Im Jahr 2009 wurde die erste deutschsprachige und branchenspezifische Studie zum Thema Business Continuity Management (BCM) und Krisenmanagement in der Finanzdienstleistungsbranche veröffentlicht. In dieser Studie wurde zunächst der Status in allen Bestandteilen des BCM-Zyklus erhoben, d. h. auch relativ statische Komponenten, wie bspw. die Konzeption, wurden abgedeckt.
Abweichend zur Studie im Jahr 2009 verfolgt der aktuelle BCM-Kompass das Ziel, in drei Blöcken die eher dynamischen Komponenten abzudecken und somit aktuelle Trends und Entwicklungen aufzuzeigen.
Motivation: Wie sähe das Notfall- und Krisenmanagement der Branche ohne aufsichtsrechtliche Vorgaben aus?
Eine der zentralen Erkenntnisse der Studie ist der anhaltende Trend zu einer immer stärker extrinsisch geprägten Motivation für das Betreiben des BCM. Aufsichtsrechtliche Gründe sowie Vorgaben durch Wirtschaftsprüfer gewinnen immer mehr an Bedeutung. Unabhängig hiervon zählen auch die Etablierung einer risikobewussten Unternehmenskultur sowie die Existenzsicherung zu den Top 5 Motivationsgründen, auch wenn diese beiden Gründe an Bedeutung zu verlieren scheinen (vgl. Abbildung 1).
Abbildung 1: Warum betreiben Sie BCM/Notfallmanagement (Top 5 Gründe)
Zu tatsächlichen BCM-Vorfällen im Sinne von Störungen kommt es mit knapp 90 Prozent bei fast allen befragten Instituten. Was deren Definition und Transparenz betrifft, zeigt die Studie allerdings ein sehr heterogenes Bild mit 1 bis > 100 Störungen (siehe Abbildung 2). Aufgrund der starken IT-Abhängigkeit der Teilnehmer liegt es nahe, dass es gerade im IT-Bereich verstärkt zu Störungsvorfällen kommt. Zwecks Risikofrüherkennung ist es daher empfehlenswert, BCM und Incident Management miteinander zu verknüpfen.
Die aktuellen Erfahrungen zeigen zudem, dass rund ein Viertel der Befragten mindestens eine Krise im Jahr erlebt/überlebt hat. Auch wenn eine allgemein gültige Definition des Begriffs "Krise" im Markt nicht vorliegt, treten Krisen damit öfter auf als gemeinhin angenommen. Zudem haben sie viele Ursachen: Neben den klassischen BCM-Szenarien (Ausfall von IT, Infrastruktur, Personal oder Dienstleister) können beispielsweise auch Betrugsfälle, Liquiditätsprobleme oder Insolvenzen großer Marktteilnehmer Krisen auslösen. Auch hier kann die bestehende Aufbau- und Ablauforganisation des Krisenmanagements, ggf. unter personeller Anpassung genutzt werden. Dies wird im Markt jedoch sehr unterschiedlich gehandhabt.
Abbildung 2: Anzahl der Störungen
Abbildung 3: Anzahl der Krisen
Die Nutzendiskussion – Ausgang ungewiss
"Was haben wir eigentlich vom BCM? Solche Szenarien sind doch total unwahrscheinlich! Was macht es schon, wenn mal die IT ausfällt? Wir müssen doch Geld verdienen, das geht vor." So oder so ähnlich lauten nicht selten spontane Reaktionen auf das Thema BCM, unabhängig von der Hierarchieebene des Ansprechpartners.
Dabei stiftet BCM nicht nur im Notfall, sondern auch im Normalbetrieb Nutzen: Der grundsätzliche Zweck des BCM ist die Existenzsicherung des Unternehmens in Extremsituationen. Ein ausgereiftes Notfallmanagement hilft der Unternehmensleitung auch in Krisenzeiten Ihrer Verantwortung gerecht zu werden und die Unternehmenswerte so gut wie möglich zu schützen. Ein professionelles Krisenmanagement kann zudem das Kundenvertrauen nicht nur sichern, sondern sogar stärken. Im Normalbetrieb hilft die prozessbasierte Sichtweise im BCM, das oft beklagte "Silodenken" zu überwinden und ermöglicht Prozessoptimierungen im Kerngeschäft der Banken. Als Bestandteil des Risikomanagements geht es außerdem in die Ratings mit ein und hat darüber Einfluss auf die Refinanzierungskosten. Der Mehrwert des BCM ist damit vielfältiger als es die oben genannten Motivationsgründe oft widerspiegeln.
Verzahnung: Was verbirgt sich dahinter?
Die Studie hat gezeigt, dass neben dem bedeutsamen Aspekt des Übens auch die Verzahnung des BCM mit anderen Themen und Funktionsbereichen eine wichtige Rolle in der Ausgestaltung eines professionellen BCM spielt. Möglichkeiten gibt es hierbei viele. Was und wie sinnvoll verzahnt werden kann, ist jedoch stark vom jeweiligen Institut abhängig.
In der diesjährigen Erhebung zeichnet sich recht deutlich ab, dass in der Regel das BCM bereits mit den Bereichen IT-Security, OpRisk-Controlling und Facility Management verzahnt ist. Dabei findet die Verzahnung bei den meisten Instituten (87 Prozent) in Form eines regelmäßigen bereichsübergreifenden Informationsaustausches statt (vgl. Abbildung 4). Verbesserungspotentiale liegen insbesondere bei der Personalunion von Ansprechpartnern (47 Prozent), bei der Verzahnung der Methoden (50 Prozent), beim Datenaustausch (60 Prozent) sowie beim abgestimmten Reporting (13 Prozent).
Abbildung 4: In welcher Form wird die Verzahnung realisiert?
Krisenstabsübungen – "Übung macht den BCM-Meister"
Das Übungsverhalten gestaltet sich bei den Studienteilnehmern sehr unterschiedlich. Im Notfallmanagement wird regelmäßig geübt, allerdings variieren auch hier Umfang und Reifegrad bei den Teilnehmern deutlich. Aber gerade hinsichtlich der Übungsfrequenz im Bereich des Krisenmanagements scheint es noch Nachholbedarf zu geben. Denn bei rund einem Drittel der Teilnehmer werden weder so genannte Ernstfall- oder Vollübungen noch Stabs- oder Stabsrahmenübungen durchgeführt.
Das Gleiche gilt auch für die Krisenkommunikation; auch hier findet sich deutliches Verbesserungspotential. Jede Krise ist auch automatisch eine Kommunikationskrise und gemeinhin durch hohe Unsicherheit, fehlende Information, sehr dynamische Entwicklungen und Entscheidungsdruck geprägt. Damit spielt Zeit eine entscheidende Rolle; zumal soziale Medien auch hier ungeahnte und vor allem ungewollte Möglichkeiten bzw. Risiken eröffnen. Vor diesem Hintergrund kommt der Vorbereitung von Krisenszenarien, beispielsweise durch Einbindung des Pressesprechers in den Krisenstab (85 Prozent) oder durch abgestimmte Grundbausteine für Pressemiteilungen eine hohe Bedeutung zu. Abgestimmte Pressemiteilungen existieren jedoch nur bei einer Minderheit der Teilnehmer.
Allgemeine Herausforderungen im Notfall- und Krisenmanagement
Auf die Frage nach den allgemeinen Herausforderungen im BCM haben die Institute in 2011 recht einheitlich geantwortet: Akzeptanz und Awareness, die Durchführung relevanter und realitätsnaher Übungen sowie der Unsicherheitsfaktor Mensch beschäftigt die BCM-verantwortlichen am Meisten.
Die dargestellten Ausschnitte der Studie zeigen unter anderem: Das BCM steht und fällt mit der Unterstützung durch die Unternehmensleitung und der Akzeptanz im Unternehmen. Diese kann durch eine strukturierte und transparente Konzeption und Umsetzung gefördert werden. Hierzu gehört auch das regelmäßige Testen festgehaltener Notfall- und Krisenpläne. Daneben spielt insbesondere die Krisenstabsarbeit und Krisenkommunikation eine entscheidende Rolle und sollte entsprechend geübt werden.
Weitere Informationen zur Studie unter www.pco-ag.de
Autoren:
Daniela Knoll ist Senior Consultant,
Oliver Hinz ist Manager bei der Dr. Peter & Company AG, Frankfurt am Main.
[Bildquelle: iStockPhoto]
