Business-IT
12.05.2020
Business Continuity Management (BCM)
1. Teil: „The show must go on - auch in der Krise“

The show must go on - auch in der Krise

Business Continuity Management (BCM)Business Continuity Management (BCM)Business Continuity Management (BCM)
Garagestock / shutterstock.com
Ob Cyberangriff oder Corona-Pandemie - wie reagiert man auf solche Ereignisse? Die aktuelle Situation stellt alle vor besondere Herausforderungen.
  • Business Continuity: Ein solcher Prozess muss immer wieder auf den Prüfstand und angepasst werden.
    Quelle:
    Marco Schulz
Es ist sicher kein Geheimnis, dass Prävention stets besser ist als Reaktion. Dennoch machen sich viele Unternehmen wenig Gedanken, wie man auf Krisen reagieren kann. Man muss dabei nicht sofort alle Details berücksichtigen, um für alle Eventualitäten gewappnet zu sein. Selbst die jüngste Geschichte zeigt an vielen Beispielen, dass, so schlimm und unerwartet ein Ereignis im ersten Moment auch erscheinen mag, nicht gleich die Welt davon untergeht. Es gibt immer ein Danach. Das bedeutet auch, dass jede Bedrohung auch Chancen mit sich bringt.
Wichtigster Grundsatz bei allen Überlegungen ist es, in Krisen möglichst viele Handlungsmöglichkeiten aufrechtzuerhalten. Das gilt nicht nur für die gegenwärtige Pandemie, auch das Platzen von Finanzblasen, Terroranschläge und Umweltkatastrophen sind eindrückliche Beispiele. Wer hätte ein Ereignis wie den 11. September und dessen Folgen vorhersagen können? Wie also kann man den eigenen Handlungsspielraum so weit wie möglich beibehalten?

Wenig Spielräume

Betrachten wir zunächst die Konsequenzen vollständig durchoptimierter Systeme. Auch hierzu gibt es ein Beispiel: Ende der 1990er-Jahre kam es in der deutschen Automobilindustrie zu einem unfreiwilligen Produktionsstopp. Dieser wurde von streikenden italienischen Kraftfahrern verursacht. Weil die Kosten der Lagerhaltung nahezu auf null reduziert worden waren und die Zulieferung sämtlicher Teile in Echtzeit erfolgte, fehlten schlichtweg notwendige Teile, um die Fahrzeuge verkaufsfertig komplettieren zu können. Mit einer durchdachten Vorratshaltung wären die Auswirkungen des Streiks weniger kritisch verlaufen. Reserven erlauben es zudem, auch kurzfristige Schwankungen im Markt zu glätten. Neben der Überbrückung von Engpässen lassen sich so hervorgerufene Preissteigerungen ebenfalls leichter abfangen.
Reserven können je nach Branche verschiedene Bedeutungen haben, aber auch hier gibt es eine gemeinsame Konstante: Liquidität. Erfahrungsgemäß werden in einer Krise die Einnahmen beziehungsweise Gewinne aus verschiedenen Gründen zurückgehen. Auch darauf sollte man vorbereitet sein.
Das wichtigste Kapital - nicht nur in der Software-Industrie, um die es hier vorrangig geht - ist die Belegschaft. Ist man gezwungen mangels fehlender Einnahmen Personalfreisetzungen vorzunehmen, zerstört dies eingespielte Entwicklungsteams, die nach einer Krise nur durch erneute Investitionen in Schulungen und Ähnliches wiederhergestellt werden können. Dies könnte sich allerdings als schwierig erweisen. Wenn bereits in der Krise sämtliches Kapital aufgebraucht wurde, woher sollen nach deren Bewältigung die Gelder für die Investitionen kommen?
Praxisbeispiel I: Mob Programming
Ein recht neues Paradigma für kleine Entwicklungsteams von bis zu fünf Personen ist das Mob Programming. Hier arbeiten die Gruppenmitglieder von zu Hause aus per Videokonferenz zusammen.
Viele Ideen wurden dem sogenannten Pair Programming entnommen und weiterentwickelt. In einer Rotation von 30-minütigen Sessions arbeitet exakt ein Entwickler am Code und führt die Änderungen aus, die ihm von den restlichen Entwicklern aufgetragen werden. Sicher mag der geneigte Controller die Frage stellen, wieso man bis zu fünf Leute benötigt, um eine einzige Implementierung umzusetzen. Schließlich geht dies mit einer Vervielfachung der Entwicklungskosten einher.
Was bei dieser Betrachtungsweise allerdings nicht berücksichtigt wird, ist zum einen der Aspekt der Qualitätskontrolle, die sonst nachgelagert durchlaufen wird. Es handelt sich also um eine Parallelisierung der Arbeitsschritte. Zum anderen spielt der Gedanke der Ausbildung eine wichtige Rolle. Erfahrungsgemäß haben nicht alle Entwickler den gleichen Kenntnisstand. In einer Gruppe, die Mob Programming praktiziert, kann ein Neuling sehr zügig auf ein hohes produktives Niveau gebracht werden, ohne dass zusätzlich Ressourcen bereitgestellt werden müssen. Zudem ist das Wissen über alle Teammitglieder gleichmäßig verteilt. Jeder kennt alle Aspekte der aktuellen Tätigkeiten. Ausfälle durch Krankheit oder das Ausscheiden aus dem Unternehmen werden direkt kompensiert und haben keine drastischen Auswirkungen auf den Arbeitsfortschritt.
Natürlich gibt es bei einer solchen Arbeitsweise auch Nebeneffekte, die es zu berücksichtigen gilt. So ist etwa auf eine regelmäßige Rotation der Teammitglieder zu anderen Entwicklungsteams zu achten, damit sich kein Inselwissen herausbildet. Auch ist es zwingend notwendig, dass alle Beteiligten Disziplin an den Tag legen und sich auf gemeinsame Arbeits- und Pausenzeiten einigen.
2. Teil: „Digitale Transformation“

Digitale Transformation

  • Abgesehen von der Corona-Krise: Wie viele Buchungen diesem Reisebüro wohl aufgrund des ausgefallenen Werbe-Displays entgehen?
    Quelle:
    Marco Schulz
Der Begriff Digitalisierung wird mittlerweile inflationär verwendet, was man unter anderem daran erkennt, dass ihn Politiker oft zusammenhanglos in ihre Äußerungen einbauen. Ähnlich verhielt es sich Ende der 1990er-Jahre mit dem papierlosen Büro, hier wurden gute Ideen durch Überregulierung und Ignoranz kaputtgetreten. Um den Erfolg eines Unternehmens aufrechterhalten zu können, ist es notwendig, die Organisationsstruktur für Veränderungen offen zu halten.
Das führt zu einer weiteren Erkenntnis: Organisationen, deren Führungsebene keine technischen Zusammenhänge verstehen kann und darauf aufbauend Entscheidungen trifft, sind langfristig nicht zukunftsfähig.
Man sollte sich die Frage stellen, ob es immer erst extremer Situationen wie des Corornavirus bedarf, um auch unkonventionelle Ideen zuzulassen. So sind etwa die technologischen Voraussetzungen für Heimarbeit in der Software-Industrie vollständig vorhanden. Auch Aspekte der Sicherheit wurden ausführlich berücksichtigt. Virtuelle Maschinen, die in sich geschlossen sind und dennoch Zugriff auf die Infrastruktur der einzelnen Entwicklungsabteilungen haben, bilden hier den Einstiegspunkt, um Homeoffice erfolgreich einzuführen. Spezialisten, die beratend eine solche Transformation begleiten können, wird man allerdings kaum über Stellenausschreibungen bei Gulp, Xing oder ähnlichen Portalen finden.
Es wird auch nicht funktionieren, wenn das Management enthusiastisch verkündet, dass ab kommendem Tag alle Homeoffice machen. Nicht jeder ist für diese Art des Vorgehens geeignet. Eine gute Durchmischung von Bürozeiten und Heimarbeit ist besonders in der Einführungsphase notwendig. Probleme, die entstehen können, ergeben sich aus Kommunikationsdefiziten. Wer isoliert am heimischen Schreibtisch seine Aufgaben abarbeitet, ist von der restlichen Gruppe abgeschnitten und erhält wichtige Informationen nicht. Die kurzen Gespräche in der Kaffeeküche, um Probleme zu besprechen und Lösungen zu finden, gibt es dann nicht mehr. Das macht es erforderlich, bereits andere Kommunikationskanäle etabliert zu haben. Aber auch hier gilt, nicht jeder Mitarbeiter kann mit jedem Werkzeug optimal umgehen. Dafür sind wir Menschen zu individuell. Hier ist es wichtig, mehrere Optionen zu Auswahl bereitzuhalten.

Überzeugungskünste

Es liegt in der Natur der Sache, dass eine Organisation nicht in der Lage ist, sämtliches Know-how selbst zu entwickeln. Die Gründe dafür sind vielfältig. Diese Defizite mit Beratern auszugleichen, ist ein empfehlenswerter Ansatz.
Allerdings steckt auch bei dieser Strategie der Teufel im Detail: Neues Wissen kann nur dann in eine Firma eingebracht werden, wenn der dazu Auserkorene auch tatsächlich über dieses Wissen verfügt. Zum anderen muss er auch den Willen haben, dieses Wissen mit seinen Kollegen zu teilen. Dies ist aber auch kein einseitiges Unterfangen. Werden vorgebrachte Ratschläge permanent abgewiesen, hält man auf Dauer keine Experten im Team. Geeignete Protagonisten findet man erfahrungsgemäß nicht so leicht. Um dem entgegenzuwirken, haben sich direkte Empfehlungen als probates Mittel etabliert. Als Personalverantwortlicher sollte man nicht dem Irrglauben erliegen, dass das eigene Unternehmen für hochspezialisierte Kandidaten so attraktiv ist, dass diese eine Festanstellung in Erwägung ziehen. Unabhängigkeit und das Wissen um die eigenen Fähigkeiten sind Argumente, die Selbstständige gegenüber einem Firmenwagen und einer Fitnessclubmitgliedschaft höher priorisieren.
Man stelle sich einmal folgende Situation vor: Über verschiedene Veröffentlichungen zu einer Thematik, die für ein Unternehmen relevant ist, ist man auf eine Person aufmerksam geworden. Bemerkenswerte Vorträge auf Konferenzen und kompetente Veröffentlichungen auf dem persönlichen Blog unterstreichen die fachliche Eignung. Erfolgt nun eine Kontaktaufnahme durch einen Vermittler mit einem Anschreiben nach dem Muster „Für ein führendes Unternehmen auf dem Gebiet X suchen wir zum nächstmöglichen Zeitpunkt zur Festanstellung …“, ist es nicht schwer, die Reaktion zu er­raten. Kompetente Leute erwarten auch einfallsreiche Per­sonalvermittler. Um in der Not auf hochqualifizierte Spezialisten flexibel zurückgreifen zu können, ist es hilfreich, bereits vorher eine gute Auswahl parat zu haben. Dies erreicht man nur, indem man Zeit investiert, um solche Kontakte aufzubauen. Beauftragt man damit Dritte, die ihren eigenen Geschäftszielen verantwortlich sind, könnte es sein, dass man sich mit weniger geeigneten Kandidaten zufriedengeben muss.
Praxisbeispiel II: Gruppendynamik
Eine gute Übung, die die Dynamik von Gruppen erfahrbar macht, kommt aus der Kommunikationswissenschaft.
Eine Gruppe von Personen stellt sich im Kreis auf. Zu Beginn hält jeder zweite einen Ball unterschiedlicher Größe, den er nach eigenem Ermessen einem anderen Gruppenmitglied zuwirft. Der etwas abseits stehende Trainer gibt durch Klatschen den Takt vor, wie schnell die Bälle sich gegenseitig zugeworfen werden. Nach kurzer Zeit bringt der Trainer weitere Bälle ins Spiel, indem er diese wahllos einzelnen Personen der Gruppe zuwirft. Nachdem gleich viele Bälle in der Runde zirkulieren wie Personen in der Gruppe sind, wird die Rotationsgeschwindigkeit der Bälle erhöht.
Die Teilnehmer erfahren, dass unterschiedlich große Bälle sich verschieden schwierig fangen lassen und dass hin und wieder ein Ball zu Boden fällt, der dann wieder aufgehoben werden muss. Zwischenzeitlich wird die Taktfrequenz durch den Trainer variiert. Irgendwann werden weitere Bälle durch den Trainer ins Spiel gebracht, sodass mehr Bälle als Gruppenmitglieder vorhanden sind.
In der Kommunikationswissenschaft stehen die Bälle für Nachrichten. Durch ihre unterschiedliche Größe symbolisieren sie, wie schwierig es ist, unterschiedliche Nachrichten zu erfassen. Diese Übung verdeutlicht aber auch die Auswirkungen, die Optimierungen auf Systeme haben.
Die Erkenntnis, die daraus erwächst: Organisationen, die schon im Normalbetrieb an ihren Grenzen arbeiten, haben keine Reserven, um in Notsituationen reagieren zu können.
3. Teil: „Kleines Notfall-Einmaleins“

Kleines Notfall-Einmaleins

  • ISO 22301:2012: Der Standard für Business Continuity Management (BCM) soll Organisationen helfen, die Risiken von Betriebs­unterbrechungen jeglichen Ursprungs zu reduzieren.
    Quelle:
    Marco Schulz
Das Vorausgegangene hat sich auf strukturelle Gegebenheiten konzentriert. Neben diesen sehr wichtigen Aspekten gibt es viele kleine technische Maßnahmen, die ebenfalls bereits fest im Geschäftsalltag etabliert sein sollten. Denn auch hier gilt: Muss man sich unter Druck und aus einer Notwendigkeit heraus in einen neuen Sachverhalt einarbeiten, fehlen wichtige Ressourcen an anderer Stelle. Oft lässt sich zum Beispiel beobachten, dass etablierte Standardprozesse stark modifiziert werden, um der Vorgehensweise innerhalb einer Organisa­­tion zu entsprechen. Sicher mag der Ausspruch „Der Erfolg gibt ihm recht“ ein starkes Argument dafür sein, sich Veränderungen zu verschließen. Auch ist es eine Tatsache, dass nicht jeder Ratschlag auch befolgt werden sollte. Was aber ebenfalls eine nicht zu leugnende Tatsache ist, ist, dass eta­blierte Standards auf Erfahrungen basieren. Versucht man nun, jegliche neue Technologie dahingehend zu verbiegen, dass sie sich an die in der Organisation vorherrschenden Prozesse anpasst, verbaut man sich viel Flexibilität. Besser wäre es, die eigenen Prozesse zu überdenken und sanft den neuen Gegebenheiten anzupassen. Operieren die eigenen Prozesse bereits nach dem Standard, können viele Werkzeuge je nach Bedarf ausgetauscht werden, da kaum Anpassungen nötig sind. 
Auch das Gesetz von Conway spielt hier hi­nein. Es besagt, dass Designlösungen von Organisationen die interne Organisationsstruktur widerspiegeln. Das heißt: Sofern die interne Struktur durchdacht ist, fällt auch der Lösungsentwurf durchdacht aus. Eine chaotische Struktur hingegen wird chaotische Lösungen produzieren. Damit kommen wir zu einem weiteren Grundsatz: Flexibilität erreicht man durch möglichst einfache Lösungen.
Kennen viele Unternehmen eigentlich ihre geschäftskritischen Anwendungen? Haben sie einen Notfallplan, falls eine solche Anwendung ihren Dienst versagt? Wie lange dauert eine Neuinstallation und wie qualitätvoll ist das zugehörige Daten-Backup? Und wurde jemals ausprobiert, ob das Backup überhaupt funktioniert? Falls ja, wie gewährleistet man, dass diese Sicherungen auch tatsächlich verwendbar sind? Welche Daten beziehungsweise Informationen sind unverzichtbar? Kundenadressen, Zulieferer und vieles mehr sind nur kleine Teile der Strategie.
Eine Klassifizierung von Daten muss nicht zwangsläufig nach dem Gesichtspunkt der Vertraulichkeit erfolgen. Sie kann etwa auch durch eine Unterteilung nach Wichtigkeit ergänzt werden.
Und wie steht es mit der räumlichen Trennung der Sicherungen? Man stelle sich vor, in der Hauptgeschäftsstelle werden sämtliche Sicherungen der einzelnen Standorte zusammengetragen und die Hauptniederlassung wird durch ein Feuer zerstört.

Fazit & Ausblick

Es wird schnell deutlich, dass nicht  immer gleich die Welt untergehen muss, um die täglichen Arbeitsabläufe ins Stocken geraten zu lassen. Um für viele Situationen gewappnet zu sein, ist es wichtig, genügend Reserven bereit­gestellt zu haben. Es geht immer darum, schwierige Zeiten möglichst gut zu überstehen, um anschließend im neuen Aufschwung mit dabei sein zu können. Wer erst in der Not mit seinen Überlegungen, Vorbereitungen und Maßnahmen beginnt, hat bereits viel Sicherheit verschenkt und agiert immer in dem Risiko, dass die ersonnenen Lösungen nicht performen. Flexibilität ist eine Medaille mit zwei Seiten, einer für die Mitarbeiter und einer für deren Chef.
Alle Konzepte sollten bereits einmal erprobt worden sein. Nehmen wir zum Beispiel polizeiliche Spezialkräfte. Deren Aufgabe ist es, in extremen und unbekannten Situationen als Team erfolgreich zu agieren. Die dazu erforderliche Präzision erreichen diese Kräfte durch intensives Training. Dieses wird kontinuierlich und zielgerichtet angepasst, sobald sich aus der Nachrichtenlage neue Szenarien ergeben. Wer sich also nur wegen des Coronavirus dazu entschließt, Home­office zu gestatten, ist eindeutig zu spät dran und läuft Gefahr, dass die Maßnahme die erwünschten Ergebnisse nicht liefern wird.
Tools und Services für Business Continuity (Auswahl)

mehr zum Thema