Naturkatastrophenbilanz 2013 der Munich RE

Der Rückversicherer Munich RE hat am 07. Januar 2014 seine Naturkatastrophen-Bilanz für 2013 vorgestellt. Während die US-Amerikaner unter einer extremen Kältewelle leiden, stehen in Mitteleuropa die Skilifte bei frühsommerlichen Temperaturen still. Wiederum zeigt sich wie extrem Wetterverhältnisse sein können. Extreme Wetterverhältnisse prägen auch die Naturkatastrophen-Bilanz der Munich RE. Insgesamt liegen sowohl die direkten Gesamtschäden (rund 125 Mrd. USD) als auch die versicherten Schäden (31 Mrd. USD) unter dem Durchschnitt der vergangenen 10 Jahre. Bei einer reinen Betrachtung der gesamtwirtschaftlichen Schäden sind die schweren Überschwemmungen Anfang Juni in Deutschland mit einem Gesamtschaden von 11,7 Mrd. Euro die teuerste Katastrophe weltweit. Der versicherte Schaden betrug 2,3 Mrd. Euro. Wirtschaftlich lag der Taifun Haiyan im November 2013 auf den Philippinen mit  einem Schaden von 10 Mrd. USD darunter, doch menschlich richtete der stärkste Tropensturm, der jemals auf Land traf mit über 6.000 Toten eine Tragödie an. Deutlich wird in den Statistiken der Munich RE der stark unterschiedliche Versicherungsgrad der Bevölkerung. Während der Taifun Haiyan lediglich zu einem versicherten Schaden in mittlerer dreistelliger Millionenhöhe führte, verursachten regionale Hagelstürme in einzelnen Regionen Deutschlands am 27. und 28. Juli einen versicherten Schaden von 2,8 Mrd. Euro.

Dass Naturkatastrophen nicht nur mit der wirtschaftlichen Brille betrachtet werden dürfen, zeigen die immensen Folgeschäden des Taifuns auf den Philippinen. Eine ganze Ernte wurde zerstört und Millionen Menschen haben Haus und Gut verloren. Wirkungen, die in keiner Statistik auftauchen. Zumal die betroffenen Menschen hierfür keinen Versicherungsschutz genießen und auf die Unterstützung von Hilfsorganisationen über eine lange Zeit angewiesen sein werden.

Weitergehende Informationen zur Naturkatastrophen-Bilanz 2013 finden sich auf der Webseite von Munich RE.
[slideshare id=29775468&doc=2014-01-07-munich-re-natural-catastrophes-2013-overview-de-140107123924-phpapp01&type=d]

BCM-News Daily Digest

BCM-News Daily Digest

Was Business Continuity Manager von 2014 erwarten

Continuity Central hat im dritten Quartal 2013 eine Online-Umfrage unter Business Continuity Managern nach ihren Erwartungen für 2014 durchgeführt. Der überwiegende Anteil der BC Manager erwartet Veränderungen in den BCM-Rahmenbedingungen:

  • 10.3 percent of respondents expect to see a significant increase in testing and/or exercising activities;
  • 9.3 percent will be making major revisions to BCM strategies and/or BCP(s);
  • 8.2 percent will embark on new ISO 22301 alignment, implementation and certification projects;
  • 8.2 percent will be taking a more holistic approach to BCM;
  • Changes in the business / organizational structure will impact 6.2 percent of respondents;
  • 5.2 percent will be making improvements in incident management processes;
  • There will be an increased focus on supply chain resilience / supply chain dependencies in 4.1 percent of respondents’ organizations;
  • 4.1 percent will be taking a new approach to BIAs or will be making a complete reassessment.

Auf der anderen Seite stehen als größte Herausforderungen das Budget für BCM sowie das fehlende Management Commitment für BCM.

Quelle: Continuity Central

BCM-News Daily Digest

BCM-News Daily Digest

BCM-News Daily Digest

BCM-News wünscht allen Lesern ein frohes Fest und einen guten Rutsch!

Liebe Leser der BCM-News,

und wieder liegt ein ereignisreiches Jahr fast hinter uns (wer hat an der Uhr gedreht?) und hoffentlich einige geruhsame und besinnliche Tage vor uns.

Vielen Dank für den großen Zuspruch, den ich auch dieses Jahr wieder für die BCM-News von Ihnen erhalten habe. Er trägt mich durch die Motivationslöcher und Schreib-Krisen. Dieses Jahr war ich wegen der intensiven Projektarbeit ganz besonders auf Sie angewiesen, um die BCM-News neben den Kundenprojekten am Laufen zu halten – ein immerwährender Spagat.Ein ganz herzlicher Dank geht selbstverständlich auch an die Premium-Sponsoren und die Gast-Autoren. Die wesentlichen Stützpfeiler der BCM-News.

Hektik auch im Maschinenraum der BCM-News: das gesamte News-System sowie die Kalenderfunktionalität wurden vollkommen überarbeitet und auf neue Beine gestellt. Ein eigener News-Roboter versorgt mich laufend mit Nachrichten aus aller Welt auf PC und Smartphone, automatisierte Backups sichern laufend das gesamte System.

Jetzt wird auch hier in den BCM-News Ruhe einkehren, nachdem wir die letzten Tage noch ein kleines Jahresendfeuerwerk an Beiträgen entbrannt haben.

Lassen Sie nur die Kerzen brennen ;-),

Passend hierzu: Todesfalle Weihnachten

Ihr

Matthias Hämmerle MBCI
Herausgeber, Maschinist und Autor der BCM-News

Neuerscheinung: Becoming Resilient – The Definitive Guide to ISO 22301 Implementation

Das neue Buch von Dejan Kosutic zu Business Continuity Management auf Basis des ISO 22301 ist jetzt erschienen. Dejan Kosutic ist ein ausgewiesener Experte für Informationssicherheit und Business Continuity Management. Sein Blog ist eine hochwertige Informationsquelle und er selbst ein gefragter und sehr kompetenter Experte. Sein neuestes Buch ist jetzt online als E-Book erhältlich.

“Author and experienced business continuity consultant Dejan Kosutic has written this book with one goal in mind: to give you the knowledge and practical step-by-step process you need to successfully implement ISO 22301. Without any stress, hassle or headaches.

  • ✓   Learn how to start an implementation project
  • ✓   Get a simple explanation of the ISO 22301 standard
  • ✓   Learn how to structure the required documentation
  • ✓   Learn the certification process and the criteria of certification bodies
  • ✓   And get all this (and much more) in language you’ll understand”

Ich habe mir das E-Book schon unter mein E-Bäumle gelegt …

 

Dank Simulation – mit Vorteil in einem fiktiven Unternehmen in einer ganz fremden Branche – souverän (re)agieren im Ausnahmezustand

Was haben Holz, Notfall- und Krisenmanagement gemeinsam?

Sie stehen für die Premiere einer erfolgreichen Kooperation von Experten für Krisenstabstraining mit denen für softwaregestützte IT-Notfallplanung. Davon profitierten jetzt die Teilnehmer des gemeinsamen Krisenstabseminars.

Sitzungszimmer eines fiktiven Sägewerks: Krisenstimmung. In den kommenden Stunden wird es die Aufgabe der verantwortlichen Teilnehmer sein, die angeschlagene Firma so zu lenken, dass der Schaden möglichst gering gehalten werden kann: Nicht betroffene Unternehmensteile sollen trotz Ereignis einwandfrei produzieren und liefern können sowie die vom Ereignis nicht betroffenen Kunden möglichst wenig Beeinträchtigung erfahren. Außerdem muss die Produktion auch im vom Ereignis betroffenen Prozess bald wieder aufgenommen werden.

 Simulation schult adäquates Reagieren

Eine echte Herausforderung an die Teilnehmer, die beruflich alle nichts mit Holzverarbeitung zu tun haben.
Almut Eger, erfahrene Trainerin im Bereich des Notfall-, Krisen- und Business Continuity Managements und Spielleiterin, sieht exakt darin den größten Vorteil: „Am Beispiel des fiktiven Sägewerks üben die Verantwortlichen Abläufe und Führung, strukturierte Entscheidungsfindung und adäquates Reagieren in verschiedenen Krisenszenarios. Diese Simulation ist flexibel, man kann kundenspezifisch das Szenario auf gewisse Themen oder Abteilungen ausrichten. Hier ist ein nachvollziehbares Übungsumfeld mit einem bekannten Rohmaterial (nämlich Holz) gegeben, um ein herausforderndes und lehrreiches Training gestalten zu können. Es geht um die Methodik und das Funktionieren der Rollen an sich. Und es geht darum, die Personen im Ausfüllen ihrer Rollen zu stärken.“
Mehr noch: „Dank des Trainings in einer völlig fremden Umgebung – nämlich in einem Sägewerk – erhalten die Mitglieder des Einsatzteams die Möglichkeit, sich losgelöst von ihren üblichen Aufgaben vollständig in ihrer «methodischen Rolle» im Ereignismanagement zu bewegen. Aufgrund dieser Methodik können die Funktionsweise der Aufbau- und Ablauforganisation überprüft werden. Zudem erhält jeder Teilnehmer die Möglichkeit, seine eigenen Fähigkeiten zu testen und «fremde» Rollen auszuprobieren“, so die Expertin.

Führungfähigkeiten trainieren

Inzwischen haben die Teilnehmer ihren Part angenommen. „Es ist spannend, außerhalb der angestammten Rolle die Führungsfähigkeiten im Ereignismanagement zu trainieren. Hinzu kommt, dass alle hier sich hoch engagiert auf dem „dünnen Eis“ bewegen wollen“, sagt eine Seminarteilnehmerin begeistert. „Und dünn ist das Eis tatsächlich, denn Holz kann brennen, wegrollen, aufquellen, sogar schwimmen – es kann sich also in der Übung anders als erhofft verhalten.“

Zielgerichtete Unterstützung durch Notfall-Software

Doch die Teilnehmer trainieren nicht nur den Einsatz in einem Notfall- und Krisenstab und erhalten einen praxisnahen Einblick in die Stabsarbeit und nötigen Arbeitsschritte in einem Ereignis. Jörg Kretzschmar, Consultant, demonstriert anhand zahlreicher Beispiele und wertvoller Tipps, wie mittels des Einsatzes der speziell entwickelten Software  eine zielgerichtete Unterstützung via Notfallplänen und Verantwortlichkeiten aussehen kann. „Durch die strukturierte Aufnahme der Daten, aller Prozesse und Services eines Unternehmens erleichtert die damit zu erreichende Geschwindigkeit die Reaktion im Ernstfall.“

Deshalb sieht der Consultant in der Kooperation mit den Krisenstabstrainings-Experten eine ideale Win-Win-Situation für Kunden aus beiden Geschäftsfeldern: „Wir bauen diesen Schulungszweig 2014 aus und bieten insgesamt vier Krisenstabsschulungen an“, freut er sich auf die Zusammenarbeit.

 Aufgabe gemeistert: professioneller Umgang mit Unerwartetem

 Cornelius Herold, Trainer und u.a. Experte für Krisen- und Notfallmanagement, bringt das Ergebnis des Seminars auf den Punkt: „In dem technischen, berufsspezifischen Training mit der Softwarefür den Wiederanlauf nach einer Krise wendeten alle Teilnehmer die im Sägewerk erworbenen Kenntnisse in der Lageanalyse und der Einsatzführung dann auch in der angestammten fachlichen Rolle an. So konnten die Teilnehmer die Möglichkeiten effizienter Stabsarbeit zur Bewältigung einer dynamisch-komplexen Situation erkennen. Die Führungsarbeit und die effektive Zusammenarbeit des Krisenstabteams in heiklen Situationen konnte zielgerichtet trainiert werden. Die Teilnehmer sammelten Erfahrung in der Strukturierung und Durchführung von Stabsprozessen, unabhängig von fachlichen Aufgaben und Abläufen.“

Bewertung von Teilnehmern:

 „Es war eine Stunde lang Stress und Adrenalin pur.

Auch wenn wir das fiktive Unternehmen letztendlich „versenkt“ haben, war es für uns eine Übung, aus der wir extrem profitieren konnten. Wir haben sehr wichtige Erkenntnisse mitgenommen und ich freue mich auf die Anwendung. Das Seminar war den Tag Aufwand und seinen Preis wert. Uneingeschränkt empfehlenswert.“

  „Sehr gutes praxisbezogenes Seminar mit praktischen und wertvollen Inhalten.

Die ausgewogene Kombination von „theoretischer Einführung“ und „praktischer Übung“ waren interessant und kurzweilig. Auch die Möglichkeit, während des Trainings verschiedene Rollen auszuprobieren, war eine gute Erfahrung. Alles in allem kann ich sagen, dass der Tag nicht nur lehrreich war sondern es auch richtig Spaß gemacht hat.“

Die nächsten Seminare finden statt am 08.05.2014, 06.06.2014, 30.09.2014 und 27.11.2014

Die Termine für weitere Veranstaltungen dieses Krisenstabstrainings finden Sie im BCM-Kalender.
Dort finden Sie auch den Link zum Veranstalter und zur Buchung.

Weitere  Informationen erhalten Sie auf Anfrage gern per E-Mail oder Anruf an und bei den genannten Ansprechpartnern der CONTECHNET Ltd. | 4 Management 2 Security GmbH.

 

BCM-News Daily Digest

BCM Test –im Speziellen der Nachweis der Angemessenheit und Wirksamkeit des Notfallkonzeptes gem. der MaRisk für Kreditinstitute – welche Informationen benötigt das Top Management?

Ein Gast-Beitrag von Torsten Zacher für die BCM-News.

Verantwortlich für die Umsetzung des Business Continuity Management (BCM) ist das Top Management. Hier sind die BCM Standards und die KWG Novelle zu nennen. Im Rahmen dieser Verantwortung muss das Top Management ein entsprechendes Reporting erhalten. Der Artikel beschäftigt sich mit möglichen qualitativen Inhalten eines Berichts von Test speziell unter der Berücksichtigung der MaRisk AT 7.3 und dem Nachweis der Wirksamkeit und der Angemessenheit des Notfallkonzeptes, das regelmäßig durch Notfalltests zu überprüfen ist[1].

Im Entwurf des KWG § 25c Absatz 4a Nummer 5 haben „die Geschäftsleiter dafür Sorge zu tragen, das regelmäßig Notfalltest zur Überprüfung der Angemessenheit und Wirksamkeit des Notfallkonzeptes durchgeführt werden und über die Ergebnisse den jeweils Verantwortlichen berichtet werden“.[2] Die Nichteinhaltung kann gemäß KWG § 54a mit Freiheitsstrafe bis zu 5 Jahren bestraft werden.

In diesem Zusammenhang ist die Verantwortung des Top Managements für das BCM insbesondere hinzuweisen. Für die Umsetzung des Business Continuity Management Systems (BCMS) ist die Verantwortung und die Unterstützung des Top Managements ein elementarer Erfolgsfaktor. Dies wird durch die KWG Novelle unterstrichen.

Diese Verantwortung beinhaltet die regelmäßige Durchführung von Tests der Notfallkonzepte und den Nachweis über die Angemessenheit und Wirksamkeit. Daher hat das Top Management entsprechende Berichte als Nachweis empfangen.

Der Ist-Zustand ist hierbei stark durch ein quantitatives Reporting geprägt. Inhalte dieser Berichte sind selbstverständlich die Anzahl der „erfolgreich“ durchgeführten Tests.

Erfolgreich bedeutet hier, dass die definierten Testziele pro einzelnem Test erfüllt werden. Dies ist für die Durchführung auf operativer Ebene angemessen.

Das Top Management erhält ein zielgerichtetes, komprimiertes Reporting. Die ISO 22301 schreibt vor, dass Tests durchgeführt werden sollen, die mit dem Kriterium „are consistent with the scope and objectives of the BCMS“.[3] Hier zeigt sich deutlich, dass die Tests systematisch zu planen und durchzuführen sind und somit die Vorgaben der Unternehmensleitung und den Unternehmenszielen verifizieren sollen. Damit ist von der Leitungsebene eine festzulegende Notfallstrategie[4] auszuarbeiten.

Inhalte dieser Notfallstrategie in Bezug auf das Notfallkonzept können u.a. sein, dass „Geschäftsprozesse mit mindestens 50% der Leistungsfähigkeit oder des Durchsatzes funktionieren sollen“.[5]

Zentrale Inhalte zur Messung der Wirksamkeit und der Angemessenheit der Notfallkonzepte gem. der MaRisk sind der Abgleich der Vorgaben der Geschäftsleitung und deren operative Umsetzung. Ein derartiges Reporting, welches sich rein auf die quantitative Anzahl der durchgeführten Übungen bezieht, ist gemäß den Anforderungen der MaRisk (Wirksamkeit und Angemessenheit) nicht ausreichend.

Im ersten Schritt ist zu klären, was die MaRisk unten den Begriffen Wirksamkeit und Angemessenheit versteht.

Die Wirksamkeit bedeutet allgemein Leistungsgrad und Ausmaß in dem geplante Tätigkeiten verwirklicht und geplante Ergebnisse erreicht werden.

Generell sind zwei Grundaussagen über den Nachweis der Wirksamkeit zu treffen. Hier liegen in der Regel operative SLA vor, also letztendlich die Umsetzung der Vorgaben von der Geschäftsleitung.

Der erste Punkt betrifft die Wiederanlaufzeit in den Notbetrieb, also ob im Ernstfall diese einzuhalten ist. Die z.B. RTO ist in jedem (Teil-) Testprotokoll zu dokumentieren und durch das zentrale BCM zu aggregieren und zu reporten. Über die umfangreichen Prozesskettentests ist die Einhaltung z.B. der gesamt RTO an die Geschäftsleitung zu reporten. Alternativ können andere zeitlichen Messungen (MAO, MTPD) vorgenommen werden. Entscheidend sind klare Definitionen, z.B. ab wann die Zeit läuft.

Die zweite Aussage befasst sich mit dem in Notbetrieb möglichen Durchsatz, also wie viel Geschäftsvorgänge im Notfall abgearbeitet werden können. Hier können verschiedene Kennzahlen gewählt werden. Z.B. der in der ISO 22301 genannte MBCO (minimum business continuity objektive). Dieser wird als minimum service level (MSL) beschrieben, diese Bezeichnung ist auch für Personen außerhalb der BCM-Welt verständlich und daher gut zu verwenden. Dieser MSL ist letztendlich eine Vorgabe der Geschäftsleitung. Die Einhaltung ist eine existenzielle Anforderung. Die Tests werden in der Regel nicht als Ernstfall- oder Vollübung durchgeführt. Daher ist die MSL von den Experten zu schätzen.

Als qualitative Informationen gehören damit auch in den Management review die Einschätzung der Test, ob mit den gegebenen Mittel die Notfallstrategie umgesetzt werden kann.

Angemessenheit bedeutet generell Verhältnismäßigkeit sowie Eignung der ergriffenen Maßnahmen. Die Angemessenheit ist individuell zu definieren. Hier hat jedes Unternehmen in Relation zu seiner volkswirtschaftlichen Bedeutung eine „Angemessenheit“ seiner Notfallfähigkeit zu definieren. Besonders hohe Anforderungen an die Umsetzungsreife der Notfallkonzepte sind bei Stichworten wie systemrelevanten Banken oder Unternehmen der kritischen Infrastruktur (KRITIS) zu erwarten.

Für andere Unternehmen ist diese Verhältnismäßigkeit z.B. anhand der Größe, Umsatz, Produkte, Dienstleisterstruktur usw. zu definieren. Hier entscheidet letztendlich die Unternehmensstrategie, wie viel Notfallvorsorge angemessen ist. Zukünftig sollte die BCM-Strategie an dieser Stelle um den Begriff der Angemessenheit erweitert werden.

Zusammenfassung:

Das Top Management ist für das BCMS inklusive dem erfolgreichen Testen verantwortlich. Daher sind qualitative Informationen an das Management zur berichten. Vorgeschlagen wird eine zeitliche Messung, wie lange benötigt wird in den Notbetrieb zu gelangen (z.B. der RTO) und wie viel Geschäft im Notbetrieb bearbeitet werden kann (z.B. der MSL). Diese basieren auf der Notfallstrategie bzw. Vorgaben durch die Geschäftsleitung. Die Tests werden gegen diese Anforderungen durchgeführt und bewertet. Die Ergebnisse werden aggregiert an die Geschäftsleitung berichtet. Qualitative Zahlen über die Wirksamkeit sind aussagefähiger als rein quantitative Zahlen.

Über die BCM-Strategie wird auch definiert, was die Angemessenheit des Notfallkonzeptes für das eine Unternehmen bedeutet.

Disclaimer:

Der Artikel beinhaltet ausdrücklich die persönliche Meinung des Autors.

 


[1] MaRisk AT 7.3

[2] Drucksache 378/13, Gesetz zur Abschirmung von Risiken und zur Planung der Sanierung und Abwicklung von Kreditinstituten und Finanzgruppen, Seite 19

[3] ISO 22301 , Kapitel 8.5 Exercising and testing

[4] Vgl. BSI 100-4, Kapitel 4.2.4, Zielsetzung und Anforderung an das Notfallmanagement

[5] BSI 100-4, Kapitel 4.2.4, Zielsetzung und Anforderung an das Notfallmanagement