Ist die Business Impact Analyse Zeitverschwendung?

Die Business Impact Analyse (BIA) gilt bislang als ein zentrales Kernelement im Business Continuity Management und ist Bestandteil aller g√§ngigen BCM-Standards. Trotzdem ist es berechtigt, vermeintliche Selbstverst√§ndlichkeiten wie die BIA in Frage zu stellen. Aktuell gibt es international eine starke Diskussion um alternative Ans√§tze, bei denen auf eine aufw√§ndige¬†BIA verzichtet werden kann. Hierzu gibt es auch¬†eine aktuelle Umfrage auf Continuity Central. Die √úberpr√ľfung der Notwendigkeit einer BIA ist eine berechtigtes Fragestellung, bindet doch die BIA einen erheblichen Teil der Zeit und des Aufwands bei der Implementierung und dem Betrieb des BCM. Die in der BIA als kritisch identifizierten Gesch√§ftsprozesse sind selten eine gro√üe √úberraschung und k√∂nnten auch ohne eine aufw√§ndige BIA identifiziert¬†werden.

Vorgehen f√ľr die BIA werden im deutschen Standard BSI 100-4, im ISO-Standard ISO 22301 sowie in der technischen Spezifikation ISO 22317 beschrieben. ISO 22317 basiert auf den Good Practice Guidelines des Business Continuity Institute.

Die technische Spezifikation¬†ISO 22317:2015 Guidelines for business impact analysis sieht f√ľr die Durchf√ľhrung der BIA sechs Schritten vor:

  • Projekt-Planung und Management
  • Produkt- und Service-Priorisierung durch das Management
  • Prozess-Priorisierung auf Basis einer Impact Analyse
  • Aktivit√§ts-Priorisierung ¬†sowie Ressourcen Analyse
  • Analyse und Konsolidierung der BIA-Ergebnisse
  • Abnahme durch das Management.

Die Produkt- und Service Priorisierung erlaubt die Eingrenzung des Umfangs und damit des Aufwands f√ľr die BIA, indem durch das Management eine Priorisierung der Produkte und Gesch√§ftsprozesse vorgenommen wird. Dies ist aus meiner Erfahrung ein wichtiger Stellhebel f√ľr den Aufwand der BIA, auch wenn es nat√ľrlich eine Herausforderung darstellt, das Management f√ľr diese Festlegungen abzuholen. Es ist jedoch eine sehr gute Gelegenheit, um Bewusstsein f√ľr das BCM beim Management zu schaffen und eine sehr gute M√∂glichkeit die BIA auf die kritischen Prozesse auszurichten und den Scope angemessen einzugrenzen. Man mag jetzt versucht sein, die nachfolgenden, zugegebenerma√üen aufw√§ndigen Schritte der BIA auszulassen und direkt in die Notfallplanung dieser durch das Management als kritisch festgelegten Gesch√§ftsprozesse einzusteigen. Gerade die so schwierig zu bekommende Mitarbeit der Fachbereiche k√∂nnte hierdurch auch reduziert werden.

Ich f√ľhre gerade zeitgleich mehrere Business Impact Analysen in Kundenprojekten¬†durch und mache mir nat√ľrlich auch Gedanken, wo dieser Prozess der BIA vereinfacht werden kann. Auch um schneller in die zentrale Phase der Notfallkonzepte und -planung zu kommen, in der¬†die relevanten Ergebnistypen zur Beherrschung eines Notfalls erzeugt.

Ich komme jedoch immer wieder zur Erkenntnis, dass sich die intensive inhaltliche Besch√§ftigung mit den Gesch√§ftsprozessen in der BIA lohnt. Die BC Manager haben eine einmalige Gelegenheit, das Gesch√§ft und die Gesch√§ftsprozesse zu verstehen. “Understanding the Business” hei√üt diese Phase ja nicht zu Unrecht. Auch auf Grund der¬†Betrachtung des finanziellen Impacts musste so manche Erst-Einsch√§tzung der Kritikalit√§t eines Gesch√§ftsprozesses nach oben und unten revidiert werden. Gerade die Abh√§ngigkeits- und Ressourcenanalyse bringt sehr wichtige Erkenntnisse und Details, die f√ľr die sp√§tere Notfallplanung erfolgskritisch sind. Ein Beispiel habe ich in meinem Beitrag √ľber die k√∂rperlichen Dokumente im Notfallkonzept aufgezeigt. Insgesamt ergibt sich aus den Ergebnissen einer BIA ein gesamthaftes Modell der Wertsch√∂pfungsketten eines Unternehmens, das so in der Regel im Unternehmen noch nicht vorliegt und daher √ľbergreifenden Mehrwert erzeugt. Viele andere Bereiche wie beispielhaft IT, Revision, Risikomanagement und Prozessmanagement k√∂nnen Nutzen aus diesen Daten ziehen und greifen gerne auf diese Daten zu. Die Ergebnisse der BIA dienen so als gemeinsames Repository f√ľr die verschiedenen verwandten Disziplinen und erm√∂glicht eine abgestimmte Vorgehensweise auf gleicher Datenbasis.

Die BIA hat sich aus meiner Erfahrung daher immer gelohnt. Worauf jedoch bei der Umsetzung sehr geachtet werden sollte, ist dass die BIA nicht zum Selbstzweck mutiert und die eigentlichen Ziele nicht aus dem Auge verloren werden. Gerade der finanzielle Impact l√§dt Zahlen- und Excelbegeisterte gerade dazu ein, komplizierteste Modelle aufzustellen. Aufwand und Nutzen laufen dann ganz schnell auseinander. Das gr√∂√üte Risiko liegt in einer √ľberkomplexeb BIA, die die Fachbereiche verschreckt und den entscheidenden nachfolgenden Phasen der Notfallplanung die Unterst√ľtzung und Kapazit√§ten raubt. BIA ja, aber so einfach und pragmatisch als m√∂glich, dies ist meine Erkenntnis.

Bildquelle: fotolia #157323302 | Urheber: denisismagilov

One Response

Ein Pingback

  1. BCM-News Daily Digest » Business Continuity Management News

Schreibe einen Kommentar