Sein oder nicht sein

In vielen Unternehmen wird Business Continuity noch immer als reine IT-Aufgabe gesehen. Mit knappen Budgets sollen verantwortliche Mitarbeiter, die gesamte IT des Unternehmens so ausfallsicher wie möglich machen. Business Continuity Management (BCM) ist viel mehr: ein ganzheitlicher Managementprozess, bei dem mögliche Bedrohungen eines Unternehmens erkannt und effizient abgewehrt werden. BCM schafft somit eine Grundstruktur für eine stärkere Stabilität von Unternehmen und trägt damit zur Steigerung von Wertschöpfung und Reputation bei. Entscheidet dabei ist, wie schnell auf schwerwiegende Ereignisse reagiert wird.

Jedes zweite Unternehmen, das zehn Tage aufgrund von schwerwiegenden Störfällen auf seine wichtigsten IT-Systeme verzichten muss, verschwindet innerhalb der nächsten drei bis fünf Jahre vom Markt (Quelle: Bitkom, Meta Group). In einem eng vernetzten Wirtschaftssystem haben solche Ereignisse bei Zulieferer, Kunden, Outsourcing-Partner, Finanzmärkte auch mittelbare Auswirkungen.

Ziel eines Notfallplanes im Business Continuity Management ist es, die wichtigen Produkte oder Services des Unternehmens bei wesentlichem Ausfall von Ressourcen wie Personal, Produktionsstandorte, IT-Systeme oder Rohstoffe möglichst rasch wieder herzustellen. Risk Assessment befasst sich dabei mit einer Vielzahl unterschiedlichster Bedrohungen für den Geschäftsbetrieb und legt entsprechende Maßnahmen fest. Die Business Impact Analyse identifiziert die wesentlichen Prozesse und Funktionen des Unternehmens, ihre Abhängigkeit von bestimmten Ressourcen und die Folgen fehlender Ressourcen für das Unternehmen.

Das Senior Management legt die unternehmensweite BCM-Strategie und dessen Inhalte fest und entscheidet, welche Produkte oder Services im Krisenfall mit welcher Priorität wiederhergestellt werden müssen oder gegebenenfalls ausgesetzt werden können (Maximum Tolerable Period of Disruption = „MTPD“)

Danach können die einzelnen Fachbereiche ihre spezifischen Desaster Recovery Pläne anhand der unternehmensweit festgelegten Kriterien erstellen. Im IT-Bereich folgt eine Klassifizierung der Prozesse und Applikationen gemäß der zuvor erhobenen MTPD. Für Anwendungen der höchsten Prioritätsstufe sind z.B. Implementierung hochverfügbarer Infrastruktur (IT und Facility), Steigerung der Resilience durch Nutzung mehrerer Standorte oder Diversifizierung im Netzwerkbereich legitime und finanzierbare Maßnahmen. Bei Anwendungen niedrigerer Priorität soll aber keinesfalls auf die Planung von Desaster Recovery generell verzichtet werden, aber es können hierfür andere Maßnahmen angemessen sein. So sind Konzepte zur Wiederbeschaffung von Hardware zusammen mit den Anforderungen entsprechender Backupkonzepten ausreichend. Zu beachten gelten dabei Fragen der Kompatibilität von Hardware, Software Releases, Treiber, Medien und vieles mehr.

Essenziell zur erfolgreichen Umsetzung des BCM im Unternehmen sind regelmäßige Schulungen der Mitarbeiter und die Durchführung von periodischen Notfalltests. Nur dadurch kann längerfristig das nötige Bewusstsein in den Fachbereichen für Notfallsplanung sowie der reibungslose Ablauf der festgelegten Notfallsmaßnahmen in einem echten Störfall erreicht werden. Zusätzlich schaffen die Notfalltests die Möglichkeit Schwachstellen bei den definierten Prozessen zu erkennen und zu beseitigen. Überall dort, wo Unternehmensprozesse von externen Partnern abhängig sind, sind diese in die Planung und Tests miteinzubeziehen.

Schlussendlich erfordert ein erfolgreiches BCM die Einbettung in die gesamte Unternehmenskultur. Idealerweise bildet das Projektmanagement des Unternehmens eine Schnittstelle zu BCM und jeder Teil der Organisation kann  veränderte Rahmenbedingungen umgehend aufzeigen. Auf diese Weise wird sichergestellt, dass die BCM Pläne stets aktuell sind und Business Continuity Management auf lange und mittelfristige Sicht zum Unternehmenserfolg maßgeblich beiträgt.