Notfallpläne und Notfallmanagement ist in Corona Zeiten in aller Munde. Aber was bedeutet dies überhaupt?
Beim Notfallmanagement oder auch Business Continuity Management handelt es sich um einen Spezialbereich des Risikomanagements. Ziel ist es die betrieblichen
Prozesse robust und resilient auszugestalten, um auch in kritischen Situationen handlungsfähig zu bleiben. Der reibungslose Geschäftsbetrieb wird durch unterschiedliche Maßnahmen aufrechterhalten bzw. möglichst schnell wiederhergestellt. Gängige Standards wie der BSI-Standard 100-4 oder der ISO-Standard 22301 legen hierbei einen Schwerpunkt auf Notfälle und Krisen. In der Praxis ist es oftmals sinnvoll den Umgang mit Störungen in die Betrachtung einzuschließen. Der Übergang zu Notfällen und Krisen oder sogar Katastrophen ist oftmals fließend. Nicht selten entwickelt sich ein kleiner Fehler durch die Kombination "unglücklicher Umstände" oder fehlender Pläne zu einem Notfall oder einer unternehmerischen Katastrophe.
Unternehmen und Organisationen gehen sehr unterschiedlich mit dem Thema Notfallmanagement um. Häufig finden Initiativen zum Umgang mit Gefahrensituationen in unterschiedlichsten Abteilungen statt:
- Die IT kümmert sich um den Ausfall von IT-Systemen, Informationstechnik und Rechenzentren
- Die Immobilienabteilung oder Gebäudetechnik entwickelt Checklisten zur Meldung von Schäden in der Klimatechnik oder trifft Vorkehrungen für den Gebäudeschutz
- In der Arbeitssicherheit und im Gesundheitsschutz werden Maßnahmen für Krankheiten oder Betriebsunfälle definiert
- Die Kommunikationsabteilung und Öffentlichkeitsarbeit legt Vorgehensweisen für den Umgang mit der Presse oder die Reaktionen beim nächsten "Shitstorm" fest
- Reisesicherheit auf Dienstreisen ist Sache der Personalabteilung
- "Irgendwo in der Verwaltung" existieren Notfallpläne aus längst vergangener Zeit
Und zusätzlich zu diesen Plänen in gibt es noch unterschiedliche Vorgaben und Checklisten der Fachabteilungen, die sich um Lieferanten-, Logistik, Produktions- oder
Vertriebsausfälle kümmern. Die Vorgehensweisen unterscheiden sich in der Methode und im Detaillierungsgrad. Oftmals sind Prozesse nicht mehr aktuell und die Mitarbeiter, die "irgendwann" mal "irgendwas" gemacht haben stehen nicht mehr zur Verfügung.
Aber wer ist denn wirklich verantwortlich? Wer kümmert sich um die Vereinheitlichung? Und wer stellt sicher, dass die Pläne im Ernstfall auch aktuell und
auffindbar sind?
Wir empfehlen einen zentralen Verantwortlichen zu definieren, der in der die Pläne über Prozesse und Fachabteilungen hinweg erarbeitet. Nur so wird die Zusammenarbeit über
die unterschiedlichen Fachabteilungen sichergestellt. Es geht nur gemeinsam.
Für jedes Unternehmen ist es wichtig, sich rechtzeitig mit elementaren Gefahren und Risiken auseinanderzusetzen und die Auswirkungen auf Abläufe zu analysieren. Zu
Beginn eins BCM-Projekts gilt es Zuständigkeiten und Verantwortlichkeiten zu klären. Eine sorgfältige Bestandsanalyse und die Definition der Schnittstellen sind
in jedem Fall hilfreich.
Die gängigen Standards von ISO (z.B. 22301) oder der BSI Grundschutz 200-4 sind sicherlich gute Orientierung und für die Erschließung des Themas hilfreich. Sie enthalten eine gute Hilfestellung bei der Einführung des Business Continuity Management System (BCMS).
Dennoch gilt es die Empfehlungen kritisch zu prüfen und für das eigene Unternehmen passend zu machen. Gutes Notfallmanagement hilft dem Unternehmen - und lähmt es nicht. Zu erfolgreichen Projekten gehört auch der Mut Dinge wegzulassen oder möglichst "schlank" zu gestalten. Die besten, umfangreichsten, sichersten Systeme sorgen nicht immer für größten Nutzen bei den Fachabteilungen. Gute Lösungen müssen nicht kompliziert sein.
Im ersten Schritt wird das Projekt aufgesetzt und ein für das Unternehmen passende Vorgehen erarbeitet. Die Methoden, der Umfang und der Schwerpunkt des Projektes
werden festgelegt. Stakeholder sind ziel-gruppenspezifisch einzubinden. Diese Phase ist entscheidend für den Projekterfolg. Folgende Fragen helfen dabei:
- Was sind unsere Ziele?
- Was gibt es schon?
- Wer ist verantwortlich für Methode, Ausgestaltung und Umsetzung?
- Welche Bereiche sollen betrachtet werden?
- Wer wird benötigt und wie setzen wir das Projekt auf?
Im zweiten Schritt werden die kritischen Prozesse identifiziert. Mit Hilfe von einfachen Kriterien wird eine Risikobewertung vorgenommen:
- Was sind die kritischen Prozesse?
- Was in der Theorie einfach klingt scheitert in der Praxis häufig schon daran, dass kein verlässliches Prozessmodell existiert. Aber auch hier gibt es einfache Lösungen.
- Wie definieren wir kritisch?
- Welche Auswirkung hat eine Störung im Ablauf? (z.B. finanziell, rechtlich, Image, betrieblich)?
- Welche Ressourcen werden für die korrekten Abläufe benötigt (Personal, Informationen, IT, Dienstleistungen,)?
In Zusammenarbeit mit dem Risikomanagement, dem Controlling, der Fachabteilung oder einem externen Dienstleister werden die Risiken und Gefährdungen ermittelt. Mit
Blick auf Gefährdungen der IT liefert auch hier der Grundschutzkatalog des Bundesamt für die Sicherheit in der Informationstechnologie (BSI) eine gute Hilfestellung.
- Welche Gefahren und Gefährdungsszenarien sind relevant?
- Welche Maßnahmen sind bereits implementiert?
- Was ist Ursache? Was ist Wirkung?
Im Anschluss an die Risikoanalyse werden Notfallpläne für relevante Gefährdungs- und Bedrohungs-Szenarien erstellt. So wird ein möglichst reibungsloser Notbetrieb und die Rückkehr in den Normalbetrieb geplant. Vorbeugende Strategien zur Vermeidung des Risikos werden erarbeitet.
Wichtig ist die jeweilige Empfängergruppe im Blick zu behalten und die Verfügbarkeit der Pläne auch im Notfall sicherzustellen. Zur Vereinfachung werden einzelne Szenarien zusammengefasst sowie übergreifende Kommunikations- und Entscheidungsszenarien festgelegt.
- Wer macht was?
- Wer muss informiert werden (z. B. Unternehmenskommunikation, Behörden, Vorgesetze, Zentrale)?
- Wer kann unterstützen?
- Wer trifft Entscheidungen?
- Wie sind die Abläufe?
Abgestimmte Pläne helfen bei der Vorbereitung und Prävention, sorgen für Sicherheit bei den Mitarbeitern und sind nahezu unerlässlich dafür auch in Stresssituationen
richtig und rechtssicher zu agieren.
Nur in der Schublade liegende Notfallpläne helfen keinem weiter. Pläne müssen allen Beteiligten bekannt und kommuniziert sein. Über Tests wird sichergestellt,
dass diese auch außerhalb der regulären Bürozeiten und am Wochenende funktionieren.
- Wie ist die Erreichbarkeit sichergestellt?
- Welche Infrastruktur wird für den Notbetrieb benötigt?
- Welche Fallback-Lösungen gibt es, wenn im Notfall weder Strom- noch Telefonnetze zur Verfügung stehen?
Durch Kommunikation und Schulung des BCM-Konzepts werden Mitarbeiter der einzelnen Fachabteilungen auf die Notfall-Themen sensibilisiert. Übungen und Tests helfen dabei Unklarheiten und Unstimmigkeiten in den Abläufen aufzudecken und noch einfachere Lösungen zu finden.
Feedback aus der Praxis, Erfahrungen aus Tests aber auch die "lessons learned "aus Live-Vorfällen sind zu dokumentieren und in die Pläne einzuarbeiten. Kontinuierliche Verbesserung gehört zum Notfallmanagement – wie zu jedem guten Managementsystem.
Wer zudem sein Notfallmanagement zertifiziert ist nicht nur gut vorbereitet. Er ist auch in der Lage die robusten und sicheren Prozesse auch gegenüber Externen nachzuweisen. So steigert eine Zertifizierung das Vertrauen von Geschäftspartner, Kunden und Versicherungen. Die Leistungsfähigkeit des Unternehmens wird sichergestellt und bestätigt.
