Was hat die aktuelle Finanzmarktkrise mit Business Continuity Management zu tun? Auf den ersten Blick zunächst einmal nicht viel, ausser dass einige namhafte Finanzdienstleister aktuell um ihre Geschäftsfortführung bangen müssen. Die Ursachen für diese Krise sind keine klassischen Business-Continuity-Szenarien wie IT- oder Gebäudeausfälle, sondern Fehleinschätzungen von Markt- und Adressausfallrisiken.
Die Effekte, die diese zunächst lokale US-amerikanische Krise zu einer weltweiten Krise auswachsen liessen, sind jedoch die gleichen, die Unternehmen bei Eintritt eines Notfalls scheitern lassen:
1. Die Wahrscheinlichkeit extremer Ereignisse wird systematisch unterschätzt
2. Die Auswirkungen dieser extremen Ereignisse bei ihrem Eintritt nehmen drastisch zu.
Der Mensch tendiert dazu, die Folgen von extremen Ereignissen wie Unfälle oder Krankheiten im nachhinein zu verdrängen. Dies gilt ebenso für das Antizipieren derartiger Risiken in der Zukunft. Wir würden ansonsten kaum jeden Tag sorglos mit dem Auto zur Arbeit fahren oder Raucher genussvoll ihre Zigarette rauchen.
Zahlreiche Studien belegen dieses Phänomen. Dies gilt auch für das professionelle Risikomanagement insbesondere auch im Finanzdienstleistungsbereich. Für das Risiko-Management der Schwankungen von Marktpreisen von Wertpapieren gibt es ausgefeilte mathematische und statistische Verfahren. Die Auswirkungen von größerem Zinsänderungen werden mit Hilfe von Stresstests analysiert. Doch was passiert, wenn es im Prinzip gar keinen Zins mehr gibt, da keine Liquidität mehr zur Verfügung steht für die ein Zins bezahlt werden könnte? Was passiert, wenn ein namhafter Player und Emittent von Wertpapieren am Markt ausfällt und keine Bank mehr der anderen über den Weg traut?
Diese Extrem-Ereignisse (Long Tail Risks) werden im Risikomanagement ausgeblendet. Den wenigsten Käufern der Zertifikate von Lehman Brothers dürfte bewusst gewesen sein, dass sie ein Emittenten-Risiko tragen. Dies gilt auch für die Kunden der isländischen Kaupthing-Bank, deren Gelder derzeit eingefroren sind.
Auch Banken können Pleite gehen und dies geschieht auch regelmäßig. Auch in Deutschland haben wir in der Vergangenheit zahlreiche Beispiele hierfür vorzuweisen.
Diese Risiken sind da. Es hilft nicht, die Augen davor zu verschliessen. Das heisst nun wiederum nicht, dass der Sparer sein Geld besser unter das Kopfkissen legen soll. Auch dort ist es nicht sicher! Aber es gilt sich dieser Risiken bewusst zu sein. Erst wenn diese Risiken bekannt sind können sie auch vermindert, übertragen oder – bewusst – akzeptiert werden.
Wo sind nun die Parallelen zum BCM?
Im Business Continuity Management kämpfen wir mit den gleichen Phänomenen. Extrem-Ereignisse die zu Notfällen oder Krisen führen werden systematisch unterschätzt. Es gibt für diese Ereignisse keine berechnete Eintrittswahrscheinlichkeit, da die Historie und damit die Datengrundlage für die Berechnung fehlt. Trotzdem kann die Eintrittswahrscheinlichkeit morgen „1“ ein.
Die Unternehmen, die aufgrund eines Notfalls ihren Geschäftsbetrieb einstellen mussten oder von einem Wettbewerber oder Kunden übernommen wurden haben keine Publicity (mehr) und können andere Unternehmen nicht mehr warnen. Die Überlebenden eines Notfalls wissen um die Bedeutung eines BCM und investieren in dieses Thema. Viele Unternehmen jedoch, die bislang einfach Glück gehabt haben, hoffen auch auf ihr Glück in der Zukunft und verdrängen, dass jede Glückssträhne auch einmal ein jähes Ende haben kann.
Tritt ein derartiges Extrem-Ereignis ein, sind die Folgen heute zudem dramatisch höher als in der Vergangenheit.
Die Krise auf dem amerikanischen Immobilienmarkt wurde zur internationalen Finanzmarktkrise erst dadurch, dass die Kredite und darauf basierende Derivate international in großen Volumina gehandelt wurden, in einer international sehr stark vernetzten Finanzdienstleistungsindustrie.
Auch Notfälle in Unternehmen haben heute wesentlich schneller und wesentlich höhere Auswirkungen.
Die IT ist in nahezu allen Unternehmen der Lebensnerv für die Geschäft- und Produktionsprozesse. Ein Ausfall im Minuten- oder Stundenbereich resultiert in hohen finanziellen Schäden, kann die Reputation ruinieren, zu Kundenverlusten führen und damit die Existenz bedrohen. Manuelle Ersatz-Verfahren sind häufig gar nicht mehr möglich. Welches Unternehmen hat noch eine Schreibmaschine in der Ecke stehen, um ein Papier-Formular (!) wie zum Beispiel ein Überweisungsformular ausfüllen zu können? Für die IT ist die Notfallvorsorge daher bereits ein alter Klassiker.
Was nützt uns aber die funktionierende IT, wenn wir für die kritischen Geschäftsprozesse (welche sind das?) keine Arbeitsplätze verfügbar haben oder ein geschäftskritischer Service Provider nicht mehr liefern kann?
Ausfälle in der technischen Infrastruktur, wie zum Beispiel der Stromversorgung, Internet oder Telefon legen ganze Regionen oder Branchen lahm.
Naturkatastrophen führen zu deutlich höheren Schäden als in der Vergangenheit. Die Ursache hierfür ist nicht dass diese öfters eintreten, sondern dass die Schadensfolgen deutlich höher sind. Gründe hierfür sind höhere Siedlungsdichten in den betroffenen Regionen und vor allem die höhere Konzentration an Vermögenswerten wie Gebäuden, Maschinen und Anlagen.
Wenn wir wissen, dass uns derartige Extrem-Ereignisse irgendwann treffen können und die Folgen in diesem Fall für uns existenzgefährdend sein können, versuchen wir die Risikofolgen zumindest so weit zu verringern dass sie nicht mehr existenzgefährdend sind. Im privaten Bereich investieren wir in ein Auto mit einer inflationär wachsenden Anzahl an Airbags und benutzen zusätzlich den Sicherheitsgurt. Wir wissen, dass uns jederzeit ein anderer unvorsichtiger Verkehrsteilnehmer „aufs Korn nehmen“ kann. Wir können dies – solange wir das Auto benutzen – nicht verhindern. Wir treffen jedoch alle Maßnahmen, um die Schäden für unsere Gesundheit so gering als möglich zu halten.
Für Unternehmen ist Business Continuity Management der „Airbag“, mit dem die Risiken existenzgefährdender Notfälle minimiert werden.