Kolumne Security Post: Ein Hoch auf das C

Liebes BCM

Heute wende ich mich an dich, du Fels in der Brandung, du Überlebenscoach. Natürlich gibt es dich auch in ausgeschriebener Form Business Continuity Management oder, etwas sperriger in Deutsch, Geschäftsfortführungsmanagement. Die Abkürzung mag ich trotzdem am liebsten, weil da das C für Continuity augenfällig im Zentrum steht. Und dort gehört es auch hin. Schliesslich dreht sich bei dir alles darum, im Notfall geschäftskritische Prozesse und Schlüsselfunktionen am Laufen zu halten oder schnellstmöglich wieder verfügbar zu machen.


Du kannst aber nur wirkungsvoll in Aktion treten, wenn Prozesse, Abhängigkeiten und Funktionen, die für das Unternehmen essenziell und damit überlebenswichtig sind, bekannt sind. Wenn mögliche oder zu erwartende Risiken und deren Auswirkungen eruiert sind und wenn auch die Möglichkeit unerwarteter und unwahrscheinlicher zukünftiger Ereignisse mit erheblichen Auswirkungen (Schwarze Schwäne) in Betracht gezogen wird. Du verlangst von Unternehmen also zunächst eine intensive Beschäftigung mit sich selbst und dem Thema Risiken. Dementsprechend nahe steht dir das Risikomanagement, aber auch zur Informations- und IT-Sicherheit und zur Corporate Governance bestehen enge Verbindungen. Unternehmen kommen nicht umhin, Risiken zu benennen und einzuordnen. Bei dir als BCM stehen dabei Risiken im Vordergrund, die die Existenz des Unternehmens gefährden könnten: Überschwemmungen in Produktionsanlagen, Feuer im Rechenzentrum, Lieferengpässe, eine Energiemangellage, Cyberangriffe oder Ähnliches.

Zu Beginn ist dein Aufbau eine Fleissaufgabe. Aus vielen kleinen Aspekten ist ein grosses Ganzes zu entwickeln. Das geht nicht im Alleingang und schon gar nicht isoliert. Das M für Management gehört daher zwingend zu dir, nicht nur in dieser Phase, sondern generell. Business Continuity, also du, will gemanagt werden und ist, dies nur nebenbei, auch einer Zertifizierung nach ISO 22301 ganz und gar nicht abgeneigt. Erst der Fleiss, dann die Belohnung. Es wird nämlich spannend, gilt es doch, Strategien und Pläne zu entwickeln, um die erwähnten Funktionen und Prozesse zu schützen und Abhängigkeiten zu hinterfragen. Das bedeutet, dass Kreativität und das Denken in Szenarien gefragt sind und dass Strategien die Hauptrolle spielen. Es kommt daher nicht von ungefähr, dass dein Ursprung ein militärischer ist. Bereits um 500 v. Chr. sollst du im wohl ersten Buch zum Thema Strategie, «Die Kunst des Krieges» von Sun-tzu, deinen ersten, historisch nachgewiesenen Auftritt gehabt haben.

Die beste Strategie nützt aber nichts, wenn sie nicht verstanden und verinnerlicht wird. Übung macht den Meister oder besser gesagt den erfolgreichen Krisenstab. Denn im Falle einer Notsituation fehlt etwas ganz bestimmt: Zeit, sich mit «Wer? Wo? Wann? Weshalb?» zu beschäftigen. Du merkst, ich habe mich deinem kongenialen Kollegen, dem Krisenmanagement, zugewendet, der nicht selten mit dir in einen Topf geworfen wird. Das ist zwar nicht falsch, weil das Krisenmanagement meiner Meinung nach ein fester Bestandteil von dir ist. Aber auch nicht ganz richtig, weil es deiner weit umfassenderen Bedeutung nicht gerecht wird. So oder so bin ich aber froh, dass du und/oder das Krisenmanagement in vielen Unternehmen angekommen sind.


Zum Schluss noch dies: Selbstoptimierung funktioniert in deinem Fall leider nicht. Um das Optimum aus dir herauszuholen, braucht es Menschen, die dich regelmässig fordern, überprüfen und weiterentwickeln, beispielsweise mit Audits, aber auch mit Table-Top-Übungen. Die Betonung liegt dabei auf regelmässig, wiederkehrend.

MfG Reto C. Zbinden