3 Fehler, die Sie in Ihrer Business Impact Analyse vermeiden sollten

Abstrakt: Der Artikel beschreibt 3 häufige Fehler bei der Durchführung von Business Impact Analysen.

Gerade seit den zahlreichen globalen Herausforderungen der letzten Jahre, wird es für mehr und mehr Unternehmen unerlässlich, ein Business Continuity Management (BCM) aufzubauen, um auch in besonderen Notfall- und Krisensituationen handlungsfähig zu bleiben. Ein wichtiger Baustein im BCM ist die Business Impact Analyse (BIA), die dazu dient, die Auswirkungen von Ausfallzeiten von Prozessen zu identifizieren und Prioritäten in der Notfallvorsorge zu setzen

en. Doch gerade bei der Durchführung der BIA gibt es einige Fehler, Irrtümer und Fallstricke, die vermieden werden sollten. Im Folgenden möchte ich drei dieser Punkte erläutern.

1. Die BIA als Selbstzweck

Einer der häufigsten Fehler bei der BIA-Durchführung ist eine unklare Zielsetzung. Eine BIA gehört zu jedem ordentlichen BCM, so wird es gelehrt, so sagen es die einschlägigen Standards und so wird es eben in vielen Unternehmen schon immer gemacht. Die Gefahr ist hierbei groß, die BIA ihrer selbst willen durchzuführen, ohne dies kritisch zu hinterfragen. Bevor die eigentliche Analyse durchgeführt wird, sollte deshalb klar definiert werden, welche Ziele die Analyse verfolgt. Welche Geschäftsbereiche müssen überhaupt betrachtet werden oder können auch aus dem Geltungsbereich, auch Scope genannt, ausgeschlossen werden? Welche Informationen sollen konkret erhoben werden und wofür benötigen wir diese? Ohne klare Zielsetzung können die Ergebnisse der BIA ungenau und wenig aussagekräftig sein oder es werden mit großem Aufwand zahlreiche Daten erhoben, die eigentlich überhaupt nicht notwendig sind. Muss ich etwa für jede Abteilung das Personal im Normalbetrieb erheben, wenn mich am Ende nur das Notbetriebspersonal interessiert? Weshalb erhebe ich minutiös die Schadensentwicklung im Zeitverlauf, wenn mich letztlich nur der Schwellwert interessiert, ab dem die Auswirkungen besonders schwerwiegend sind? Fragen dieser Art sollte sich jeder BC-Manager stellen und die BIA nach dem Prinzip „so viel wie nötig, so wenig wie möglich“ aufbauen. Denn für die BIA als reine Übung und Selbstzweck ist unsere Zeit und die der Fachbereiche an anderer Stelle besser investiert.

2. Über- oder Unterschätzung der Auswirkungen

Ein weiterer häufiger Fehler bei der BIA-Durchführung ist eine Über- oder Unterschätzung der Auswirkungen von Ausfallzeiten. Wenn die Auswirkungen überschätzt werden, kann dies dazu führen, dass unnötige Kosten für die Notfallvorsorge zur Wiederherstellung der Prozesse entstehen.

Werden die Auswirkungen hingegen unterschätzt, können im Ernstfall wichtige Prozesse nicht rechtzeitig wiederhergestellt werden.

Meiner Erfahrung nach kommt es dabei häufiger zu einer Überschätzung der Auswirkungen eines Prozessausfalls. Das kann daran liegen, dass jeder Fachbereich seine Prozesse (naturgemäß) als sehr wichtig beurteilt. Die Frage „Kann das im Zweifel auch mal 7 Tage liegen bleiben?“ zu bejahen, scheint für manche Prozessverantwortliche ihre Daseinsberechtigung in Frage zu stellen. Oder es besteht die Sorge, im Vergleich zu anderen Abteilungen als weniger wichtig und präsent im Unternehmen dargestellt zu werden. Dem kann im Vorfeld bereits entgegengewirkt werden, indem die Methode und Ziele der BIA einfach und klar präsentiert werden, um dem Fachbereich zu vermitteln, dass Wichtigkeit und Zeitkritikalität zwei verschiedene paar Schuhe sind. Ein weiteres Phänomen ist die Bewertung von Prozessen in Relation zueinander, anstatt anhand einer absoluten Größe. Wenn ich etwa mit dem Bereichsleiter Personal sämtliche Personalprozesse des Unternehmens bewerte, wird es natürlich auch hier einige Prozesse geben die zeitkritischer sind als andere (z.B. Gehaltszahlungen durchführen vs. Personalentwicklung durchführen). Setzt man den Vergleichsrahmen jedoch größer und vergleicht diese mit Produktions- oder Vertriebsprozessen, so erscheint auch der kritischste Personalprozess auf einmal wieder in einem anderen Licht. Eine einheitliche und vergleichbare Bewertung über alle Unternehmensbereiche gelingt dann, wenn wir den Verantwortlichen eine Schadensmatrix mit verschiedenen Kategorien (z.B. finanzielle Schäden, Image- & Reputationsschäden etc.) und Abstufungen als Hilfsmittel an die Hand geben. Außerdem liegt es in der Aufgabe des BC-Managers am Ende alle Einzelbewertungen aus den verschiedenen Bereichen im Gesamtbild auf Plausibilität zu prüfen und bei Bedarf eine Umpriorisierung per Top-Down Ansatz vorzunehmen bzw. durch das Management vornehmen zu lassen.

3. Unzureichende Dokumentation – auf die Begründung kommt es an

Es ist wichtig, dass die Ergebnisse der BIA ordnungsgemäß dokumentiert werden, um sicherzustellen, dass sie aktuell bleiben und bei Bedarf aktualisiert werden können. Eine Selbstverständlichkeit, denken Sie sich vielleicht gerade. Sie haben immerhin ihre ausgefüllten BIA-Fragebögen in Excel oder sogar in einem Tool, sämtliche Prozesse sind mit maximalen Ausfallzeiten hinterlegt. Doch was hierbei aus meiner Sicht nicht vernachlässigt werden sollte, ist die Dokumentation von qualitativen Angaben. Hiermit meine ich insbesondere die Begründung in Textform, weshalb der Prozessausfall genau zu dieser Zeit kritisch wird. Was sind konkret die Folgen und zu erwartenden Schäden? Häufig werden diese zwar im Gespräch ausführlich diskutiert, jedoch nicht schriftlich festgehalten. Zugegeben, es kostet Disziplin und kann mühsam sein sich die Zeit zu nehmen, um eine kurze aber prägnante Begründung zu verfassen. Doch die Arbeit zahlt sich aus. Können Sie bei hunderten Prozessen noch sagen, warum welcher Prozess als kritisch eingestuft wurde? Und damit meine ich nicht lediglich die Information „aus finanziellen Gründen“ oder „drohende Imageschäden“, die rein aus der Schadenskategorie abgeleitet sind. Wem auch immer sie die BIA Ergebnisse präsentieren - es empfiehlt sich derartige Rückfragen kompetent beantworten zu können. Im Zweifel sind Sie es, der vor der Geschäftsleitung begründen muss, weshalb ein bestimmter Prozess als derart kritisch eingestuft wurde. Spätestens aber wenn es an die Aktualisierung der BIA im nächsten Zyklus geht, werden Sie – oder Ihr Nachfolger – und auch die Fachbereiche überaus dankbar über eine für Dritte nachvollziehbare Argumentation sein. Diese erspart Unsicherheiten und Rätselraten über frühere Bewertungen und hilft damit ungemein bei der Aktualisierung.

Vergegenwärtigen und Umschiffen Sie bei Ihrer nächsten Impact Analyse diese drei „Fehler“ und Sie haben bereits vieles richtig gemacht!

Haben Sie Fragen oder Unterstützungsbedarf zur Durchführung Ihrer BIA? Wir beraten Sie gerne individuell zu Ihrem Anliegen im BCM. Kontaktieren Sie uns gerne für ein unverbindliches Erstgespräch unter:Info@DigitalShepherd.de