Business Continuity Planning: Was man tun und was man vermeiden sollte

In einer zunehmend vernetzten und sich ständig verändernden Welt ist es für Ihr Unternehmen von entscheidender Bedeutung, die Planung der Geschäftskontinuität regelmäßig zu überprüfen. Es gibt bestimmte Maßnahmen, die ergriffen werden sollten, und andere, die vermieden werden sollten. Durch die Weiterentwicklung globaler Geschäfts- und Betriebsstrategien kommen zu der wachsenden Liste von Bedrohungen neue Risiken für Betriebsunterbrechungen hinzu. Der Aufbau widerstandsfähiger und wiederherstellbarer Betriebsabläufe ist schwieriger zu realisieren, wenn die Zeit begrenzt ist und Herausforderungen bevorstehen. Abgesehen von allen Elementen, die bei der Entwicklung einer Business-Continuity-Strategie zu berücksichtigen sind, liegt der Schlüssel zu einem erfolgreichen Business-Continuity-Plan darin, einen gut durchdachten Plan zu erstellen und ihn im gesamten Unternehmen zu testen. 

Dieser Artikel beschreibt die Leitprinzipien und Schlüsselelemente eines Business-Continuity-Plans, erläutert Auslöser für Kontinuitätsvorfälle und befasst sich eingehend mit den Dos and Don'ts bei der Erstellung eines BC-Plans.

Aktuelle Erkenntnisse

Die Gefahren für die Kontinuität des Geschäftsbetriebs haben in den letzten Jahren zugenommen. Aktuelle Untersuchungen bestätigen, dass Cybervorfälle, Betriebsunterbrechungen, Änderungen von Vorschriften sowie Naturkatastrophen die größten Geschäftsrisiken in diesem Jahr darstellen.  

Genauso wie es viele Arten von Bedrohungen gibt, die Ihren Betrieb stören können, gibt es auch viele verschiedene Szenarien, wie sich diese unerwünschten Ereignisse entwickeln können. Diese Vorfälle, die oft als Kontinuitätsauslöser bezeichnet werden – also Ereignisse, die Ihren Geschäftsalltag potenziell beeinträchtigen können –, reichen von geplanten Ereignissen oder Reputationsproblemen bis hin zu Störungen in der Lieferkette eines Lieferanten oder Verletzungen innerhalb der Führungsmannschaft. 

Zu den häufigsten Auslösern von Kontinuitätsvorfällen gehören:

• Vorhergesehene oder geplante Ereignisse (Wetter, geplante Ereignisse, die zu Störungen führen könnten, Pandemien oder Probleme im Bereich der öffentlichen Gesundheit)

• „Büro“-Zwischenfälle (Gebäudeschäden oder -störungen, Auswirkungen auf andere Betriebsabläufe, Verletzungen oder Todesfälle von Mitarbeitern, Gewalt am Arbeitsplatz)

• Öffentliche Vorwürfe gegen das Unternehmen oder Medien / Reputationsprobleme

• Kritische Vorfälle bei Anbietern oder Lieferanten

• Signifikante Veränderungen auf den Finanzmärkten

• Wichtige Vorgänge im Bereich Informationstechnologie oder Probleme mit der Infrastruktur (abhängig vom Umfang und der voraussichtlichen Dauer)

• Schwerwiegende Vorfälle oder Verstöße im Bereich der Informationssicherheit aufgrund von Technologie, Betriebsabläufen oder Geschäftspraktiken

• Verletzung oder Tod eines Mitglieds der Organisationsleitung

Leitprinzipien für die Planung der Geschäftskontinuität

Obwohl jede Branche unterschiedliche Anforderungen und Besonderheiten haben kann, bietet ein Business-Continuity-Plan Orientierungshilfe für unvorhergesehene Situationen in jedem Unternehmen. Wenn Sie mit der Entwicklung einer Business-Continuity-Strategie für Ihr Unternehmen beauftragt sind, gehen Sie bei Ihrer Planung wie folgt vor und berücksichtigen Sie dabei die folgenden Maßnahmen:

• Konzentrieren Sie sich auf die AUSWIRKUNGEN, nicht auf die Ursache. Legen Sie die zu ergreifenden Maßnahmen fest und bestimmen Sie bestimmte Teammitglieder, die die Task Force leiten sollen, wenn Sie auf die folgenden Szenarien reagieren:​

  –Verlust des Arbeitsplatzes
  –Störungen durch Technologie, Sicherheit oder Lieferanten
  –Rechtliche, finanzielle oder regulatorische Auswirkungen
  –Auswirkungen auf den Ruf
  –Sicherheit der Belegschaft

• Verwenden Sie einen „Allgefahrenansatz“. Das bedeutet, dass Sie alle potenziellen Gefahren, die sich auf Ihren Betrieb auswirken könnten, berücksichtigen und identifizieren sowie Schwachstellen und potenzielle Auswirkungen bewerten müssen. All-Hazards-Pläne befassen sich mit den verfügbaren Ressourcen und den Maßnahmen, die vor und nach einem Notfall zu ergreifen sind. Sie sollen das Wohlergehen der Menschen gewährleisten, Schäden am Unternehmensvermögen minimieren und Betriebsausfälle vermeiden. Mit dem All-Hazards-Ansatz können Unternehmen ihre Notfallvorsorge auf ein effektiveres und skalierbares Niveau heben.

• Stellen Sie sicher, dass eine „Befehls- und Kontrollstruktur“ vorhanden ist und verstanden wird. Nach der Definition der NATO ist Befehl und Kontrolle die Ausübung von Autorität und Weisungsbefugnis durch eine ordnungsgemäß benannte Person über zugewiesene Ressourcen zur Erreichung eines gemeinsamen Ziels.

• Stellen Sie sicher, dass jeder seine Rolle versteht und handlungsbereit ist. Die Durchführung einer Tabletop-Übung ist die effizienteste Methode, um die Teammitglieder zu organisieren und sicherzustellen, dass jeder seine Aufgaben im Notfall kennt.

• Priorisieren Sie Geschäftsprozesse – das Wichtigste zuerst.Die Durchführung einer Business-Impact-Analyse solltedazu dienen, die kritischen Wiederherstellungszeiten (Recovery Time Objectives, RTO) für jede Abteilung zu bewerten und ein umfassendes Verständnis der zentralen Geschäftsanforderungen zu erlangen.

• Erstellen Sie „umsetzbare“ Pläne und halten Sie diese auf dem neuesten Stand.

• Konzentrieren Sie sich auf die Kontinuität des Betriebs, d. h. die Bemühungen jeder Abteilung, sicherzustellen, dass alle kritischen Prozesse auch während eines unvorhergesehenen Ereignisses oder einer Störung weiterhin ausgeführt werden.  

• Schaffen Sie ein Bewusstsein innerhalb der gesamten Organisation und trainieren Sie regelmäßig. 

Rahmenwerk für Geschäftskontinuität

Das Business-Continuity-Framework Ihres Unternehmens ist grundlegend für dessen Erfolg. Die einzelnen Komponenten Ihres Frameworks können je nach Unternehmen unterschiedlich aussehen, aber die zugrunde liegenden Ziele sind immer dieselben:

• Schutz vor Störungsrisiken (Prävention)
• Wiederherstellung des Betriebs nach einer Störung (Reaktion)

Ein umfassendes Rahmenwerk für die Geschäftskontinuität definiert eine Struktur für die Reaktion, die Aufrechterhaltung des Betriebs und die Rückkehr zum normalen Geschäftsbetrieb. Die Pläne werden unter Verwendung eines „All-Hazards“-Ansatzes entwickelt und konzentrieren sich auf die Auswirkungen auf den Standort, die Mitarbeiter, die Technologie, die Lieferanten oder den Ruf.

Erstellung eines Business Continuity Plans

Ihr BCP ist der Entwurf für Ihr Business-Continuity-Framework. Es sollte sich um ein umfassendes Dokument handeln, das an einem zentralen Ort gespeichert ist, auf den alle Mitglieder des BC-Teams jederzeit und überall zugreifen können. Ein solider Plan muss alle wichtigen Komponenten umfassen und regelmäßig aktualisiert werden, damit Ihr Unternehmen die Compliance-Vorschriften und Veränderungen in der Branche einhalten kann. 

1. Definieren

Beginnen Sie Ihren Planungsprozess, indem Sie genau definieren, welchen Plan Ihre Organisation benötigt oder benötigt, und priorisieren Sie dann alle kritischen Geschäftsprozesse durch eine BIA. Im Idealfall muss jede Abteilung in Ihrer Organisation über einen BCP verfügen, da sie alle wichtige geschäftsspezifische Prozesse haben. Diese Pläne fließen wiederum in einen organisationsweiten BCP ein. 

Natürlich werden Anzahl und Umfang der Business-Continuity-Pläne von der Organisation und der Geschäftsstruktur bestimmt, aber diese Logik gilt für alle Arten von Unternehmen. Ihre Strategie kann verschiedene Abteilungen umfassen, die wiederum ihre eigenen spezifischen Pläne haben müssen, da jede Abteilung ihre eigenen wesentlichen Geschäftsprozesse zu berücksichtigen hat. 

2. Prioritäten setzen und planen

Für diesen Schritt sollten Sie die folgende Vorgehensweise berücksichtigen:

• Priorisieren Sie die Prozesse in jeder Abteilung anhand ihrer geschäftlichen Auswirkungen (Finanzen, Kunden, Klienten oder Mitglieder, Mitarbeiter, Marke/Reputation, Dienstleistungserbringung, Compliance oder Regulierung).

• Identifizieren Sie die Kontinuitätsanforderungen ausgeschäftlicher Sicht für jeden Prozess (0–24 Stunden, 2–5 Werktage, 6+ Werktage).

• Geben Sie alle wichtigen Termine an(nicht routinemäßig, könnte die Kontinuitätsanforderungen ändern). ​

• Legen Sie die Strategie(n) für die Fortführung des Geschäftsbetriebs fest (Homeoffice, alternative Räumlichkeiten, anderes Büro, Aussetzung oder Verzögerung). ​

• Anforderungen an die Kontinuität des Katalogs(Personaleinsatz, wichtige Lieferanteninformationen und Alternativen, technologische Anforderungen und Workarounds, wichtige Unterlagen, Spezialausrüstung usw.)

Denken Sie daran, dass die Ergebnisse der Business Impact Analysis (BIA) die Grundlage für eine effektive Kontinuitätsplanung mit Fokus auf geschäftlichen Prioritäten bilden.

Ein Business-Continuity-Plan sollte ein „Handbuch“ enthalten, in dem die Schritte beschrieben sind, die erforderlich sind, um den Geschäftsbetrieb im Falle einer Störung des normalen Betriebs aufrechtzuerhalten. Was die Inhalte Ihres Plans und die Dinge betrifft, die Sie bei der Planung vermeiden sollten, empfehlen wir Ihnen folgende Verhaltensregeln:

Ein solider BCP muss außerdem Folgendes enthalten:

• Geschäftsprozesse

Prozesse, ihre Priorität und wann sie fortgesetzt werden müssen, um „den Geschäftsbetrieb aufrechtzuerhalten“. ​

• Wichtige Termine

Wichtige Termine, die sich regelmäßig wiederholen und die Prioritäten für die Kontinuität beeinflussen können.

• Mitarbeiter-Einsatz

Einsatzzeitpunkt und Arbeitsort für jeden Mitarbeiter.

• Kontinuitätsaufgaben

Was muss getan werden – noch am selben Tag, innerhalb von 24 Stunden, innerhalb der nächsten 2–5 Tage oder in mehr als 6 Tagen?

• Wichtige Anbieter/Lieferanten

Wer sie sind, was sie anbieten, wie man sie kontaktieren kann.

• Technologieabhängigkeiten

Welche Technologien werden wann benötigt?

• Personenstandsregister

Welche „Aufzeichnungen“ (in der Regel in Papierform) müssten dupliziert werden, um den Betrieb aufrechtzuerhalten?

• Sonderausstattung

Alle für die Ausführung vorrangiger Prozesse erforderlichen Spezialgeräte

​

3. Validieren

Sobald Sie Ihr Team zusammengestellt und einen Plan erstellt haben, sollten Sie die Strategie auf ganzer Linie validieren.

• Jeder im Unternehmen muss seine Rolle und Verantwortung kennen – gehen Sie nicht davon aus, dass sie diese kennen.

• Es reicht nicht aus, sich nur auf Technologie zu konzentrieren.

• Validieren Sie Ihre Kontinuitätsstrategien

• Können Sie Ihre Pläne umsetzen? Funktionieren sie?

• Konzentrieren Sie sich auf die Frage: „Kann ich mein Unternehmen weiterführen?“

• Genau das, was nötig ist, um den Geschäftsbetrieb aufrechtzuerhalten, minimale Alternativen usw.

• Es handelt sich nicht um einen Test, den man bestehen oder nicht bestehen kann, sondern um eine Lernübung... Lücken sind gut.

Zusammenfassend

Heutzutage gibt es verschiedene Faktoren, die die Geschäftskontinuität vorantreiben. Eine wachsende Zahl von Branchenunterbrechungen hat die Notwendigkeit geweckt, robustere Resilienzpläne zu entwickeln. Regulatorische Vorgaben verlangen nun Klarheit über die kritische Resilienzstrategie von Drittanbietern und machen Ihr Unternehmen zu einem resilienten Partner. Ein verstärkter Fokus auf unternehmensweite Governance, Risikomanagement und Compliance (GRC) zwingt Unternehmen dazu, ihre Compliance-Kosten zu senken und bessere Einblicke in Risiken zu gewähren. Dank neuer Technologien, die wettbewerbsfähige und maßgeschneiderte Angebote ermöglichen, erwarten Kunden einen rund um die Uhr verfügbaren Zugang zu Produkten und Dienstleistungen. Auch die Toleranz der Regulierungsbehörden gegenüber kritischen Systemausfällen nimmt ab. Und schließlich können die schnelle Erkennung von Notfällen und interne/externe Reaktionen darauf den Markenwert und den Ruf schützen und steigern.

Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Preparis Business Continuity Software veröffentlicht. Im Oktober 2024 übernahm Mitratech Preparis, einen führenden Anbieter von Lösungen für die Geschäftskontinuitätsplanung und Notfallmaßnahmen. Der Inhalt wurde aktualisiert, um dem erweiterten Produktangebot von Mitratech, den Fortschritten in der Branche und den rechtlichen Entwicklungen Rechnung zu tragen.