Personalausfall – der schlafende Riese

BCM-Szenarien wie IT-Ausfall, Geb√§ude- und / oder Arbeitsplatzausfall¬†sind in der Notfallvorsorge mittlerweile selbstverst√§ndlich. Das Szenario “Personalausfall” geh√∂rt in der Theorie gleichwertig mit zu den elementaren Risikoszenarien wie auch der Ausfall kritischer Dienstleistungen / Dienstleister. In der Praxis kommt das Szenario Personalausfall in allen Phasen des BCM-Lebenszyklus leider oftmals zu kurz. Und das, obwohl uns auch die praktische Realit√§t zum Beispiel in Form zahlreicher streikbedingter Personalausf√§lle bei Bahn, Kitas und Geldtransporteuren die Notwendigkeit einer angemessenen Vorsorge f√ľr Personalausf√§lle aufzeigt. SARS, Vogelgrippe, EHEC/HUS und jetzt aktuell MERS finden vermeintlich im fernen Asien statt. Norovirus, auch “Kreuzfahrer-Virus”, ¬†trifft vermeintlich nur Kreuzfahrer – aktuell¬†gibt es eine Lebensmittelwarnung wegen Noroviren in gefrorenen Erdbeeren bei Aldi Nord. Masern-Epidemien betreffen nicht nur die Kinder, wenn Heerscharen von Elternteilen f√ľr die Pflege zu Hause bleiben m√ľssen. Doch wenn das Szenario “Personalausfall” zuschl√§gt ist jede Vorbereitung Gold wert. Hinzu kommt dass das Szenario Personalausfall BCM und Krisenmanagement gerne √ľber Tage, Wochen oder gar Monate auf Trab h√§lt. Eine zweist√ľndige Krisenstabs√ľbung l√§sst die Anforderungen an ein solches Szenario nur erahnen. Alleine, wenn der Krisenstab in den Drei-Schichtbetrieb gehen soll … Weiterlesen…

Wenn die kritische Ressource “Personal” ausf√§llt

Dieser Artikel ist im aktuellen BCM-Sonderheft des Sicherheits-Berater erstmalig erschienen.

Im Business Continuity Management (BCM) gibt es vier grunds√§tzliche BCM-Szenarien, f√ľr die im Rahmen der Notfallplanung Vorsorge getroffen wird. Neben dem Ausfall der IT und Telekommunikation, Geb√§ude sowie Dienstleister ist ein wesentliches BCM-Szenario der Ausfall von Personal zur Durchf√ľhrung der kritischen Gesch√§ftsprozesse. Das BCM geht in der Planung von der Wirkungsseite aus, da nicht f√ľr jede der vielen m√∂glichen Ursachen ein Notfallplan erstellt werden kann. Die Ursachen, die zu einem Personalausfall f√ľhren k√∂nnen, sind sehr vielf√§ltig. Sie reichen von einer Erkrankung einer hohen Anzahl an Mitarbeitern (Beispiele hierf√ľr sind Grippe-Epidemien oder Norovirus-Infektionen), der Ausfall von ‚ÄěKopf-Monopolen‚Äú, Streiks der Mitarbeiter bis hin zu Verkehrsbehinderungen der Arbeitswege (zum Beispiel die mehrt√§gigen europaweiten Flugausf√§lle durch den Ausbruch des isl√§ndischen Vulkans Eyjafjallaj√∂kull im April 2010). Weiterlesen…

Remote working – die Allzweckwaffe des BCM

Aktuell wird landauf landab das Land durch Streiks gel√§hmt. √Ėffentliche Verkehrsmittel, Kitas, Flugh√§fen und viele √∂ffentliche Einrichtungen und Dienstleistungen sind durch Streikma√ünahmen massiv eingeschr√§nkt. In den Gro√üst√§dten sind die Mitarbeiter auf diese Services angewiesen, um die Arbeitspl√§tze zu erreichen und die Kinder w√§hrend der Arbeit betreut zu haben. Alleine in Frankfurt sind t√§glich 500.000 Pendler unterwegs. F√ľr die Unternehmen kann dies zur Folge haben, dass viele Mitarbeiter nicht zur Arbeit kommen k√∂nnen. Sei es, da√ü sie auf den √ĖPNV angewiesen sind oder die Betreuung der Kinder. Eine Ma√ünahme, um die Folgen einer derartigen Situation abzumildern ist die M√∂glichkeit remote arbeiten zu k√∂nnen. Eine ganz einfache, aber sehr wirkungsvolle M√∂glichkeit bietet zum Beispiel Outlook Web Access (OWA). Ich habe mehrere Postf√§cher von Kunden, auf die ich per OWA zugreifen kann. So kann ich mit meinem kleinen Smartphone von unterwegs und vom Home Office die Mails lesen und auch direkt beantworten sowie auf die Terminkalender zugreifen und Termine best√§tigen oder absagen. Eine weitere M√∂glichkeit ist es, Mitarbeiter mit Laptops und remote-Zugang via VPN auszustatten. Auf diesem Weg stehen nicht nur das Postfach und der Kalender, sondern zus√§tzlich auch IT-Anwendungen, Laufwerke und Dateien remote zur Bearbeitung zur Verf√ľgung. Auch diese Variante habe ich f√ľr einen Kunden im praktischen Einsatz. Dies bedingt jedoch, den Laptop auch immer dabei zu haben. Der Laptop in der Dockingstation am Arbeitsplatz hilft wenig, wenn es keinen Zugang¬†zum Arbeitsplatz mehr¬†gibt. Sei es, da√ü der Zugang zum Geb√§ude unm√∂glich ist oder wie im aktuellen Fall die Anreise. Zudem ben√∂tigt der Laptop in der Regel aus Sicherheitsgr√ľnden einen LAN-Zugang und man kann sich nicht √ľber √∂ffentliche WLan einw√§hlen. Dies schr√§nkt die Nutzungsm√∂glichkeiten weiter ein. In den Hotels habe ich in der Regel nur einen WLan-Zugang, aber keine LAN-Buchse mehr. Eine weitere Variante ist das Home Office, bei dem zu Hause ein vollwertiger Arbeitsplatz eingerichtet ist. Dies ist jedoch keine kurzfristig zu realisierende Option. Die Nutzung des Home Office ist in Betriebsvereinbarungen geregelt und erfordert umfangreichere technische Einrichtungen mit entsprechendem zeitlichen Vorlauf. Eine weitere aktuell sehr diskutierte Variante ist “Bring Your Own Device (BYOD)”. Dies erm√∂glicht dem Mitarbeiter, seine eigene IT-Umgebung zu nutzen und hier√ľber sicher auf die Arbeitsumgebung im Office zuzugreifen.¬†F√ľr BYOD¬†gibt es mittlerweile sichere und zuverl√§ssige IT-Middleware. Viele IT-Anwendungen unterst√ľtzen dieses Zugriffsverfahren. F√ľr alle diese L√∂sungen gilt: ad-hoc sind sie in Notf√§llen nicht umzusetzen. Zum Teil ist die Umsetzbarkeit durch gesetzliche, interne betriebsverfassungsrechtliche und / oder technische Rahmenbedingungen eingeschr√§nkt. Der Wertpapierhandel einer Bank kann und darf nicht vom Home Office druchgef√ľhrt werden. Auch datenschutzrechtliche Voraussetzungen m√ľssen selbstverst√§ndlich bei all diesen Varianten eingehalten werden. Durch Tests und √úbungen mu√ü √ľberpr√ľft werden, ob die L√∂sung auch bei einer gro√üen Anzahl an externen Zugriffen zur gleichen Zeit funktioniert. Die Anzahl an VPN-Zug√§ngen oder die Performance k√∂nnen die Nutzungsm√∂glichkeiten limitieren. Die aktuellen Streiks sind ein guter Anlass, √ľber die Einsatzm√∂glichkeiten einer oder mehrer dieser Optionen nachzudenken.

Kommen Sie gut durch die streikbedingten Unannehmlichkeiten!

Ja, mach nur einen Plan …

“Ja, mach nur einen Plan, sei ein gro√ües Licht. Und mach’ dann noch ‘nen zweiten Plan, gehen tun sie beide nicht.”, so¬†Bertolt Brecht in der Dreigroschenoper.

An dieses Zitat musste ich unweigerlich nach meinem Besuch des BCI Regionalforum West denken, zu dem ich in der vergangenen Woche f√ľr einen kleinen Vortrag √ľber “Test und √úben” eingeladen war. Eine tolle und gut organisierte Veranstaltung √ľbrigens, Respekt!

In meinem Vortrag habe ich – nat√ľrlich etwas √ľberzeichnet – die Bedeutung von Tests und √úbungen f√ľr die Notfallvorsorge in den Mittelpunkt gestellt. In mehreren gr√∂√üeren zu bew√§ltigenden “Ausnahmesituationen wie Blockupy in Frankfurt, Hurrican Sandy in New York, Norovirus Epidemie und Stromausf√§llen habe ich immer die gleiche Erfahrung gemacht: die Realit√§t h√§lt sich an keinen Plan!

Doch hieraus die Lehre zu ziehen, auf die Notfallplanung verzichten zu k√∂nnen ¬†ist genauso falsch, wie die Hoffnung, eine umfangreiche und ausget√ľftelte Notfallplanung k√∂nnte bei Eintritt eines Notfalls automatisiert abgearbeitet werden wie der Wiederanlaufplan eines IT-Systems.

Der gr√∂√üte Nutzen der Notfallplanung liegt aus meiner Sicht in der geistigen Auseinandersetzung mit m√∂glichen Notfall-Szenarien und Handlungsstrategien zur Beherrschung dieser Situationen sowie zur Minderung der potentiellen Folgesch√§den. Notfallplanungen bilden die Grundlage f√ľr Tests und √úbungen, in denen die Funktionsf√§higkeit der Notfallpl√§ne √ľberpr√ľft werden und vor allem die Mitarbeiter in ihren Rollen f√ľr au√üergew√∂hnliche Situationen trainiert werden. Hierdurch wird die Grundlage geschaffen, um in Notfallsituationen handlungsf√§hig zu bleiben. Tritt der Notfall ein, kommt ein weiteres wichtiges Element zur Bew√§ltigung hinzu: das Krisenmanagement. Im Rahmen des Krisenmanagements wird die Lage analysiert und die angemessenen Entscheidungen zur Bew√§ltigung der Lage getroffen bzw. herbeigef√ľhrt. Pl√§ne sollten die klassischen BCM-Szenarien Geb√§ude-, Personal-, IT- und Dienstleisterausfall abdecken. Sie k√∂nnen jedoch besondere Umst√§nde in der Notfallsituation, die aus der aktuellen Markt- und / oder Auftragslage, Projekten, besonderen Produkt- und Kundensituationen resultieren nicht ¬†ber√ľcksichtigen. Zudem kann das reine Abarbeiten von Pl√§nen die Lage verschlimmern, wenn zum Beispiel die Umsetzung nur eines Teils der Planung ausreichend w√§re. Nur die betroffenen Mitarbeiter m√ľssen bei einem Teilausfall eines Geb√§udes die Notfallarbeitspl√§tze beziehen, das Aussetzen eines kritischen Prozesses kann eine ad√§quate L√∂sung sein, wenn die Auslastung aktuell gering ist. Die Steuerung dieser Plan-Ausf√ľhrung kommt dem Krisenmanagement zu.Die Br√ľcke zwischen dem Business Continuity Management und dem Krisenmanagement bilden die Notfallpl√§ne. Sie sind wichtig f√ľr das Krisenmanagement, aber nicht ausreichend und absolut. Neben den Tests und √úbungen im BCM kommt daher den Krisenmanagement√ľbungen eine zentrale Bedeutung zu. In diesen √úbungen wird neben den Entscheidungsverfahren die Funktionsf√§higkeit der Notfallstrategien und -pl√§ne verprobt.

Um mit Brecht zu antworten: die Pl√§ne gehen nicht, sie bilden die Handlungsbasis in Notf√§llen und m√ľssen durch das Krisenmanagement in ad√§quater Weise, den konkreten Umst√§nden angepasst, in Kraft gesetzt und umgesetzt werden:

“Sorgf√§ltig pr√ľf ich¬†Meinen Plan;

er ist Groß genug;

er ist¬†Unverwirklichbar.”

Bertolt Brecht

 

Business Continuity Management f√ľr gesch√§ftskritische Projekte

Das BCM¬†fokussiert stark auf die gesch√§ftskritischen¬†Prozesse einer Organisation. Projekte werden¬†in der Regel¬†oftmals ausgeblendet, da sie nicht so recht in die BCM-Konzeption passen wollen. Projekte kommen und gehen, sind oftmals f√ľr das √úberleben eines Unternehmens nicht kritisch und entziehen sich durch die Projektorganisation¬†der Linienorganisation f√ľr das BCM. Doch es gibt auch Projekte, die f√ľr¬†die Existenz eines Unternehmens lebensnotwendig sind. Die Projekte zur Umsetzung gesetzlicher und regulatorischer¬†Anforderungen (√Ąnderungen in der Bilanzierung, und dem Rechnungswesen, Steuer√§nderungen) geh√∂ren hierzu genau so wie Projekte, die auf Grund ihrer Gr√∂√üe bei einem Scheitern die Existenz des Unternehmens gef√§hrden. Im Immobilienbereich¬†gibt es sicherlich ungez√§hlte Beispiele von Unternehmen, die sich an Projekten¬†zum Beispiel durch¬†Baum√§ngel¬†und/oder Zahlungsverzug des Kunden¬†finanziell verhoben¬†haben und nicht mehr existieren. Nicht jeder Unternehmer kann dann einfach nach der Insolvenz ein neues Unternehmen ohne die Altlasten gr√ľnden und wie zuvor weitermachen, wie ich dies im Immobilienbereich¬†selbst erleben musste. Gro√üprojekte k√∂nnen also f√ľr Unternehmen¬†einen existenzgef√§hrdenden Charakter analog gesch√§ftskritischer¬†Prozesse haben. Mit dem Unterschied, dass sie auf eine begrenzte Zeit angelegt sind. Doch f√ľr welche Projekte werden schon Business Impact Analysen und Notfallpl√§ne gemacht. Im¬†Projektmanagement selbst¬†gibt es eine Disziplin des Projektrisikomanagements. Auch im¬†Rahmen von¬†Projektprogramm-Management und Projekt-Governance sollten Projektrisiken¬†analysiert und gesteuert werden. F√ľr ausgew√§hlte gesch√§ftskritische¬†Projekte w√§re es aus meiner Sicht eine ¬†sinnvolle Ma√ünahme, diese im Business Continuity¬†Management wie ein Prozess, Produkt oder Service mit zu behandeln. In Rahmen einer BIA¬†werden die Auswirkungen eines Scheiterns oder einer Verz√∂gerung des Projekts f√ľr das Unternehmen eingesch√§tzt und transparent gemacht. In der Projekt-Notfallplanung w√ľrden Konzepte und Ma√ünahmen f√ľr eine Verz√∂gerung oder Scheitern des Projekts ausgearbeitet. Im Berichtswesen des BCM w√ľrden die Risiken aus unternehmenskritischen¬†Projekten mit berichtet werden. Das Projekt des Flughafens Berlin Brandenburg zeigt, wie desastr√∂s¬†Projektverz√∂gerungen in Kombination mit fehlender Kommunikation √ľber die Risiken und deren Folgen f√ľr das Unternehmen selbst, aber auch f√ľr die Kunden, werden k√∂nnen.

Die Vorteile einer Einbeziehung geschäftskritischer Prozesse sind:

  • Risiken aus gesch√§ftskritischen¬†Projekten werden im BCM¬†mit betrachtet und ¬†es entsteht ein gesamthaftes¬†Bild der Risikolandschaft¬†existenzgef√§hrdender Risiken
  • Bew√§hrte Methoden und Verfahren des BCM¬†k√∂nnen f√ľr die Impact-Analyse und die Notfallkonzeption eingesetzt werden
  • Projektrisiken¬†werden im Berichtswesen des BCM mit ber√ľcksichtigt
  • Projekte werden in der Notfallkonzeption¬†und -planung mit ber√ľcksichtigt (zum Beispiel Ausweicharbeitspl√§tze).

Dieses Vorgehen ist auch mit Nachteilen und Risiken verbunden:

  • Im Projektmanagement muss zun√§chst Akzeptanz f√ľr dieses Vorgehen geschaffen werden und die Schnittstellen zum Projektrisikomanagement gekl√§rt werden
  • Die Methoden und Verfahren des BCM, wie auch die zeitliche Taktung der Aktivit√§ten,¬†m√ľssen an die Spezifika tempor√§rer Projekte angepasst werden
  • Zus√§tzlicher Aufwand f√ľr das Projekt
  • Zus√§tzlicher Aufwand f√ľr das BCM.

Der Mehraufwand ist sicherlich nur f√ľr gesch√§ftskritische¬†Projekte vertretbar, die nach festgelegten Kriterien¬†identifiziert werden m√ľssen. F√ľr diese Projekte kann das Instrumentarium des BCM aber sicherlich hilfreich sein.

Im neuen Standard ISO 22301 konnte ich √ľbrigens keine Ausf√ľhrungen zu BCM f√ľr Projekte finden.

Wie ist Ihre Erfahrung mit der Einbeziehung von Projekten in das BCM?

Toyota macht seine Supply Chain robuster gegen√ľber Katastrophen

Nach dem Erdbeben und Tsunami in Japan am 11. M√§rz vergangenen Jahres mussten die Automobilhersteller¬†ihre Produktion f√ľr mehrere Monate stoppen. Nicht nur die Produktionsanlagen der Hersteller selber waren von der Naturkatastrophe zerst√∂rt oder stark besch√§digt, auch viele Zulieferer waren nicht mehr lieferf√§hig. Durch die Effizienzprogramme¬†wurden gerade in der Automobilindustrie teure Zwischenlager abgebaut und durch Single Sourcing¬†Skaleneffekte¬†beim Einkauf genutzt. Diese Ma√ünahmen r√§chten sich nach der Katastrophe vom 11. M√§rz und verhinderten einen schnellen Wiederanlauf. Nicht nur Hersteller in Japan waren hiervon¬†betroffen. Auch deutsche Hersteller konnten √ľber einen l√§ngeren Zeitraum bestimmte Ausstattungs- und Farbvarianten¬†nicht liefern. Toyota hat die Lehren aus diesem Ereignis gezogen und √ľberarbeitet seine Supply¬†Chain. In zwei Wochen soll die Produktion nach einem schweren Beben in Japan wieder anlaufen k√∂nnen, so das Ziel. Im herbst diesen Jahres¬†sollen¬†die Ma√ünahmen hierzu umgesetzt sein. In einer Analyse der Supply¬†Chain¬†Risiken wurden 300 der 1.500¬†Produktionsst√§tten der Lieferanten als riskant eingestuft. Diese¬†sind single¬†sources¬†f√ľr rund 1.000 Teile. Die betroffenen Lieferanten werden aufgefordert, die Teile an mehreren Standorten zu produzieren oder Lager anzulegen. Sie verpflichten sich und ihre eigenen ¬†Zulieferer die Frist von zwei Wochen Wiederanlaufzeit¬†einhalten zu k√∂nnen. Wer die Supply¬†Organisationen der gro√üen Automobilhersteller¬†einmal kennengelernt hat, wei√ü dass¬†ein Zuwiderhandeln¬†ganz schnell im De-Listing m√ľndet.¬†Parallel hierzu forciert Toyota die Gleichteile-Strategie, um die Kosten f√ľr diese Notfallvorsorge¬†f√ľr die Lieferanten senken zu k√∂nnen. Toyota ist damit wiederum Vorreiter im Supply¬†Cain Risk Management. Andere Hersteller und Branchen werden diesem Trend folgen.

[reuters]

Streik am Frankfurter Flughafen geht in die Verl√§ngerung – Fraport gut ger√ľstet

Der Streik der Vorfeldmitarbeiter¬†am Frankfurter Flughafen wird bis Freitag ausgeweitet. Doch es zeigt sich, dass sich Fraport¬†offensichtlich gut auf den Streik vorbereitet hat. Die¬†rund 240 streikenden Mitarbeiter haben eine Schl√ľsselposition bei der Abfertigung der Fl√ľge inne.¬†Ohne¬†“Follow¬†Me” und Ground¬†Control¬†geht¬†keine Maschine¬†in die Luft oder landet auf dem Flughafen. Durch den Einsatz von Mitarbeitern aus anderen Bereichen und F√ľhrungskr√§ften k√∂nnen die Schl√ľsselpositionen offensichtlich ausreichend besetzt werden. Von 1.200 geplanten Fl√ľgen mussten am Montag nur 187 Fl√ľge annulliert werden. Im innerdeutschen Verkehr spring die Bahn¬†mit zus√§tzlichen Kapazit√§ten ein. Flugtickets¬†der Lufthansa gelten gleichzeitig auch als Bahntickets. Im Inland ist die Bahn ohnehin eine vergleichbare Alternative zumal es derzeit keine frostbedingten¬†Ausf√§lle gibt. Auch die Bahn hat sich auf den Winter mit zus√§tzlichen Weichenheizungen¬†und Auftauanlagen¬†f√ľr die Z√ľge gewappnet. Fraport¬†kommt nat√ľrlich auch entgegen, dass zur aktuellen Karnevalszeit das¬†Passagieraufkommen ohnehin geringer ist. ¬†

Streiks, Pandemien /¬†Epidemien und¬†Ausf√§lle des √ĖPNV sind die klassischen Personalausfallszenarien.¬†Im Rahmen des BCM¬†ist es Bestandteil der Notfallstrategien, Kontinuit√§ts-Optionen f√ľr den Ausfall von Schl√ľsselpositionen (“Kopfmonopole”)¬†¬†sowie der Abwesenheit eines hohen Anteils der Besch√§ftigten zum Beispiel durch Krankheit zu entwickeln.¬†

Derartige Optionen können zum Beispiel sein

  • Remote¬†work / Heimarbeit
  • √úbernahme der Prozesse durch andere Lokationen im In- und Ausland
  • ¬†Abordnung von Mitarbeitern aus anderen Bereichen / Abteilungen
  • Outsourcing an einen Dienstleister
  • Aushilfskr√§fte und Zeitarbeit.

Eine gute Dokumentation der Gesch√§ftsprozesse in einem Organisationshandbuch¬†ist eine wesentliche Grundlage f√ľr die Umsetzung dieser Ma√ünahmen im Notfall. Da es sich h√§ufig um personelle Ma√ünahmen handelt ist eine Einbeziehung des Personalbereichs¬†und Betriebs- oder Personalrats zwingend. Daher sollten diese Notfallvorsorgema√ünahmen¬†im BCM¬†zu “Friedenszeiten” vorbereitet werden, denn im Ernstfall ist es zu sp√§t. Ganz nach J. F. Kennedy: “The¬†time to¬†repair¬†the¬†roof¬†is¬†when¬†the¬†sun¬†is¬†shining”.