Mit Standard auf Risiken vorbereiten

Im Kontext der japanischen Fukushima-Katastrophe gerieten komplette Großkonzerne in den Strudel der Ereignisse. Die Regierung war überfordert, weil sie nicht auf eine Naturgewalt solchen Ausmaßes eingerichtet war. Und das, obwohl Japan eine lange und schmerzliche Erdbebengeschichte besitzt. Die Notfallentscheider konnten die Menschen nicht in einer angemessenen Zeit aus dem Krisengebiet evakuieren. Stattdessen herrschte lange Zeit Plan- und Ratlosigkeit. Im Klartext: Es bestanden keine ausreichenden Strategien und Notfallpläne für den Tag X am 11. März 2011 und für die folgenden Wochen und Monate. Es mangelte an der Ultima Ratio: dem Notfallmanagement.

Wer glaubt, das Beispiel sei weit entfernt und betreffe uns nicht, der irrt. Unsere globale und eng verzahnte Wirtschaftswelt lässt keine Ausfälle zu. Das Resultat: Infolge der japanischen Katastrophe mussten Produktionen gedrosselt oder eingestellt werden. Weltweit konnten Autobauer aufgrund abgebrochener Zulieferketten ihre Planzahlen nicht einhalten. Und deutsche Mittelständler waren gezwungen, ihre Produktion zurückzufahren, da zentrale Bauteile aus der betroffenen Region nicht mehr lieferbar waren.

Vom BCM zur Gesamtstrategie Für exportorientierte Unternehmen kann eine solche Situation schnell im finanziellen Ruin enden. In Zahlen ausgedrückt: Rund 400 000 Fahrzeuge konnten infolge des Fukushima-Fiaskos nicht gebaut werden. Aus diesem Grund sind konkrete Vorfeldplanungen unerlässlich, um sich vor eventuellen Krisenzeiten zu schützen. Wie zeigten deutsche Autobauer: Zusammen mit den Zuliefererunternehmen wurden im Kontext der japanischen Katastrophe Expertengruppen gebildet, um die Versorgung mit wichtigen Teilen für die Produktion sicherzustellen. Mögliche Engpässe umgingen die Unternehmen, indem der strategische Einkauf auf andere Produzenten in anderen Teilen der Welt zurückgriff. Der Fall zeigt: Prozesse müssen im Vorfeld bedacht, getestet und in der Organisation verankert werden. Und hierbei hilft eine durchgängige BCM-Strategie.

Mit ihr lassen sich kritische Ressourcen identifizieren und schützen, deren Ausfälle zu Schäden und Verlusten in einem existenzgefährdenden Ausmaß führen können. Mit anderen Worten: Eine Gesamtstrategie ist Pflicht im Kampf für mehr Ausfallsicherheit.

Das Management in der Pflicht Den Weg in die richtige Richtung zeigt der im Mai 2012 verabschiedete Standard ISO 22301:2012. Dieser setzt als aktueller internationaler Standard einen Meilenstein im BCM-Umfeld. Der neue ISO-Standard soll Unternehmen jeder Größe und branchenübergreifend unterstützen, mögliche Risiken für kritische Organisations- und Betriebsausfälle minimieren. Beispielsweise mithilfe einer Business Impact Analysis (BIA) können gegenseitige Abhängigkeiten von Prozessen sowie Unternehmensbereichen samt den Auswirkungen bei Prozessausfällen aufgezeigt werden. Im Standard ISO 22301:2012 werden die Leistungsanforderungen detailliert beschrieben, um ein belegbares Kontinuitätsmanagementsystem aufzubauen, zu betreiben und zu verbessern. Einen wichtigen Punkt nimmt in diesem Kontext das Testen bestehender BCM-Verfahren und -Prozesse innerhalb der Organisation ein. Und das unter Berücksichtigung der strategischen Ziele samt gesetzlicher Vorgaben und Vertragsverpflichtungen. An dieser Stelle ist das Management in der Organisation gefordert, dessen Aufgabe beispielsweise in der Einführung und Überwachung der BCM-Prozesse besteht. Hierzu gehört die Dokumentation des internen Kontroll- und Risikomanagementsystems im Lagebericht und vor allem ein wirksamer Überwachungsprozess. Wichtig ist die Integration der BCM-Anforderungen in den kompletten Geschäftsablauf sowie klare Rollen und Zuständigkeiten innerhalb des BCM-Prozesses.

Schutz internationaler Lieferketten Dank der Möglichkeit der Zertifizierung eines nach dem BCM-Standard eingeführten Managementsystems soll sichergestellt werden, dass die globalen Lieferketten (Supply Chains) besser gegen Unterbrechungen geschützt werden. Unterstützt wird dies durch die Forderung im Standard, dass Unternehmen ausschließlich in dem Fall zertifiziert werden können, wenn sie nachweisen, dass sie ihre kritischen Lieferanten ebenfalls auf ein ausreichendes BCM überprüft haben.

Ist ein deutsches Unternehmen in internationale Lieferketten eingebunden und kritischer Lieferant einer seiner Kunden, kann die Aufforderung eines BCM-Nachweises schnell erfolgen. Viele internationale Großkonzerne haben die Verpflichtung zur Vorlage derartiger Nachweise teilweise seit Jahren in ihre Einkaufsbestimmungen integriert. Experten rechnen damit, dass diese künftig unter Verweis auf den Standard ISO 22301:2012 verstärkt durchgesetzt werden.

Vom Verständnis zur BCM-Kultur Risikokultur heißt Verstehen und Arbeiten im Sinne der Organisation. Mehr noch setzt sie ein weitreichendes Verständnis von Risiken und dem Umgang mit ihnen in der eigenen Organisation voraus. Wichtigster Einflussfaktor sind in diesem Bereich die eigenen Mitarbeiter.

Heruntergebrochen auf das Thema BCM bedeutet das, dass die Minimierung von Risiken durch Betriebsausfälle oder -unterbrechungen in allen Organisationsbereichen greifen und von jedem Mitarbeiter verstanden werden muss.

Hierzu sind bestimmte Konstanten notwendig, an denen ausgerichtet eine organisationsinterne Struktur wachsen kann. In Verbindung mit einem Sanktions- und Belohnungssystem für jeden Mitarbeiter kann daraus eine wirkungsvolle sowie durchgängige Unternehmenskultur wachsen – mit transparenten Verhaltensregeln. In diesen internen Denk- und Wandlungsprozess ist zu empfehlen, die Mitarbeitervertretung eines Unternehmens frühzeitig einzubinden. Hierbei ist es wichtig, dass eine starke BCM-Kultur zum Wohle aller etabliert wird und transparente Verhaltensregeln nicht primär zum Zweck von Sanktionen eingeführt werden. Gelingt dies im BCM-Umfeld mit den angesprochenen Maßnahmen und in Verbindung mit dem neuen Standard ISO 22301:2012, sind Organisationen auf einem guten Weg von der „Krise!“ zur Frage: „Welche Krise?“

Um den neuen BCM-Standard im Tätigkeitsfeld des Risikomanagements zu verankern, gründete die Risk Management Association (RMA) Ende August 2012 einen neuen Arbeitskreis Business Continuity Management. Ziel der neuen Spezialistengruppe ist es, eine Plattform für den fachlichen Expertenaustausch sowie den Know-how-Transfer im BCM-Umfeld zu errichten und auszubauen. Das neue Arbeitskreisprojekt erstreckt sich zunächst über drei Phasen. Zuerst findet eine Einführung in das Thema Business Continuity Management statt, um das notwendige Grundlagenwissen zu einem fachlich tieferen Austausch und zur Diskussion zu ermöglichen. Im zweiten Schritt wird das notwendige Managementwissen erarbeitet, mit dem BCM in der Praxis eingeführt und geleitet werden kann. In der dritten Phase plant der Arbeitskreis, auf der Grundlage der gewonnenen Expertise (und erster praktischer Erfahrungen), ein offizielles BCM-Vorgehensmodell unter Federführung des RMA zu entwickeln. Dieses Modell soll nach Wunsch der RMA-Experten als praxisorientierter Leitfaden die Einführung und das Management von BCM unterstützen und die Organisationen für den Ernstfall wappnen.

Der ISO-Standard ISO 22301:2012 wurde im Mai 2012 veröffentlicht. Inhaltlich handelt es sich um einen internationalen Standard für Business Continuity Management (BCM). Das Ziel: Unternehmen und Organisationen zu unterstützen, um Risiken von Betriebsausfällen und -unterbrechungen zu minimieren. Wichtig ist der allgemein gehaltene Charakter der Anforderungen des Standards, um ihn für Organisationen jeder Größe und Branche offen zu halten.