Positive Nebeneffekte einer Business Impact Analyse: Köpfe kennen

Im Krisenmanagement gibt es den Leitspruch “In der Krise Köpfe kennen”. Dies bedeutet, die richtigen Ansprechpartner für die Lösung der Herausforderungen zu kennen, aber auch Verhaltensweisen von Menschen in Stress-Situationen einschätzen zu können. Ein wichtiger Weg, Köpfe kennenzulernen ist die Business Impact Analyse.

Die Business Impact Analyse stellt eine Tournee durch die ganze Organisation auf der Suche nach kritischen Geschäftsprozessen dar. Auf dieser Tournee bekommt man Kontakt zu ganz vielen Menschen im Unternehmen aus den unterschiedlichsten Bereichen. Morgens ein Interview mit dem Prozessverantwortlichen aus dem Wertpapierbereich, der mit einem Mausklick Millionenbeträge bewegt, Nachmittags im Keller beim Facility Management umgeben vom Dieselgeruch des Notstromaggregats. In kaum einer Disziplin wie dem BCM, und hier insbesondere der Business Impact Analyse, gibt es die Möglichkeit, alle Bereiche und Nischen des Unternehmens zu erkunden und kennenzulernen. Auf diesem Weg lernt man viele Menschen kennen, lernt viel über deren Aufgabenbereiche und kann persönliche Kontakte über das BCM hinaus knüpfen. Der Kontakt reicht von der analytischen Betrachtung von Geschäftsprozessen, Dienstleistern, Technik und IT bis zu Präsentationen der Ergebnisse bei der Geschäftsführung.

Ein wesentlicher Grund, warum ich beim Business Continuity Management seit vielen Jahren hängen geblieben bin, ist diese Vielseitigkeit der Themenbereiche mit einer hohen Anforderung an die Kommunikationsfähigkeit mit verschiedensten Ansprechpartnern. Die Business Impact Analyse ist eine große Chance für die BCM-Verantwortlichen ihr Gesicht zu zeigen, Köpfe zu kennen und Awarenessbildung für das BCM zu machen. Eine BIA mag durch einen Fragebogen erhebbar sein, das persönliche Kennenlernen ist durch Nichts zu ersetzen und jede Zeit und Mühe wert in meinen Augen.

Positive Nebeneffekte einer Business Impact Analyse: Licht in die Schatten-IT

Die Business Impact Analyse dient im Business Continuity Management zur Identifikation der zeitkritischen Geschäftsprozesse und deren Ressourcen wie Personal, IT, Gebäude / Arbeitsplätze, Technik / Anlagen und Dienstleister. Neben diesen originären Zielen kann durch eine Business Impact Analyse auch ein deutlicher Mehrwert für andere Themenbereiche gewonnen werden. Hierzu gehört die zunehmende Schatten-IT, die zu Steuerungsverlusten in der IT führen kann.

Weiterlesen…

Wie wahrscheinlich ist das Unwahrscheinliche?

Business Continuity Management (BCM) ist eine Disziplin des Risikomanagements. Es ist daher naheliegend, für die Risikoanalyse im BCM auf die klassischen und bewährten Methoden und Verfahren dieser Disziplin zurückzugreifen. Zu diesen klassischen Vorgehensweisen gehört die Betrachtung eines Risikos unter den beiden Gesichtspunkten Eintrittswahrscheinlichkeit und Schadenshöhe. Als Ergebnis lassen sich Risiken sehr anschaulich in einer Risikomatrix darstellen und es lassen sich erwartete Schadenshöhen zum Beispiel für die finanzielle Risikovorsorge berechnen. Beim BCM stößt dieses Vorgehen jedoch an seine Grenzen, denn wir betrachten im BCM Risiken mit geringer Eintrittswahrscheinlichkeit dafür aber existentiellen Schadenshöhen. Die Eintrittswahrscheinlichkeit des Risikos spielt bei der Notfallvorsorge für BCM-Risiken keine Rolle, denn ein Schaden, wann immer er eintritt, würde die Existenz des Unternehmens bedrohen. Es ist zum Beispiel unerheblich für die (IT-) Notfallplanung, wann und wie oft eine Cyber-Attacke auf die IT-Infrastruktur zu erwarten ist, denn eine entsprechende Vorsorge der IT und des BCM für den Fall einer Cyber-Attacke ist für ein Unternehmen notwendig zur Aufrechterhaltung der kritischen Geschäftsprozesse. Ob und wie die Eintrittswahrscheinlichkeit doch noch ihren Weg ins BCM finden kann, behandelt mein aktueller Beitrag auf 3GRC.

Herausforderung „BCM-Übungsrahmenplanung“ –Weniger ist manchmal Mehr

Die Anforderungen an Häufigkeit, Umfang und Variabilität von BCM-Tests und Übungen steigen laufend, getrieben insbesondere durch Kunden, Prüfer, Audits sowie Regulatorik. Mehr Tests und Übungen in kürzerer Zeit und dies auch noch verbunden mit höheren Anforderungen an Inhalte, Variabilität der Szenarien und Dokumentation erfordern eine gut durchdachte und stringent durchgeführte BCM Test- und Übungsrahmenplanung.

Weiterlesen…

Notfallplanung für die Katz

Immer wieder erlebe ich in Tests und Übungen, aber auch bei Störungen und Notfällen, dass vorhandene Notfallplanungen nicht genutzt werden, sondern mal gut und leider auch weniger erfolgreich durch die Beteiligten improvisiert wird.

Wenn man die Ursachen hierfür analysiert, kommt man immer wieder auf die gleichen Punkte:

  1. Es ist den Beteiligten / Betroffenen nicht bekannt, dass es eine BCM-Notfallplanung gibt
  2. Die BCM-Notfallplanung ist nicht griffbereit, nicht auffindbar oder nicht zugänglich
  3. Die BCM-Notfallplanung ist nicht aktuell, Kontaktdaten nicht gepflegt
  4. Die BCM-Notfallplanung deckt das aktuelle Szenario gar nicht oder nur sehr unzutreffend ab
  5. Die BCM-Notfallplanung ist in einer kritischen unübersichtlichen Notfallsituation nicht nutzbar, da sie aus mehreren hunderten Seiten Textwüste besteht.

Während die Punkte eins bis drei noch relativ einfach durch Information, Kommunikation, Disziplin sowie Kontrollen zu beheben sind, geht es bei den Ursachen vier und fünf “an das Eingemachte” der BCM-Notfallplanung. Oftmals gilt offensichtlich der Grundsatz “Masse ist gleich Klasse”. Umfangreiche Einleitungen, Darstellungen von Business Impact Analysen und sich wiederholende Standardtexte “schmücken” die eigentliche Notfallplanung. Die Kerninhalte bestehend aus den Notfallprozeduren für Kommunikation, Einleitung und Durchführung des Notbetriebs, Wiederanlauf in den Normalbetrieb sowie Kontaktdaten sind in den Textwüsten nicht auffindbar. Statt mühsam zu suchen, wird dann improvisiert.

Sehr schade für die ganze Mühe, die in die Dokumente gesteckt wurde und es ist dann auch nicht verwunderlich, dass die laufende und anlassbezogene Aktualisierung der Dokumente der Priorisierung anderer Aufgaben zum Opfer fällt.

Sollte Ihnen diese Situation bekannt vorkommen, ist es an der Zeit über Struktur und Aufbau der BCM-Notfallplanung grundsätzlich nachzudenken.

Sie würden sich auch nicht einem Piloten im Cockpit anvertrauen, der das 1.000-seitige Manual des Herstellers für das Triebwerk unter seinem Pilotensitz für Notfälle bereithält. Und der Co-Pilot die weiteren Handbücher im Cockpit versteckt hat.

Be prepared

BaFin veröffentlicht Konsultationen für MaRisk und BAIT

Das BaFin hat am 26. Oktober 2020 die Konsultationen für die Mindestanforderungen an das Risikomanagement (MaRisk) und die Bankaufsichtlichen Anforderungen an die IT (BAIT) veröffentlicht.

Gerade auch zum (IT-) Notfallmanagement (früher IT-Notfallkonzept) gibt es in den beiden überarbeiteten Konsultationen zahlreiche Änderungen, Konkretisierungen und Erweiterungen.

So werden in der zu erwartenden MaRisk im AT 7.3 Notfallmanagement die Anforderungen an die Durchführung einer Business Impact Analyse konkretisiert. Dies beinhaltet zum Beispiel die Anforderungen an eine zu Grunde liegende Prozesslandkarte sowie die Mindestinhalte der Auswirkungs (Impact-)analyse.

Auch die Mindestanforderungen an die Inhalte von Notfallkonzepten sind weiter konkretisiert. Dies beinhaltet insbesondere auch die Berücksichtigung der BCM-Szenarien (Ausfall von kritischen Standorten, Personal, IT und Dienstleistern).

Die Anforderungen an die Überprüfung der Notfallvorsorge ist deutlich verschärft worden. So sind für zeitkritische Aktivitäten und Prozesse Wirksamkeits- und Angemessenheitsprüfungen für alle Szenarien mindestens jährlich und anlassbezogen nachzuweisen.

Gerade die konkretisierten und verschärften Anforderungen an die Durchführung von Tests und Übungen wird viele Institute vor Herausforderungen stellen und erfordert eine gut durchdachte und überwachte Test- und Übungsprogrammplanung.

Die Konsultationen sind auf der Webseite des BaFin verfügbar.

Pandemieplanung

Die Zeit für eine neue Pandemieplanung ist gekommen!

Die Pandemieplanung neu denken und und aus den Erfahrungen der COVID-19-Pandemie lernen

Die aktuelle COVID-19-Pandemie wird viele Unternehmen darüber nachdenken lassen, ihre vorhandenen Pandemieplanungen zu überprüfen oder auch erst neue Pandemiepläne zu erstellen. Doch welche Inhalte gehören in einen Pandemieplan, wann wird er ausgelöst und welche Inhalte sind in anderen Notfallplänen zu regeln?

Bestehende Dokumente einfach zu aktualisieren oder Pandemiepläne nach altem Muster neu zu erstellen wird den Anforderungen einer Pandemie nicht gerecht. Dies hat die aktuelle COVID-19-Pandemie deutlich aufgezeigt.

In meinem Beitrag auf 3GRC möchte ich Sie dazu motivieren, die Pandemieplanung grundsätzlicher und gesamthafter anzugehen – neu zu denken. In der Konsequenz bedeutet dies das “Aus” für den “Pandemieplan”.

Wie immer, freue ich mich auf Ihre Rückmeldungen zu diesem spannenden Thema.

Digitalisierung und Virtualisierung der Krisenstabsarbeit

Die aktuelle Covid 19-Pandemie hat viele Unternehmen in einen Krisenmodus versetzt. Krisenstäbe, die oftmals nur zu Krisenstabsübungen einmal jährlich zusammenkommen, tagen aktuell regelmäßig und über einen langen Zeitraum. Dadurch entstehen ganz neue Herausforderungen an die Organisation der Krisenstabsarbeit als in einer zweistündige Übung. Dies gilt sowohl für die Technik, Organisation und auch die Zusammenarbeit der Mitglieder von Krisen- und Unterstützungsstäben.

Lesen Sie herzu meinen aktuellen Beitrag auf 3GRC.

Webinare – Lust auf mehr?

Vergangene Woche habe ich mein erstes reines BCM-Webinar nach ersten Erfahrungen in diesem Genre als Dozent einer Online-Vorlesung und als Gastredner in anderen Webinaren sammeln konnte. Die Studio-Ausrüstung ist mittlerweile komplettiert und die Technik funktioniert (meistens).

Das Konzept der Webinare gefällt mir sehr gut, da viele Teilnehmer unkompliziert und ohne großen organisatorischen Aufwand erreicht werden können. Ich habe Lust auf mehr – Sie auch?

Dann stellt sich nur noch die Frage, welche Themen mit hoher Priorität angesagt sind.

Daher hier eine kleine Umfrage zur Meinungsbildung. Sie können zwei Themen priorisieren oder ein eigenes Thema ergänzen.

Vielen Dank für Ihren Beitrag!

Die Business Continuity Awareness Week startet heute!

Heute geht die BCAW 2020 los. Fünf Tage gespickt mit Webinaren rund um das diesjährige Motto der Online-Veranstaltung “We are stronger together”. Natürlich hat die Covid-19 Pandemie auch ihre Auswirkungen auf die Inhalte des Programms. Darüber hinaus gibt es jedoch auch “pandemie-freie” Beiträge von Experten aus aller Welt in zwei von drei Streams.

Neben den Webinaren stehen Reports und Poster zum Download frei zur Verfügung sowie die Chance auf einen Einkaufsgutschein bei der Blog-Competition. Besonders interessant ist der jährlich aktualisierte BCI Horizon Scan Report, der Trends in BCM und Resilience aufzeigt.

Die BCAW wird jährlich vom Business Continuity Institute BCI veranstaltet und soll die Awareness für das Business Continuity Management fördern.

Unsere Ohren sind durch zahlreiche Telefon- und Videokonferenzen mittlerweile gut gestählt und die Audio-Technik am PC eingespielt. So kann es jetzt losgehen mit den interessanten Vorträgen der BCAW 2020.

Hier geht es zum Programm.

Webinar “die fünf Todsünden einer BIA”

Die Business Impact Analyse ist eine wesentliche Grundlage im Business Continuity Management für die Notfallvorsorge. Sie ist eine große Chance, birgt aber zugleich auch einige Risiken. Der Aufwand für eine BIA ist vor allem auch für die Fachbereiche hoch, daher sollten in der BIA keine methodischen Fehler begangen werden. In diesem kostenlosen Webinar geht es um fünf Todsünden, die bei einer BIA begangen werden können.

Das Webinar beinhaltet einen F&A-Teil, in dem Sie Ihre Fragen zum Thema BIA stellen können.

Termin: Freitag, 29. Mai 2020 09:30 Uhr bis 11:00 Uhr.

Die Durchführung des Webinars erfolgt in zoom. Eine Anmeldung mittels des beigefügten Links ist erforderlich:

https://us02web.zoom.us/webinar/register/6615890343766/WN_cnnRS44rQe2gY0fAiZaaWw