Business Continuity Management (BCM)

Nachteilig ist der mit dem BCM verbundene Aufwand. Der Aufwand ergibt sich insbesondere aus dem Zeitaufwand für Analysen, Dokumentationen oder Überprüfungen sowie den für externe Unterstützung anfallenden Kosten.

Wesentliche Hemmnisse bei der praktischen Umsetzung von BCM sind Zeitmangel im Tagesgeschäft und die fehlende Einsicht in die Notwendigkeit von BCM-Aktivitäten. Im betrieblichen Alltag fokussieren sich die Aufmerksamkeit und Ressourcen meist nur auf die akuten und tatsächlich vorhandenen Probleme. Die Betrachtung von theoretisch möglichen Ereignissen in der Zukunft, die unter Umständen sogar nur eine geringe Eintrittswahrscheinlichkeit haben, wird oft als nicht so wichtig oder sogar als Zeitverschwendung bewertet. Häufig kann nur der Eintritt eines Schadensereignisses diese Einstellung ändern. BCM setzt somit eine vorausschauende und strategische Überzeugung sowie verfügbare Kapazitäten, Mittel und Fähigkeiten im Unternehmen voraus.

Die ausführliche Auseinandersetzung mit negativen Szenarien kann ggf. Ängste bei den Teilnehmern hervorrufen und fördern. Andererseits bietet nur diese Auseinandersetzung die Chance, sich vor den Risiken zu schützen. Zudem können Unternehmen, welche besser als andere auf Krisen vorbereitet sind, gestärkt daraus hervorgehen und damit einen gewichtigen Wettbewerbsvorteil gewinnen.

Die sinnvolle praktische Umsetzung eines BCM muss sich an den betriebsspezifischen Rahmenbedingungen ausrichten. Hierbei sind unter anderem zunächst folgende Fragen zu klären:

• Welche externen Anforderungen (Gesetzgeber, Kapitalgeber, Öffentlichkeit) sollen bzw. müssen bei der Gestaltung eines BCM berücksichtigt werden?
• Welche internen Anforderungen (Ziele Unternehmensleitung) werden an das BCM gestellt?
• Wie hoch wird die Notwendigkeit und Bedeutung eines BCM für das Unternehmen bewertet?
• Welche Ressourcen (Mittel, Fähigkeiten) stehen im Unternehmen für BCM zur Verfügung?

Durch die Beantwortung dieser Fragen lässt sich entscheiden, ob die praktische Umsetzung eines BCM in Form eines formalen und zertifizierten Managementsystems oder in vereinfachter, betriebsspezifischer Form ohne Zertifizierung erfolgen soll.

Für die Realisierung eines BCM als normiertes Managementsystem existiert als international anerkanntes Regelwerk die ISO 22301, in der aktuellen Version von 2019 [10]. Die Norm beschreibt die Anforderungen an die Gestaltung eines BCM-Systems in Unternehmen für eine anerkannte Zertifizierung.

Unabhängig vom Formalisierungsgrad sind zur praktischen Umsetzung von BCM folgende Aufgaben bzw. Schritte zu erfüllen:

1. Initiierung von BCM
2. Identifikation Risiken
3. Analyse Risiken
4. Bewertung Risiken
5. Planung Maßnahmen
6. Umsetzung Maßnahmen
7. Überwachung und Verbesserung BCM

Sofern noch kein BCM im Unternehmen vorhanden ist, gilt es als erstes die Einführung eines BCM zu initiieren. Dies muss durch die Geschäftsführung erfolgen, welche die Ziele, Zuständigkeiten und verfügbare Ressourcen für das BCM definiert. Die Einführung sollte als Unternehmensprojekt erfolgen an dessen Ende die erste vollständige Dokumentation sowie Übergabe und Integration des BCM in die Aufbau- und Ablauforganisation des Unternehmens als Ergebnis steht.

Nach der Initiierung eines BCM Projektes gilt es, auf Basis einer betriebsspezifischen Prozess- und Risiko-Landkarte die kritischen, überlebenswichtigen Kernprozesse und die für das Unternehmen relevanten Risiken zu identifizieren. Dieser Schritt dient dazu, sich auf die richtigen und wichtigen Dinge zu konzentrieren und die Effektivität und Effizienz des BCM zu verbessern. Der Aufwand für die nachfolgende detaillierte Analyse und Bewertung von Risiken wird hierdurch maßgeblich beeinflusst.

Nach dem die wichtigsten Unternehmensprozesse sowie betriebsspezifischen Risiken identifiziert wurden, werden konkrete Szenarien für Schadensereignisse beschrieben und deren Auswirkungen auf Prozesse und Unternehmen im Detail analysiert. Wichtig ist hierbei insbesondere die Analyse von Ausmaß und Dauer von Betriebsunterbrechungen (BU-Analyse) in Abhängigkeit von den beschriebenen Schadensereignissen. Bei der Schadensanalyse lassen sich grundsätzlich Maximalschadensszenarien (PML – Probable Maximum Loss) und wahrscheinliche Schadensszenarien (EML – Estimated Maximum Loss) unterscheiden.

Für jedes beschriebene Schadensszenario ist eine Bewertung der Eintrittswahrscheinlichkeit sowie des betriebswirtschaftlichen Schadensausmaßes vorzunehmen. Bei der betriebswirtschaftlichen Schadensbewertung spricht man auch von der sogenannten Business Impact Analyse (BIA).

Aufbauend auf den Erkenntnissen von Analyse und Bewertung konkreter Schadensszenarien erfolgt eine zielgerichtete Planung von Maßnahmen. Dabei wird zunächst geprüft, welche Möglichkeiten zur präventiven Vermeidung oder Reduzierung bestehen und ob die Kosten hierfür im Verhältnis zum Nutzen stehen. Aufgrund der ermittelten Wahrscheinlichkeit und betriebswirtschaftlichen Kosten, liegt hierzu eine fundierte Entscheidungsbasis vor.

Für die »Rest-Risiken«, bei denen eine präventive Vermeidung oder Reduzierung nicht möglich oder nicht betriebswirtschaftlich sinnvoll ist, müssen Reaktionspläne erstellt werden. Dies sind Notfall-, Krisen-, Sanierungs- und Wiederanlaufpläne für konkret beschriebene Schadensereignisse. Ziel dieser Pläne ist es, die Betriebsunterbrechungszeit und Wiederherstellungskosten zu minimieren und das Schadensausmaß auf ein möglichst geringes Maß zu senken. Der dann noch verbleibende finanzielle Schaden kann ggf. ergänzend über Versicherungen abgesichert werden.

Die Ergebnisse und die Umsetzung der beschlossenen Maßnahmen sind im Rahmen eines kontinuierlichen BCM zyklisch zu überprüfen und falls erforderlich Korrekturen durchzuführen. Auch die Grundannahmen der Identifikation, Analyse und Bewertung sind in bestimmten Zeitabständen zu überprüfen, da sich die angenommenen Bedingungen verändern können. Umgesetzte Maßnahmen sowie Krisen- und Notfallpläne sind zudem auf ihre Wirksamkeit zu prüfen, was zum Beispiel durch Krisen-/Notfallübungen erfolgen kann.

BCM ist ein relativ junges Managementfeld, das erstmals 2012 als ISO-Managementsystem ISO 22301 international anerkannten Status bekommen hat.

Im Gegensatz zu einem allgemeinen Risikomanagement gemäß ISO 31000, detailliert und operationalisiert ein BCM konkrete Maßnahmen um die Betriebstätigkeit bei Eintritt von Schadensereignissen aufrecht zu erhalten bzw. wiederherzustellen. Wie wichtig dies ist, zeigen die vielen Insolvenzen und Einstellungen der Betriebstätigkeit nach Großschäden oder als Folge der Corona-Pandemie.

Während ein allgemeines Risikomanagement in Unternehmen sehr verbreitet ist, lässt sich das hier beschriebene BCM insbesondere in kleinen und mittelständischen Unternehmen (KMU) bisher nur selten vollumfänglich finden.

Studien und Veröffentlichungen haben häufig ein »wertorientiertes Risikomanagement«, zum Inhalt, das stark auf finanzielle Ziele und Risiken ausgerichtet ist [2, 3, 9]. Dies zeigt sich auch darin, dass Aufgaben hierzu im Schwerpunkt durch das Controlling oder Rechnungswesen wahrgenommen werden. Diese Funktionen verfügen erfahrungsgemäß nicht über ein detailliertes Prozess- und Fachwissen in den für ein BCM maßgeblichen, existenziellen Kernprozessen der betrieblichen Wertschöpfung (Beschaffung, Produktion, Vertrieb, Kundendienst). Dies ist jedoch für eine realistische und praxisgerechte Einschätzung, Analyse und Bewertung von Risiken sowie die erfolgreiche Planung und Umsetzung von BCM-Maßnahmen von besonderer Bedeutung.

Als zuständiger Funktionsbereich für ein BCM bietet sich insbesondere das Industrial Engineering an. Dessen Aufgaben umfassen die Analyse, Planung, Gestaltung und Optimierung von Management-, Kern- und Unterstützungsprozessen im Rahmen des betrieblichen Produktivitätsmanagements [7]. Damit verfügt dieser Bereich über die benötigten Kompetenzen, das notwendige praktische Prozesswissen und die erforderlichen Daten für die praktische Umsetzung von BCM.

Die Corona-Pandemie zeigt, dass Unternehmen mit Krisen und existenzbedrohenden Ereignissen konfrontiert werden.

Durch die Globalisierung, digitale Vernetzung sowie politischen, gesellschaftlichen und ökologischen Wandel, haben sich die Risiken für Unternehmen verändert und werden dies in Zukunft auch weiterhin tun (z. B. Klimawandel und Digitalisierung).

Unternehmen müssen sich diesen Veränderungen und daraus ergebenden Risiken stellen und ihnen mit organisationaler Resilienz begegnen, wenn sie ihre Existenz nachhaltig sichern wollen.

BCM kann als Teil eines ganzheitlichen, nachhaltigen Produktivitätsmanagements [5, 6] angesehen werden. Durch BCM wird die Unternehmensproduktivität stabilisiert und trotz auftretender Störgrößen langfristig und damit nachhaltig gesichert. Dies ist deshalb von Bedeutung, weil Konjunkturzyklen, Krisen und ein Wandel des technischen, wirtschaftlichen und sozialen Umfeldes immer wieder auftreten und stabile Phasen nur noch von zunehmend begrenzter Dauer sind. BCM kann in diesem Umfeld den Unternehmen Sicherheit, Stabilität, Orientierung und damit Widerstandsfähigkeit (Resilienz) geben. Die aktuellen Entwicklungen deuten darauf hin, dass dies in Zukunft für Unternehmen an Bedeutung gewinnen wird.

[1] Allianz (2020). Allianz Risk Barometer – Identifying The Mayor Business Risks for 2020. Abgerufen am 30.04.20 unter: www.agcs.allianz.com/content/dam/onemarketing/agcs/agcs/reports/Allianz-Risk-Barometer-2020.pdf

[2] BDI (2011). Risikomanagement 2.0 – Ergebnisse und Empfehlungen aus seiner Befragung in mittelständischen deutschen Unternehmen. Abgerufen am 30.04.20 unter: www.risknet.de

[3] Funk RMCE GmbH et.al. (2011). Risikomanagement im Mittelstand – Benchmarkstudie zu Stand und Perspektiven des Risikomanagements in Unternehmen. Abgerufen am 29.04.20 unter: www.funk-gruppe.de/de/news/mediathek/studien/studie-risikomanagement-im-mittelstand/

[4] Dörner D, Horvath P (2000). Praxis des Risikomanagements. Schäffer-Poeschel-Verlag Stuttgart, 2000

[5] Eisele O, Jeske T (2019) Ganzheitliches Produktivitätsmanagement in der vernetzten Produktion. In: Riedel R (Hrsg) Die hybride Fabrik – menschliche und künstliche Intelligenz im Einklang. VPP2019 – Vernetzt planen und produzieren. Wissenschaftliche Schriftreihe des Institutes für Betriebswissenschaften und Fabriksysteme, Sonderheft 25, Tagungsband. TU Chemnitz, Chemnitz

[6] Eisele O (2019) Nachhaltiges Produktivitätsmanagement – Mehr Klimaschutz und Wohlstand. Zahlen | Daten | Fakten. ifaa – Institut für angewandte Arbeitswissenschaft. www.arbeitswissenschaft.net/zdf-nachhaltiges-produktivitaetsmanagement

[7] Eisele O (2020) New Industrial Engineering – Garant für den Betriebserfolg in neuen Arbeitswelten. Zahlen | Daten | Fakten. ifaa – Institut für angewandte Arbeitswissenschaft. www.arbeitswissenschaft.net/ZDF_New_IE

[8] Gabler Online-Wirtschaftslexikon (2020) Risikomanagement – Definition: Was ist »Risikomanagement?«. Abgerufen am 15.05.2020 unter: wirtschaftslexikon.gabler.de/definition/risikomanagement-42454

[9] Gossler, Golbert & Wolters Gruppe (2016): Mittelstand zögert bei der Einführung von Risikomanagement – Risikomanagement-Studie 2016. Abgerufen am 05.05.20 unter: www.smr-gmbh.de/pdf/Risikomanagement-Studie_2016.pdf

[10] ISO 22301 (2019): Security and resilience – Business continuity management systems – Requirements