Das Konzept der Resilienz, auch als organisationale Resilienz oder Business Resilience bezeichnet, ist mittlerweile auch in den Disziplinen des Sicherheitsmanagements angekommen. Ist Business Continuity Management (BCM) jetzt ein Auslaufmodell und organisationale Resilienz das neue BCM? Oder ist BCM vielmehr ein wesentlicher Baustein für ein resilientes Unternehmen neben anderen Bausteinen?
Gleich zwei Normen sollen bei der Klärung der Begrifflichkeit und der Umsetzung in Organisationen helfen. Im März 2017 wurde der ISO-Standard ISO 22316:2017 mit dem langen Titel „Security and resilience – Organizational resilience – Principles and attributes“ veröffentlicht. Der ISO-Standard wurde durch das Technical Committee ISO/TC 292 Security and resilience erarbeitet, das auch die ISO-Standards rund um den ISO 22301:2019 Business Continuity Management verantwortet. Organisationale Resilienz ist laut ISO 22316 „the ability of an organization to absorb and adapt in a changing environment to enable it to deliver its objectives and to survive and prosper“.
Der englische Begriff „Resilience“ leitet sich aus dem lateinischen Begriff „resilire“ ab, gleichbedeutend mit „zurückspringen“. Der Duden definiert Resilienz als „psychische Widerstandskraft; Fähigkeit, schwierige Lebenssituationen ohne anhaltende Beeinträchtigung zu überstehen“.
Unternehmen sind ständig internen und externen Veränderungen ausgesetzt. Veränderungen können positiv für das Unternehmen sein, aber auch zu Bedrohungen für das Unternehmen werden. Bedrohungen können als Störungen, Notfälle, Krisen oder Katastrophen die Produkt- und Serviceerbringung eines Unternehmens beeinträchtigen oder gar unterbrechen. Organisationale Resilienz betrachtet hierbei ein weites Spektrum an Bedrohungsszenarien von graduellen internen und externen Veränderungen bis hin zu akuten oder abrupten Notfallszenarien. Die zu betrachtenden Szenarien reichen daher von unternehmensinternen Bedrohungsszenarien wie beispielhaft Know-how-Verlust bei Mitarbeitern, Fehlern oder vorsätzlichen Handlungen bis hin zu externen Bedrohungen wie Änderungen in Absatzmärkten, Wettbewerbsumfeld, technologischer Wandel, politische Rahmenbedingungen sowie BCM-Risiken für Geschäftsprozesse, Personal, Gebäude, IT und Dienstleister.
Diese sehr umfassende Sicht auf Bedrohungen und Risiken macht deutlich, dass nicht eine einzelne Disziplin im Unternehmen für Resilienz verantwortlich sein kann. In der Anlage des ISO 22316:2017 werden daher beispielhaft zwanzig relevante Managementdisziplinen aufgeführt, die zum Erreichen einer Organisatorischen Resilienz beitragen. Zu den aufgeführten Disziplinen zählen alle GRC-Disziplinen (Governance, Risk and Compliance), darüber hinaus aber auch Kommunikations- und Personal-Management sowie Strate-gische Planung, Qualitätsmanagement und Controlling. Unter den alphabetisch aufgezählten Disziplinen findet sich auch gleich zu Beginn das Business Continuity Management, gefolgt von Krisenmanagement und Cyber Security Management.
Resiliente Unternehmen verfügen über die Fähigkeit, Risiken und Chancen frühzeitig zu erkennen und über eine gute Vorbereitung auf negative Veränderungen oder disruptive Schocks. Studien zeigen, dass sich resiliente Organisationen vor allem durch ihre Unternehmenskultur und Kundenorientierung von anderen Organisationen unterscheiden (Vgl. Ostschweizer Fachhochschule, www.provida.ch, Kurzlink https://tinyurl.com/u3en27by). Organisationen, die eine starke Unternehmenskultur besitzen, schnelle organisatorische und strukturelle Veränderungen zulassen, ein hohes Vertrauen in zufriedene Mitarbeiter haben und eine hohe Führungsqualität aufweisen, erweisen sich als widerstandsfähiger bei Unternehmenskrisen. Resiliente Unternehmen zeichnen sich zudem durch eine hohe Kundenorientierung und -bindung aus. Ein starkes Risikomanagement, Compliance und resiliente Mitarbeiter sind ebenfalls – allerdings weniger bedeutende – Merkmale resilienter Unternehmen.
Welchen Beitrag kann das Business Continuity Management (BCM) zu einem resilienten Unternehmen leisten?
Ein wesentlicher Faktor für die organisationale Resilienz ist die Transparenz über Kunden, Produkte, Prozesse, interne und externe, horizontale und vertikale Abhängigkeiten über die gesamte Wertschöpfungskette. Welches sind die kritischen Glieder dieser Wert-schöpfungskette, die es gilt vor Unterbrechungen zu schützen und in einem Notfall schnell wiederherzustellen, um das Überleben des Unternehmens zu sichern?
Nur auf Basis dieser Transparenz können die kritischen Assets des Unternehmens identifiziert und angemessen geschützt werden. Zu diesem Schutz gehört die Identifikation und Überwachung der Risiken, die präventiven Maßnahmen zum Schutz vor Angriffen, Fehlern und Ausfällen sowie die reaktiven Maßnahmen zur Notfall- und Krisenbewältigung und Wiederherstellung.
Das Business Continuity Management hat gleich mehrere Werkzeuge im Köcher, um diese Transparenz herzustellen. Die Business Impact Analyse (BIA) hat die Identifikation zeitkritischer Geschäftsprozesse für die Notfallvorsorge zum Ziel. Gleichzeitig vermag sie aber auf Grund der prozessualen Herangehensweise eine hohe Transparenz über die Wertschöpfungsketten des Unternehmens schaffen. Nicht selten führt die BIA zu einer (Wieder-)Belebung des Prozessmanagements im Unternehmen und damit zu einer stärker prozess-, produkt- und serviceorientierten Sicht auf das Unternehmen. Im Rahmen der BIA werden zudem horizontale und vertikale Abhängigkeiten zwischen Prozessen und deren Ressourcen wie Personal, IT, Gebäude, Anlagen und Dienstleister identifiziert. Dieser Informationsverbund ermöglicht erst die Schaffung eines durchgehenden Sicherheitsniveaus für die kritischen Wertschöpfungsketten.
Im Rahmen des BCM Risk-Assessments werden Single-points-of-failures (SPOF) für die kritischen Geschäftsprozesse identifiziert. Risiken, die bislang nicht erkannt oder nicht richtig eingeschätzt wurden, können hierdurch minimiert werden. Notfall- und Krisenmanagementpläne versetzen das Unternehmen in die Lage, schnell und effektiv das definierte Mindestniveau der Produkte und Services für die Kunden wiederherzustellen.
BCM ist alleine nicht in der Lage, ein Unternehmen resilient und damit widerstandsfähig gegen alle internen und externen Bedrohungen zu machen. BCM schafft jedoch zentrale Grundlagen und ist ein wichtiger Baustein, gemeinsam mit den anderen Disziplinen, um die Widerstandsfähigkeit eines Unternehmens deutlich zu erhöhen und damit robuster gegen interne und externe Störungen zu machen.
