BCM – der neue ISO-Standard - müller-gauss consulting

55BCM-Lebenszyklus gemäss GoodPractice Guidelinestätsmanagements. Diese Phase wird alskritisch eingestuft, da die Definition derstrategischen Ziele und Leitprinzipiendas Fundament für das BCM bildet. DieBusiness-Continuity-Ziele müssen u.a.:−−konsistent sein mit der Business-Continuity-Strategie (Policy)−−messbar sein−−anwendbare Anforderungen beachten−−überwacht und gegebenenfallsaktualisiert werdenRessourcenDer nächste Baustein beschäftigt sich mitder Unterstützung des BCM durch adäquateRessourcen. Das nachhaltige Managementeines wirksamen BCM basiertauf einem soliden Fundament angemessenerRessourcen. Diese beinhalten u.a.qualifiziertes Personal, unterstützendeDienstleistungen, ein gelebtes Risikobewusstseinsowie eine zeitgemässe Kommunikation.In diesem Kontext spielt vorallem die interne wie auch die externeKommunikation eine grosse Rolle. Auchdie Anforderungen an die Erstellung, dieAktualisierung und die Kontrolle derBCM-Dokumentation sind Bestandteildieses Moduls.Nach der Planung des betrieblichenKontinuitätsmanagements muss eine Organisationdas BCM-System aufbauenund in Betrieb nehmen. Dazu haben sichdie folgenden Module bewährt:Business Impact Analysis (BIA): Hierbeihandelt es sich um eine Methode zurSammlung und Identifizierung von kritischenProzessen und Funktionen innerhalbeiner Organisation (siehe Impact-Kriterien im Kasten), um die den Prozessenzugrunde liegenden Ressourcen zu erfassen.Des Weiteren können durch eine BIAwechselseitige Abhängigkeiten zwischenProzessen resp. Unternehmensbereichenaufgezeigt, die Auswirkungen bei Ausfällenvon Prozessen, die Kritikalität jedesProzesses und die benötigte Wiederanlaufzeitaufgedeckt werden.Risikobeurteilung (RA): Die ISO 22301referenziert auf den internationalen Risikomanagement-StandardISO 31000. DieISO 31000 weist drei spezifische Merkmaleauf: Es handelt sich erstens um einenumfassenden Top-down-Ansatz, zweitenswird Risikomanagement als Führungsaufgabedargestellt und drittenshandelt es sich um eine allgemein gehalteneBasis-Norm.Business-Continuity-Strategie (BCS):Nachdem die Anforderungen über die BIAund die Risikobeurteilung erfasst wordensind, müssen Überlebensstrategien entwickeltwerden, um Massnahmen zu identifizieren,welche es der Organisation erlauben,auf der Basis ihrer Risikotoleranzsowie Risikotragfähigkeit und innerhalbfestgelegter Ziele für die Wiederherstellungszeitkritische Prozesse zu schützenresp. wiederherzustellen. Dabei ist dieBCM-Strategie auf die gesamte Geschäftsstrategieauszurichten und ist als ein integralerBestandteil der Unternehmensstrategiezu verstehen.Business-Continuity-Verfahren(BCP): Die Organisation muss Verfahrendokumentieren, um die Kontinuität vonAktivitäten und das Management vonBetriebsunterbrechungen sicherzustellen.Diese Verfahren müssen:−−einen angemessenen Plan für dieinterne und externe Kommunikationfestlegen−−−−−−−−−−flexibel sein, um auf unerwarteteBedrohungen und sich veränderndeinterne und externe Bedingungenantworten zu könnenspezifisch sein hinsichtlich derkonkreten Schritte, die anlässlicheiner Betriebsunterbrechung zuerfolgen habenauf Auswirkungen von Ereignissenfokussieren, die möglicherweise denBetrieb unterbrechen könntenentwickelt werden auf der Basis derAnalyse von Wechselwirkungen undwirksam sein bei der Minimierungvon Folgen durch die Implementierungvon angemessenen Strategienzur SchadensminderungÜben und Testen: Um sicherzustellen,dass die Business-Continuity-Pläne(BCP = Notfallpläne) mit den Business-Continuity-Zielen konsistent sind, hatdie Organisation sie regelmässig zu testen.Üben und Testen sind die Prozessezur Bestätigung von Business-Continuity-Plänen,um zu gewährleisten, dass diegewählten Strategien sicherstellen, innerhalbder durch das Management bestimmtenZeitfenster Antworten undWiederherstellungsergebnisse zu liefern,und so das Überleben der Organisationgarantieren.Pflege: Sobald das BCM-System implementiertist, ist das System ständig zuüberwachen und periodisch zu überprüfen,um seinen Betrieb laufend zu verbessern/zuoptimieren:−−Messen der Leistung von Prozessen,Verfahren und Funktionen, diekritische Prozesse schützen−−−−−−Überwachung der Übereinstimmungmit dem Standard und denBusiness-Continuity-ZielenÜberwachung der historischenErfahrungen einer mangelhaftenLeistung des betrieblichenKontinuitätsmanagementsAusführung von regelmässigeninternen AuditsFazit: «Alter Wein in neuenSchläuchen»Der neue ISO-Standard 22301 ist auf derBasis der BS 25999 entwickelt worden,was allen bisherigen Anwendern derGood Practice Guidelines (GPG siehe Abbildung2) von BCI die Gewissheit gibt,auch in Zukunft mit den neuen ISO-Standards konform zu sein. n­uwe müller-gaussist geschäftsführender Inhaber der aufSicherheit, Risiko-, Krisen- und KontinuitätsmanagementspezialisiertenMÜLLER-GAUSS CONSULTING in Hinwil.Über 20 Jahre Erfahrung bei der Realisierungvon Security- & Risk-Management-Strategien, Notfall- und Evakuierungsorganisationenund Führungsinstrumentefür das Kontinuitätsmanagement (BCM).5/12