Technik für das Leben - Homeland Security

Logistik
Einher mit dem Themenkomplex Risikomanagement
geht immer auch das Thema
Kontinuitätsmanagement. In der Vergangenheit
wurden beide Bereiche im Hinblick
auf Forderungen aus der Finanzwelt (Kon-
TraG, BilMoG, Basel II, Solvency II oder Ma-
RISK) sehr stark auf finanzielle Risiken und
Sicherheitskriterien oder aber bezogen auf
IT-Kontinuitätsmanagement (BS25999) im
Hinblick auf IT-technische Notwendigkeiten
bewertet.
Ein erster Ansatz, diese Themen ineinander
zu überführen und einen größer gewählten
Rahmen des Risikomanagements umzusetzen,
bildet die ONR 49000, die auch als
Leitfaden zur Umsetzung der ISO 31000
verstanden werden kann. Beide beschäftigen
sich mit dem Risikomanagement als
Kernthema. Die Frage, ob Kontinuitätsmanagement
Teil des Risikomanagements ist
oder eher als eigenständiges Konzept verstanden
werden muss, ist dabei eine eher
philosophische. Risikomanagement ohne
eine Lösung zum Kontinuitätsmanagement
ist in jedem Fall wenig zielführend.
Problem der ISO 31000 ist, dass diese
Norm zur internen Organisation und Optimierung
vorgesehen ist, nicht aber zur
neutralen Überprüfung durch eine akkreditierte
Zertifizierungsstelle. Damit fehlt den
anwendenden Firmen die Möglichkeit, die
betriebliche umgesetzte Konformität zur
Norm Kunden und Geschäftspartnern gegenüber
nachzuweisen. Der wirtschaftliche
Nutzen, geprägt durch eine entsprechende
Außenwahrnehmung, ist daher eher gering.
Ein neuer Versuch, die Komplexität des
Risikomanagements in Verbindung mit dem
Kontinuitätsmanagement und der Unternehmenssicherheit
auf Basis einer ISO Norm
abzubilden, ist die ISO 22301:2012. In diesem
Fall eine Norm, die zur Zertifizierung
durch eine akkreditierte Zertifizierungsstelle
ausdrücklich vorgesehen ist.
Inhalte der ISO 22301:2012:
4 Kontext der Organisation
4.1 Verständnis der Organisation und ihres
Kontextes
4.2 Verständnis der Notwendigkeiten und
Erwartungen der Beteiligten
4.3 Festlegen des Rahmens des
Managementsystem
4.4 System des betrieblichen
Kontinuitätsmanagements
5 Führung
5.1 Allgemeines
5.2 Pflicht des Managements
5.3 Richtlinie
5.4 Rollen, Verantwortlichkeiten und Zuständigkeiten
im Unternehmen
6 Planung
6.1 Maßnahmen zur Bearbeitung und Nutzung
von Risiken bzw. Chancen
6.2 Ziele des betrieblichen Kontinuitätsmanagements
und Pläne, um diese zu
erreichen
7 Support
7.1 Ressourcen
7.2 Kompetenz
7.3 Bewusstsein
7.4 Kommunikation
7.5 Dokumentierte Information
8 Betrieb
8.1 Betriebliche Planung und Kontrolle
8.2 Geschäftsauswirkungsanalyse und
Risikoeinschätzung
8.3 Strategie für betriebliches
Kontinuitätsmanagement
8.4 Erstellen und Umsetzen von
verfahren des betrieblichen
Kontinuitätsmanagements
8.5 Ausübung und Prüfung
9 Leistungsbewertung
9.1 Überwachung, Messung, Analyse und
Bewertung
9.2 Internes Audit
9.3 Managementprüfung
10 Verbesserung
10.1 Nichteinhaltung und
Korrekturmaßnahmen
10.2 Kontinuierliche Verbesserung
Die Auflistung der wesentlichen Inhalte dieser
Norm macht deutlich, dass ein Schwerpunkt
auf den Komplex des Kontinuitätsmanagements
gelegt wurde.
Integriertes Managementsystem
Betrachtet man nun all diese Anforderungen,
Standards und Normen, stellt sich immer
wieder die Frage, wie soll das im Unternehmen
am besten umgesetzt werden. Das
ganze muss einfach genug sein, damit die
Mitarbeiter, von denen jedes System zum
Großteil getragen wird, es auch noch verstehen
und anwenden können.
Auf der anderen Seite muss es vollständig
sein, damit Audits durch Dritte erfolgreich
absolviert werden können.
Und letztlich muss es pflegbar sein und
48 | Homeland Security 2013