieser Frage ergibt sich die Wertigkeit der Prozesse. Es gibt die unterschiedlichsten Methoden zur Bestimmung der Wertigkeit, letztendlich dienen alle dazu, die „wertvollsten“ Assets zu bestimmen. Der Ausfall eines Assets, der der Organisation am meisten schadet, hat heuristisch gesehen den höchsten Wert.

Im zweiten Schritt ist zu untersuchen, wie hoch die Frequenz eines möglichen Ausfalls eines Assets ist. Auf diese Weise kommt man, je nach Gruppierung der Assets, zu einer sehr umfangreichen Menge von Szenarien. Bis hierher spricht man auch von Risiko Assessment.

Im nächsten Schritt erfolgt die sogenannte Risikobehandlung. In der Organisation werden Strategien entwickelt und umgesetzt. Sie sollen verhindern, dass die analysierten und bewerteten Szenarien eintreten.

Die Analyse, Bewertung, Behandlung, Monitoring und Review der Ergebnisse und ggf. anschließende Verbesserungen ist ein typischer Managementregelkreis, wie etwa den PDCA-Zyklus nach Deming. Die Risikoszenarien lassen sich in Risikoportfolios darstellen.

In diesem Quadranten von Wert und Wahrscheinlichkeit ist das Tagesgeschäft mit Aktionen zur Aufrechterhaltung der „höchstwahrscheinlich“ extern und intern einwirkenden Einflüsse eingetragen (Bild 2). So wird es Test- oder systematische Wartungsaktionen geben, die permanent das allgemeine Tagesgeschäft gewährleisten. Andere Dinge werden aufgrund des hohen Risikos nicht umgesetzt oder einem Spezialisten übergeben. Durch die eingeleiteten Aktionen wird das Risiko tragbar. Mit Hilfe der Aktionen werden die Szenarien unter den Grenzwert (Linie) gebracht werden.

Was ist aber mit den unwahrscheinlichen, hoch schädlichen Ereignissen? Insbesondere mit diesen Risikoszenarien zum Kerngeschäft beschäftigt sich das BCMS. Diese Szenarien sind in der Regel unwahrscheinlich und lösen einen erheblichen Schaden für die Organisation aus.

BCMS-Szenarien als Teil des Risikomanagements

Im Gegensatz zum „normalen Risikomanagement“, das permanente risikoreduzierende Aktionen benötigt, ist der Teil des BCM-Risikomanagements überwiegend mit Planung und Testen potenziell ausfallender Assets beschäftigt, die bei einem Ausfall einen erheblichen Schaden für die Organisation verursachen würden.

Im Rahmen des BCMS-Risikomanagements wird in der Regel nur der Ausfall einzelner Assets oder Subsysteme der Organisation geplant oder getestet. Aufgrund der hohen Komplexität aller potenziellen Risikoszenarien ist eine flächendeckende Bearbeitung kaum möglich. Auch die proaktive Umsetzung von gegenwirkenden Aktionen wird in der Regel das Budget einer jeden Organisation sprengen. Permanent gegenwirkende Aktionen sind nicht möglich.

Sollte aber ein BCM-Fall eintreffen, ist die BCM-Organisation in der Lage, mit Hilfe der „Planspiele“, der Erkenntnisse des normalen Incident Management und einer hoffentlich exzellent vorbereiteten Organisation dem Impact zu begegnen, die betroffenen Personen zu retten, den aufgetretenen Schaden schnellstmöglich zu stoppen, Notlösungen für den Betrieb der kritischen Geschäftsprozesse zu implementieren und mittelfristig den Geschäftszweig bzw. das Geschäft in alter Qualität herzustellen.

Das Qualitätsmanagement ist die allgemeinste Form des Business Continuity Management.

ISO 22301 spezifiziert die Anforderungen an die Aufrechterhaltung der Organisation bei Ereignissen, die die Aktionen in der Organisation nachhaltig stören und damit den Fortbestand der Organisation als Ganzes erheblich gefährden. Der Punkt der Aufrechterhaltung ist in der ISO 9001:2005 an vielen Stellen gefordert.

Im Wesentlichen geht es aber um die Aufrechterhaltung der wichtige betrieblichen Prozesse und damit der Aktionen aus Kapitel 7, insbesondere Kapitel 7.5, Produktion und Dienstleistungserbringung. Was darunter zu verstehen ist, hängt von der jeweiligen Branche ab, in der die Organisation tätig ist. Es wird sich bei einem Betreiber eines Rechenzentrums um den Betrieb von Informationstechnik handeln, bei einem Wirtschaftsprüfungsunternehmen um die fachlich hochkompetente Dienstleistung und bei einem Pharmaunternehmen um die Produktion hochwertiger Medikamente.

Die ISO 27001, Informationssicherheits-Managementsystem (ISMS) hat den Zweck, die Vertraulichkeit, Verfügbarkeit und Integration der Informationen des jeweiligen Business der Organisation zu gewährleisten.

Während die ISO 22301, Business Continuity Management System, stets den „potenziellen Krisenfall“ in ihrem Fokus hat, liegt der Fokus der ISO 27001 auf dem täglichen Geschäft. Zu den permanenten täglichen Aktivitäten gehören etwa ein Backup oder der Virenschutz von Computern. Diese Aktivitäten helfen, normale Störfälle zu beheben. Die ISO 27001 lässt sich im Wesentlichen in einem allgemeinen Managementrahmen und einem speziellen Anhang mit Controls und Control Objektives darstellen. Unter dem Managementrahmen versteht man die täglichen Managementaktivitäten, die aus dem Plan-Do-Check-Act abgeleitet sind. Der Anhang berücksichtigt spezifische Themen wie Policy, Organisation, Personal, Inventarisierung, IT-Betrieb und IT-Kommunikation aber auch Business Continuity Management aus der ISMS-Perspektive. BCM ist demnach ein wichtiger Teil von ISMS.

strukturiert im Anhang A.14 die wichtigen BCM-Punkte wie folgt:

<ul><li>Including information security in the business continuity management process</li><li>Business security and risk assessment</li><li>Developing and implementing continuity plans including information security</li><li>Business continuity planning framework</li><li>Testing, maintaining and re-assessing business continuity plans</li></ul>

<ul><li>Planning information security continuity</li><li>Implementing information security continuity</li><li>Verify, review and evaluate information security continuity</li><li>Availability of information processing facilities (Redundancies)</li></ul>

Ist es für eine ISO 22301 konforme Organisation wichtig auch konform zur SO 27001 zu sein? Es kommt darauf an. Was ist der Zweck der Organisation, was möchte sie erreichen? Wie ist der Stellenwert der Information und der guten Kommunikation innerhalb der Organisation, und wie schützenswert sind diese Informationen?

Die ISO 27001 ist sicherlich eine gute Basis für die Entwicklung eines ISO-22301-konformen Systems. Auf der anderen Seite bedeutet die Umsetzung einer ISO 27001 in der Regel ein sehr systematisches Vorgehen in der gesamten Organisation. Dieser Anspruch würde bei der alleinigen Umsetzung der ISO 22301 nur für ausgewählte Teile und ggf. nicht so spezifisch erfolgen.

Hat man auf der anderen Seite aber bereits ein ISO-27001-konformes System, kann man auf den Ergebnissen der Aktivitäten zu A.14 bzw. A.17 der ISO 27001 gut aufsetzen. Darüber hinaus bleiben der Organisation viele grundsätzliche Dinge erspart. Die üblichen Managementprozeduren sind demnach schon alle bewährt und im Betrieb, sie brauchen „nur noch um die speziellen BCM-Punkte“ ergänzt zu werden. In diesen Fällen spricht man von einem integrierten Managementsystem.

Die ISO 31000 ist der Basisstandard einer allgemeinen, Standardfamilie zum Thema Risikomanagement. Der Zweck der ISO 31000 ist es Prinzipien und generische Leitfäden zum Risikomanagement darzustellen.

Die ISO 3100 soll ein allgemein anerkanntes Paradigma für Praktiker und Unternehmen mit einem Risikomanagementprozess sein, um die Vielzahl der bestehenden Standards, Methoden und Paradigmen, die zwischen den Branchen, Themen und Regionen zu synchronisieren. Hinderlich bei diesem Ansatz ist es, dass er sehr generisch ist und in der Regel die unterschiedlichen Sichten und Spezifikationen des Risikomanagements, z.B. der ISO 27001 oder ISO 22301, nicht vollständig erfasst.

In der Praxis sollte sich, abhängig von der Größe der Organisation gut überlegt werden, ob man nur einen Risikomanagementprozess haben möchte. Aus unserer Erfahrung ist es wichtig, eine einheitliche „Risikomanagement-Basismethode“ einzusetzen. Das bedeutet, dass man ggf. mehrere Risikomanagementprozesse hat, die aber die gleiche Basismethode verwenden. Die Implementierungsverantwortung sollte jedoch entsprechend der Zuständigkeiten im Unternehmen verteilt sein. Es empfiehlt sich durch einen zentralen Risikomanagementprozess die Einzelergebnisse der Implementierungsverantwortlichen zu synchronisieren und aufzubereiten. Dieser Ansatz folgt dem Prinzip: Die Implementierungsverantwortung gehört in den Fachbereich und nicht an den grünen Tisch.

Die ISO 31000 ist ein Leitfaden und kein Zertifizierungsstandard, eine Zertifizierung nach ISO 31000 ist bis dato nicht vorgesehen. Die Unternehmen können sich jedoch nach einer österreichischen Norm zertifizieren lassen. Die ONR 49001 ist ein regionaler Standard, der als österreichische Interpretation der ISO 31000 eine Zertifizierung des Risikomanagements ermöglicht.

Notwendigkeit eines BCMS in zertifizierten Unternehmen (ISO 9001, ISO 27001, ISO 31000)

Braucht man ein ISO-22301-konformes Unternehmen, wenn man bereits ein ISO-9001– oder ISO-27001-konformes Unternehmen betreibt? Die Antwort ergibt sich aus den eigenen Ansprüchen der jeweiligen Organisation und ihrem individuellen Risikoappetit und den Anforderungen der interessierten Parteien.

Im Gegensatz zur ISO 9001 bietet die ISO 22301 spezifischere Anforderungen in puncto Ausfallsicherheit und mögliche Unterbrechungen des Geschäftsbetriebs. Durch die Umsetzung der ISO 22301 wird die Wahrscheinlichkeit, dass die Organisation im Krisenfall geeignet reagiert und den Geschäftsbetrieb wieder herstellt, erheblich größer. ISO 9001 und ISO 22301 stellen die Prozesse in den Mittelpunkt, demnach ist es auf der anderen Seite für ein Organisation von großem Vorteil, wenn sie über ein ISO 9001-konformes Managementsystem verfügt bevor sie sich mit der ISO 22301 auseinandersetzt.

Bei der ISO 27001 gilt die Aussage ähnlich. Ein ISO 27001-konformes Managementsystem geht teilweise sehr in die Tiefe, ähnlich wie es die ISO 22301 fordert. Da es sich bei der ISO 27001 jedoch um Informationssicherheit handelt, ist sie nicht so breit angelegt. Die ISO 27001 wird i.d.R. von Organisationen umgesetzt, die einen stärkeren IT-Bezug haben. Da die ISO 27001 in ihrem Anhang Business Continuity explizit spezifiziert, stellt sich die Frage der Umsetzung der ISO 22301 insbesondere dann, wenn es sich aus Sicht der Kunden um eine kritische Organisation handelt. Ist dies der Fall, kann die ISO 22301 bei Ausschreibungen oder vertraglichen Anforderungen helfen. Der methodische Zugewinn ist bei der ISO 27001 eher geringer als bei der ISO 9001.

Anders sieht es bei ISO 27001-konformen Organisationen aus, die nicht aus der IT-Branche kommen. In diesen Fällen gibt es sicherlich kritische Geschäftsprozesse, die im Rahmen des Informationssicherheits-Managementsystems weniger beleuchtet wurden. Diese für die Organisation wichtigen Geschäftsprozesse würden mit einem ISO 22301 konformen Managementsystem stärker und besser berücksichtigt.

Stolperfallen bei einem Business Continuity Management:

<ul><li>Verlieren in Details: Was ist strategisch wichtig, was ist operativ dringlich?</li><li>Unsystematische Herangehensweise: Der Hauptzweck der ISO Standards ist ihr Nutzen als systematische Vorgabe.</li><li>Hau Ruck-Aktionen: BCMS ist ein Managementsystem und bedarf einer strategischen Entscheidung. Der Aufbau eines Systems dauert durchschnittlich 1,5 Jahre.</li><li>Zu wenig Erfahrung bei den Mitarbeitern: Binden Sie Experten ein, lassen Sie sich coachen, aber machen Sie die Arbeit selber.</li><li>Das System ist künstlich: Halten Sie das System am Leben, kommunizieren Sie mit den verantwortlichen Personen, stellen Sie das BCMS-Thema als permanenten Punkt auf Tagesordnungen (alle zwei Monate bei einem betriebenen BCMS reicht) und führen Sie kontinuierlich praktische Übungen (an ausgewählten Teilbereichen) durch – nutzen Sie den kontinuierlichen Verbesserungsprozess</li></ul>

<ul><li>Funktionierende Teams: Ein funktionierendes Team hat ein gemeinsames Ziel, ist untereinander offen, hilft sich gegenseitig und strebt nach Qualität.</li><li>Hervorragende Arbeitsmittel: Ein gutes BCMS wird nicht an seinen Regeln gemessen, sondern an den im Not- und Krisenfall effektiv umzusetzenden Aktivitäten. Je besser die Arbeitsumgebung und die Werkzeuge dazu geeignet sind, BCM-Szenarien zu simulieren oder spielerisch zu erkennen, worauf es in einem BCM Fall ankommt, desto zuverlässiger wird das BCMS sein.</li><li>Permanente Tests: Die Szenarien müssen in Übungen getestet werden. Das BCMS-Kernteam muss die Ergebnisse der Übungen auswerten und Fehler möglichst abstellen.</li><li>Lessons learned: „Manche bezeichnen das als Erfahrung, was sie in den letzten 30 Jahren falsch gemacht haben.“ So soll es nicht sein. Die Essenz der Ergebnisse aus den Tests und Planspielen, aber insbesondere Erfahrungen aus „echten“ BCM-Fällen fremder oder der eigenen Organisation, sollten festgehalten und dokumentiert werden.</li><li>Vorhandenes nutzen: Sind Sie schon einmal mit einer Organisation oder einem Teil der Organisation umgezogen? Gibt es erfahrene Mitarbeiter, die pragmatisch arbeiten und die eine oder andere Krise gut bewältigt haben? Kennen Sie die wichtigsten BCM-Links und halten Sie Kontakt zu spezialisierten BCM-Organisationen? Auch hier gilt: Nutzen Sie die vorhandene Kompetenz, auch wenn sie nicht immer offensichtlich ist. Sie müssen die Fehler anderer kein zweites Mal machen.</li><li>Frühwarnsysteme nutzen: Frühwarnsysteme helfen bei der Bewertung der Situation. Seien Sie wachsam, und beobachten Sie Ihr Umfeld oder ähnliche Gebiete.</li><li>Redundanzen: Sie sind das A und O im BCM-Fall. Nur wenn die Organisation über zusätzliche Personen, Organisationseinheiten, Gebäude und deren Infrastruktur sowie die notwendigen technischen Komponenten im Vorfeld des BCM-Falls verfügt, ist die in der Lage, im Fall der Fälle einen Bypass zu organisieren und den Geschäftsbetrieb weiter zu gewährleisten.</li></ul>

www.thebci.org

www.drii.org

www.continuitycentral.com

www.bcm-news.de

www.rothstein.com

www.drj.com

www.fema.gov

Thomas Sterzenbach, Fachleiter Informationsmanagement (IT related Certifications) TÜV NORD CERT GmbH Langemarckstr. 20, 45141 Essen

Bild 1. Sicherheit als „Werterhaltung“

Bild 3. Modell eines normalen Managementsystems