ASIS veröffentlicht neuen Standard für Resilience

ASIS International, die weltgrößte industrieübergreifende Mitglieerorganisation für Risikomanagement, hat im Juni 2017 den neuen Standard für Resilience veröffentlicht. ANSI/ASIS ORM.1-2017 “SECURITY AND RESILIENCE IN ORGANIZATIONS AND THEIR
SUPPLY CHAINS – REQUIREMENTS WITH GUIDANCE” ist damit ein neuer amerikanischer Standard. Der Standard ORM.1 löst die beiden bisherigen Standards

  • Organizational Resilience: Security, Preparedness and Continuity Management Systems—Requirements with Guidance for Use (SPC.1);
  • Business Continuity Management Standard (BCM.1)

ab.

ORM.1 definiert ein übergreifendes Managementsystem für die Implementierung von Resilience in Organisation jeder Größe und Branche. Das Vorgehen folgt dem Plan-Do-Check-Act-Regelkreis.

Eine Kurzzusammenfassung des Standards von ASIS  ist hier verfügbar. Der Standard kann bei ASIS online bezogen werden. Für Mitglieder von ASIS ist der Download kostenfrei.

Dieser neue Standard für Resilience ergänzt die bereits veröffentlichten Resilience- Standards von ISO und BSI. Diese Standards habe ich in meinem Beitrag auf 3GRC vorgestellt.

Körperliche Dokumente im Notfallkonzept

In sehr vielen Unternehmen sind heute elektronische Archivsysteme im Einsatz und die überwiegende Anzahl der Daten liegen ohnehin in elektronischer Form vor. Man sollte also davon ausgehen können, dass Papierarchive und Aktentransporte von und zu den Mitarbeitern wie Schreibmaschinen und Faxgeräte eher zu den historischen Unternehmenseinrichtungen der Vergangenheit zählen. Bei genauerer Betrachtung, zum Beispiel im Rahmen einer Business Impact Analyse, stellt man dann jedoch  häufig erstaunt fest, dass der Postdienst für das Funktionieren der Geschäftsprozesse weiter unerlässlich ist, wie auch die Archive im Keller. Woran liegt dies und was bedeutet dies für das Business Continuity Management? Auch wenn die Daten elektronisch vorliegen, arbeiten viele Mitarbeiter dennoch nach wie vor mit Papier und Akten. Es können handschriftliche Notizen oder Schriftverkehr bei der Bearbeitung zur Akte ergänzt werden und mancher Mitarbeiter bevorzugt einfach die Arbeit mit dem Papier zusätzlich zum Bildschirm. Neben diesen, im Notfall verzichtbaren Dokumenten, gibt es jedoch auch unverzichtbare körperliche Dokumente. Hierzu zählen zum Beispiel Urkunden wie Fahrzeugscheine oder Grundschuldbriefe wie auch Altakten, die nicht elektronisch archiviert wurden. Diese Dokumente sind in einem Notbetrieb häufig unverzichtbar und bei Verlust durch Brand, Diebstahl oder Wasserschaden nur sehr aufwändig wiederherstellbar. Für das Business Continuity Management bedeutet dies, in der Business Impact Analyse ein wachsames Auge auch auf notwendige körperliche Dokumente zu haben und diese mit aufzunehmen. Ein Blick in die Archive und Poststellen schärft den Blick und hilft kritische Dokumente zu identifizieren. Im Rahmen des Risk Assessment sollte dann analysiert werden, ob diese Dokumente ausreichend gegen Verlust und Zerstörung abgesichert sind. Hierzu zählt der vorbeugende Brandschutz in den Archiven wie auch Risiken beim Transport und der dezentralen Lagerung der Dokumente ausserhalb gesicherter Archive. Bei der Erstellung der Notfallkonzepte spielen diese Dokumente wiederum eine zentrale Rolle. Bei dokumentenbasierten Prozessen muss die Postverteilung mit in das Notfallkonzept einbezogen werden. Eine Verlagerung dieser Prozesse in das Home Office ist aus Gründen der Logistik, des Datenschutzes und der Informationssicherheit nicht möglich. Auch müssen für Verlust oder fehlender Zugriff auf die Dokumente, zum Beispiel bei Gebäudeevakuierungen, entsprechende Notbetriebs- und Wiederherstellungskonzepte für diese Dokumente erstellt werden.

Häufig werden diese Aspekte mit Blick auf bestehende elektronische Archivierungslösungen und Bereitstellung der Daten über IT-Anwendungen schnell unterschätzt. Es lohnt sich daher, im Rahmen der Business Impact Analyse auch einen analytischen Blick auf kritische körperliche Dokumente zu werfen, um im Notfall dann nicht böse überrascht zu werden.

Bildquelle: fotolia #118549806 | Urheber: rdnzl

Organisatorische Resilienz – Hype-Thema oder Konzept mit Zukunft?

Was ist das für ein scheinbar so bedeutendes Thema, dass sich gleich zwei Standards dem Thema widmen? Gibt man in Amazon den Suchbegriff „Resilienz“ für deutsche Bücher ein, erhält man bereits über 1.000 Vorschläge zur Befüllung des elektronischen Einkaufwagens. Wer sich fremdsprachig an das Thema „Resilience“ heranwagt, hat bereits über 4.000 Bücher als Kauf-Option. Der überwiegende Teil davon sind persönliche Ratgeber zur Stärkung der Widerstandskräfte gegen Stress, Krisen, Burn Out und Depressionen. Es scheint sich auf den ersten Blick um eine wahre Wunderwaffe gegen alle Bedrohungen des Lebens zu handeln.

Diese Frage beantworte ich in meiner aktuellen Veröffentlichung auf 3GRC.

Bildquelle: fotolia #125714179 | Urheber: bounlow-pic

Die Business Continuity Awareness Week startet heute

Unter dem Motto “Cyber security is everyone´s responsibility” startet heute die Business Continuity Awareness Week 2017 mit einem umfangreichen Programm. Die weltweite Ransomware-Attacke WannaCry am vergangenen Freitag hat wiederum die Notwendigkeit koordinierter Vorsorge- und Awarenessmaßnahmen aufgezeigt. Von der Ransomware-Attacke waren zahlreiche Krankenhäuser in Großbritannnien, namhafte Automobil- und Telekommunikationsunternehmen sowie Ministerien, Banken und Eisenbahn in Russland betroffen. In Deutschland traf es die Deutsche Bahn mit dem elektronischen Anzeigesystem, Fahrkartenautomaten und Videoüberwachungsanlagen sowie die Logistiktochter Schenker. Laut Europol traf die Ransomware-Attacke weltweit über 200.000 Organisationen in 150 Ländern. Für den Wochenbeginn erwarten IT-Experten ansteigende Fallzahlen, wenn Computer wieder in Betrieb genommen werden und die Attacke sich möglicherweise nach Asien ausbreitet.

Aufmerksame E-Mail-Nutzer und gepatchte IT-Betriebssysteme hätten ausgereicht, Betriebsunterbrechungen und große finanzielle Schäden zu verhindern. Die Vorsorgemaßnahmen hätten nur ein paar unterlassene Handgriffe beim User und dafür ein paar zusätzliche Handgriffe in der IT erfordert – keine aufwändigen Investitionen in die Sicherheit.

Da kommt die BCAW 2017 gerade recht! Das Angebot reicht von Postern, Studien und Fachbeiträgen bis zu zahlreichen interessanten Webinaren zum aktuellen Thema. Schauen Sie doch einfach einmal vorbei bei der BCAW 2017. Ein Besuch lohnt sich!

Bildquelle: Business Continuity Institute

Stellenanzeigen in den BCM-News

Fachkräfte für die Themen Business Continuity Management, Informations- und Unternehmenssicherheit sind derzeit schwer zu bekommen. Mit den Stellenanzeigen in den BCM-News haben Sie die Möglichkeit, mögliche Interessenten zielgerichtet anzusprechen. Dies gilt für Festanstellungen in Voll- und Teilzeit sowie temporäre Unterstützung. Die Nutzung ist ganz einfach: auf Anfrage erhalten Sie Administrationszugang zum Stellenportal und können dort selbst die Stellenanzeigen aufgeben und administrieren. In der Einführungsphase ist dieses Angebot für Se sogar kostenfrei.

Risiken beim Outsourcing erkennen, steuern und minimieren

Das Risikomanagement beim Fremdbezug von Leistungen ist eines der Themen, die uns in Zukunft weiter intensiv beschäftigen werden. Kein Unternehmen kann und will heute mehr alle Leistungen rund um die Produkt- und Serviceerstellung selbst erbringen. Das Outsourcing ermöglicht die Konzentration auf die Kernkompetenzen und schafft Kostenvorteile durch Skaleneffekte bei Dienstleistern und Zulieferern. Auf der anderen Seite der Medaille stehen die Risiken durch das Outsourcing. Schon der Ausfall eines Lieferanten von Bauteilen im Wert weniger Euros bringt komplette Lieferketten zum Stillstand. Im Finanzdienstleistungsbereich ist das Outsourcing daher ein zunehmend wichtiges Thema bei Prüfungen durch die Aufsichtsorgane BaFin und Bundesbank. Die aktuelle Konsultation zu den Bankaufsichtlichen Anforderungen an die IT “BAIT” zur Konkretisierung der MaRisk machen dies deutlich. Die Auslagerungssteuerung ist eines von acht Themen dieses Rundschreibens.

In einem zweiteiligen Beitrag auf  der Plattform 3GRC habe ich einige Grundlagen zum Supply Chain Continuity Management zusammengefasst:

Supply Chain Resilience – Absicherung der kritischen Lieferketten

Supply Chain Continuity Management – Vorsorge für Notfälle in der Lieferkette

Ich freue mich auf Ihr Feedback.

Öffentliche Konsultation des Rundschreibens „Bankaufsichtliche Anforderungen an die IT” (BAIT)

Die BAIT (Bankaufsichtliche Anforderungen  an die IT) konkretisieren die Anforderungen der MaRisk an die Ausgestaltung der Informationstechnologie durch BaFin und Deutsche Bundesbank.

Die Konkretisierungen umfassen die Themen

  • IT-Strategie
  • IT-Governance
  • Informationsrisikomanagement
  • Informationssicherheitsmanagement
  • Benutzerberechtigungsmanagement
  • IT-Projekte, Anwendungsentwicklung (inkl. durch Endbenutzer in den Fachbereichen)
  • IT-Betrieb (inkl. Datensicherung)
  • Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen.

Das Rundschreiben, das nunmehr im Entwurf zur Konsultation vorliegt, adressiert die Geschäftsleitung der Kreditinstitute und soll die Anforderungen der MaRisk konkretisieren. Die Anforderungen der MaRisk bleiben hiervon unberührt. Daneben bleiben die Institute verpflichtet, “bei der Ausgestaltung der IT-Systeme und der dazugehörigen IT-Prozesse grundsätzlich auf gängige Standards und sowie grundsätzlich auf den Stand der Technik abzustellen.”

Die Konsultationsphase endet am 5. Mai 2017.

Ermittlung der finanziellen Folgeschäden in der BIA – Herausforderungen und Lösungsansätze

Ermittlung von Folgeschäden in der Business Impact Analyse
Die Ermittlung der finanziellen Folgewirkungen des Ausfalls von Geschäftsprozessen ist ein elementarer Bestandteil der Business Impact Analyse (BIA) im Business Continuity Management (BCM).
Die Impact-Analyse – Folgeschadenabschätzung – dient dazu, Geschäftsprozesse abhängig von den jeweiligen Schadensfolgen bei einem Ausfall für die Wiederherstellung zu priorisieren. Hierdurch sollen monetäre und nicht-monetäre Schäden durch Geschäftsprozessunterbrechungen minmiert werden. Neben den finanziellen Folgeschäden zählen zu den betrachteten Schadenskategorien beispielhaft

• Verstöße gegen rechtliche und regulatorische Anforderungen

• Bruch vertraglicher Vereinbarungen

• Image- und Reputationsschäden

• Verlust der Steuerungsfähigkeit

• Beeinträchtigung von Safety und Security.

Die Ermittlung der finanziellen Folgeschäden durch die Unterbrechung von Geschäftsprozessen zählt regelmäßig zu einer der größten Herausforderungen bei der Durchführung der BIA. Die Fachbereiche tun sich schwer in der Ermittlung dieser monetären Größe. Dies liegt zum Einen daran, daß sich der finanzielle Impact über den Zeitablauf einer Prozessunterbrechung gar nicht so einfach ermitteln lässt. Die Betrachtung eines Notfall-Szenarios ist sehr abstrakt und gehört nicht zum normalen Denkmuster. Welche Annahmen sollen getroffen werden hinsichtlich, Zeitpunkt, Umfang und Rahmenbedingungen des Notfalls? Die Schadensfolgen des Ausfalls eines Wertpapierhandelsprozesses in einem stabilen Marktumfeld sehen beispielsweise völlig anders aus, als in einem volatilen oder gar chaotischen Markt. Weiterhin gibt es viele produktspezifische Fragestellungen wie zum Beispiel der Umgang mit Verträgen, die im ersten Jahr zu Anfangsverlusten führen – zum Beispiel durch Vertriebsaufwände – und erst in den Folgejahren Erträge für das Unternehmen erzielen. Wie soll der finanzielle Impact für diese Deckungsbeitragsverläufe kalkuliert werden – zum Teil über Laufzeiten von mehreren Jahrzehnten? Eine Prozessunterbrechung würde in diesem Falle bei einer Betrachtungperiode von 12 Monaten gar zu Gewinnen führen und der Geschäftsprozess nicht wiederhergestellt werden.
Zum Anderen erweckt die Festlegung monetärer Folgeschäden, vielleicht noch mit Nachkommastellen versehen, eine Genauigkeit, die in dieser Form gar nicht erreicht werden kann – und auch nicht benötigt wird. Dieser vermeintliche Anspruch an Genauigkeit in der Darstellung verunsichert die Fachbereiche zusätzlich. Dies gilt insbesondere für die Fachbereiche, die es gewohnt sind zahlenbasiert mit einer hohen Genauigkeit zu arbeiten (Bsp. Controlling und Rechnungswesen).

Welchen Anforderungen muss die Ermittlung des finanzieller Impacts genügen?

• um die Vergleichbarkeit von Impact-Bewertungen über die Prozesse sicherzustellen, muss der Impact für alle Prozesse nach identischen Prämissen und Verfahren bewertet werden (zum Beispiel die Berücksichtigung und finanzielle Bewertung von Personalausfallkosten bei einer Prozessunterbrechung)

• Die Prämissen müssen im Vorfeld der BIA möglichst exakt definiert werden (worst case- Betrachtung, Kunden- und Marktumfeld, zu berücksichtigende Kosten und Erträge, Umgang mit Opportunitätskosten)

• Fachbereiche müssen auf Basis dieser Prämissen die finanziellen Folgeschäden möglichst einfach ermitteln können

• Das Ergebnis der Schadensermittlung muss plausibel und nachvollziehbar (auch für Dritte) sein

• Für Geschäftsprozesse, die unterstützend wirken, muss ein Verfahren zur Vererbung der Schadenswirkungen festgelegt werden.

Wie sind diese Anforderungen zu erreichen?
Der größte Erfolgsfaktor für qualitativ hochwertige BIA-Ergebnisse liegt in einer guten Vorbereitung und Konfiguration der BIA. Die Prämissen für Bewertungen müssen eindeutig festgelegt und für die Durchführung der BIA dokumentiert werden. Für die Ermittlung des finanziellen Impacts ist eine Auseinandersetzung mit den betriebswirtschaftlichen Eckdaten des Unternehmens zwingend notwendig. Mengengerüste zu den Produkten und Services, Kosten- und Ertragsstrukturen sowie Deckungsbeitragsverläufe einzelner Produktkategorien und Services sind die Grundlage zur Ermittlung finanzieller Impacts. Ideal wäre natürlich eine Prozesskostenrechnung – leider immer noch häufiger Vision als Realität. Jetzt ist der Wirtschaftswissenschaftler im Business Continuity Manager gefordert! Aber wir sind ja vielseitig aufgestellt.
Der Geschäftsbericht ist ein zunächst ein guter Ausgangspunkt für diese betriebswirtschaftliche Analyse. Wichtige Eckdaten finden sich in Bilanz und Gewinn- und Verlustrechnung sowie Anhang. Der Schlüssel zu einer guten BIA ist jedoch die interdisziplinäre Zusammenarbeit mit dem Risikomanagement und Controlling, geht es doch um nichts Anderes als die Durchführung von Stresstests für den Ausfall von Produkten und Services. Beiden genannten Disziplinen ist die Durchführung von Stresstests nicht fremd. Wahrscheinlich liegen bereits viele Zahlen für die BIA-spezifischen Stresstests vor und können wiederverwendet werden.
Mit den Spezialisten kann die Frage beantwortet werden, welche finanzielle Schäden dem Unternehmen beim Ausfall eines Produkts oder Services drohen und welche Prämissen für die Ermittlung definiert werden müssen.
Diese vorgefertigten Kalkulationsmodelle sind dann Grundlage für die konkrete Ermittlung der finanziellen Folgeschäden durch die Prozessverantwortlichen. Im Idealfall kann die Ermittlung des finanziellen Impacts so weit vorkonfiguriert werden, dass die Zuordnung der Produkte und Services zum Geschäftsprozess für die Kalkulation der finanziellen Schäden ausreichend ist. Auch die konsistente Bewertung über alle Prozesse ist so gewährleistet und das zentrale Kalkulationsmodell kann bei Bedarf aktualisiert und erweitert werden, ohne erneut eine komplette BIA mit den Fachbereichen durchführen zu müssen. Für unterstützende Geschäftsprozesse erfolgt die Ermittlung der Schadensgrößen dann mittels Vererbung über die identifizierten Prozessabhängigkeiten.
Dieses Vorgehen führt zu einem erhöhten Aufwand in der Vorbereitungsphase und Konfiguration der BIA. Lohn der Mühe ist jedoch eine einfachere und konsistente Ermittlung in der BIA-Erhebung mit den Fachbereichen und die Option einer ständigen Optimierung und Verbesserung der Kalkulationsgrundlage.

Supply Chain Continuity Management – Vorsorge für Notfälle in der Lieferkette

Wenn die Lieferkette an einer Stelle reißt, kommt häufig die gesamte Wertschöpfungskette für ein Produkt oder einen Service zum Stillstand. Die Vorsorge für Notfälle in der Lieferkette – das Supply Chain Continuity Management – ist daher ein elementarer Baustein für eine widerstandsfähige Lieferkette. Der vorangegangene Beitrag „Supply Chain Resilience“ behandelte die Governance, Risk und Compliance-Aspekte. Dieser Beitrag, den ich auf der Plattform GR3C veröffentlicht habe, geht vertieft auf die Rolle des Business Continuity Management zur Sicherung der Lieferketten bei Unterbrechungen ein:

Zum Beitrag auf 3GRC

SUPPLY CHAIN RESILIENCE – ABSICHERUNG DER KRITISCHEN LIEFERKETTEN

In einer arbeitsteiligen Welt ist die Auslagerung von Herstellungs- und Dienstleistungs-Prozessen an Dienstleister und Lieferanten – das Outsourcing – eine Selbstverständlichkeit geworden. Im produzierenden Bereich, wie zum Beispiel der Automobilindustrie ist der Trend zur Auslagerung großer Teile der Wertschöpfungskette schon sehr weit fortgeschritten und ausgeprägt. Einer der wichtigsten Kernkompetenzen eines Automobilherstellers ist heute das „Orchestrieren“ aller Zulieferer und Dienstleister damit die Produktion just in time funktionieren kann. Selbst die Forschung und Entwicklung für zentrale Fahrzeugkomponenten erfolgt durch die Zulieferer. Hieraus ist mittlerweile ein überaus komplexes beidseitiges Abhängigkeitsverhältnis zwischen Lieferanten, Sub-Lieferanten und den Automobilproduzenten entstanden.

Lesen Sie meine aktuelle Veröffentlichung auf 3GRC.

BCM Barometer der BCM Academy ist gestartet

Die BCM Academy erstellt auch in diesem Jahr wieder das BCM Barometer und bittet um Ihre Beteiligung bei der Umfrage:

Sehr geehrte BCM-Kolleginnen und Kollegen,

es ist schon wieder ein Jahr vorbei und ich freue mich sehr, dass ich schon angesprochen wurde, wann das neue Barometer freigeschaltet wird.

Die Antwort ist: Jetzt 🙂

Wir haben auch in diesem Jahr einige Verbesserungsvorschläge aufgenommen und hier und da nochmal “nachgefeilt”, die nächste Runde kann also starten.

Wir, die BCM Academy, möchten mit dieser Umfrage die Entwicklungen im BCM im deutschsprachigen Raum festhalten und genau wie in den Vorjahren anschließend allen BCM-Interessierten kostenfrei zur Verfügung stellen. (Das BCM Barometer des Vorjahres finden Sie kostenfrei zum Download hier: http://www.bcmacademy.de/de/bcm-barometer)

Die Erhebung ist absolut anonym, es werden keine IP-Adressen ermittelt oder gespeichert – somit ist es wichtig, dass Sie nach dem Beginn der Umfrage diese auch zu Ende bringen. Wenn Sie den Browser geschlossen haben können Sie die Umfrage nicht fortsetzen. Die Umfrage wird maximal 10 Minuten Ihrer Zeit in Anspruch nehmen.

Ihre Teilnahme selbstverständlich freiwillig und wir sind auf Sie angewiesen, insofern schon jetzt ein herzliches Dankeschön für Ihr Mitwirken.

Wir lassen die Umfrage bis zum 05.03.2017 geöffnet und veröffentlichen die Ergebnisse aufgearbeitet bis Ende April 2017 auf unserer Homepage.

—> Die Umfrage finden Sie online unter diesem Link: https://surv.es/kaiTeZQaTN4XdZ57P

Technische Empfehlungen: Neuere Versionen von Internet Explorer, Firefox sowie alle gängigen Mobile Devices. Die Anzeige passt sich der Bildschirmgröße an, so kann es zu ungewöhnlichen Umbrüchen kommen.

Für Fragen jeglicher Art sowie Feedback stehe ich sehr gerne zur Verfügung:
Telefon: 040 – 890 664 62
E-Mail: bchristiansen@bcmacademy.de