RiskTimes. Verschiedene Entwicklungen der letzten Jahre, insbesondere im Bereich Abhängigkeit von. IT-Systemen und -Infrastrukturen, Unwetter,

Transkript

1 PUBLIKATION 02 MONAT 04 JAHR 2011 JOURNAL OF SECURITY & RISK INFORMATION RiskTimes Solutions for a New Risk Economy Gute geführte Unternehmen legen Wert auf die Frage «Wie sind Inhalt BCM - Fit für ausserordentliche P.1 Ereignisse BCM muss sein P.2 BCM umfasst folgende Bereiche P.3 und Aufgaben Der Plan B in Notsituationen P.4 ist entscheidend Wenn alle Stricke reissen... P.5 Consulting, Coaching P.6 Training, Awareness, Support wir auf die Ereignisse vorbereitet (Plan B?) und weniger wie wahrscheinlich ist es dann, dass uns gerade so ein existenzberdrohendes Ereignis trifft». Business Continuity und Facility Management - Sind Sie fit für ausserordentliche Ereignisse? Verschiedene Entwicklungen der letzten Jahre, insbesondere im Bereich Abhängigkeit von Bestandteil eines BCM. Diese können und müssen im Rahmen des Tagesgeschäfts bewältigt werden. Vorbild ist eigentlich unsere private «Krankenkasse». Wir machen richtigerweise zuvor die richtigen Gedanken zu unserer Gesundheit wohl wissend, dass jeder sie früher oder später einmal benötigen wird. BUSINESS CONTINUITY Die Geschäftsfortführungsplanung (Business Continuity Management) ist für ein Unternehmen deshalb so wichtig, weil sie sich mit den Ausfallrisiken auseinandersetzt, welche ein Unternehmen in Extremsituationen versetzen kann bis hin zu Existenzgefährdung. Dabei liegt die Konzentration auf den Business-kritischen Risiken, für welche Business Continuity Strategien (Handlungsoptionen) und Business Continuity Pläne erarbeitet. IT-Systemen und -Infrastrukturen, Unwetter, Anschläge und Pandemien, haben auf die Verletzlichkeit von Unternehmen, deren Infrastruktursysteme und -anlagen hingewiesen. Die Sensibilisierung für derartige Ereignisse und ihre möglichen Auswirkungen hat stark zugenommen. Für die Bewältigung von unvorhergesehenen Ereignissen ist es entscheidend, dass alle wichtigen Akteure koordiniert vorgehen und die nötigen Vorkehrungen vorgängig festgelegt, abgestimmt und umgesetzt sind (Business Continuity Plan). Business Continuity Szenarien und Anwendungsbereiche. Unternehmen sollten alle potentiell relevanten Szenarien berücksichtigen, welche für sie zu einer Krise führen können. Dabei wird unter einer Krise eine Bedrohungssituation verstanden, welche kritische Entscheidungen erfordert und mit den ordentlichen Führungsmitteln und Entscheidungskompetenzen nicht bewältigt werden kann. Somit bildet die Bewältigung von Störungen kein Beispiele für Krisensituationen sind: Unfallartige Ereignisse wie z.b. Brand oder Explosion, Anschläge, Sabotage Naturkatastrophen wie z.b. Überschwemmung, Flut oder Erdbeben Ausfall von Personal, z.b. aufgrund einer Pandemie Ausfall der Gebäudetechnik und/ oder der Energieversorgung (z.b. Elektrizität) Ausfall von IT Systemen oder Infrastrukturen (Hardware- oder Software-Fehler) Ausfall von Kommunikationssystemen oder Telecom-Providern Ausfall von externen Lieferanten (vgl. Outsourcing) Im Rahmen des BCM sind die relevanten Risiken bzw. Krisentypen durch die Unternehmen jeweils gemäss Impact (Schweregrad) des Eintretens eines Ereignisses zu identifizieren bzw. zu definieren und zu beurteilen. Die Konsequenz solcher Ereignisse kann beispielsweise sein, dass Mitarbeitende und/ oder Infrastruktur (v.a. Führungsinfrastruktur, Telekommunikation, Gebäude bzw. Arbeitsplätze) für unternehmenskritische Funktionen nicht mehr einsatzfähig sind. Ebenso können Probleme bei den IT-Dienstleistungen oder Infrastruktur-Anbietern (Facility Management) dazu

2 Principles for Security & Risk Management Success Ohne Sicherheitsstrategie mit entsprechendem Leistungsauftrag an die Business Units und Prozess Risiken managen! Vertrauen ist gut - BCM ist besser und muss sein. Management by «Hoffnung» ist keine Lösung für gut geführte Unternehmen. Owners wird es äussert schwierig eine Sicherheits- und Risikokultur aufzubauen. dabei geht es nicht primär darum, die Compliance- führen, dass kritische Services zu Auswirkungen solcher Ereignisse. tätigkeit. Die Business Continuity Vorschriten einzuhalten sondern die nicht tolerierbaren Ausfällen der Insgesamt soll BCM die Fortführung Strategie kann integraler Bestandteil richtigen unternehmerschen Fragen Verfügbarkeit führen. bzw. zeitgerechte Wiederaufnahme der Unternehmensstrategie eines im Rahmen der Existenzsicherung Im Bereich von Pandemien wer- der Geschäftstätigkeit in Krisen- Unternehmens sein. Falls einzelne zu stellen und Antworten darauf zu den Schadenszenarien und Emp- situationen sicherstellen. BCM Restrisiken bewusst in Kauf genom- entwickeln und einzuführen. fehlungen u.a. im Influenza-Pan- be-zieht sich deshalb grund- men werden, so muss die Strategie demieplan Schweiz des Bundesamts sätzlich auf alle Geschäfts- und explizit darüber Auskunft geben Das brauchen Sie für den für Gesundheit (BAG) aufgeführt Organisationsbereiche im Unter- richtigen, verantwortungsvollen, unternehmerischen Umgang mit Risikofragen: ( Das BCM hat zum Ziel, die Einhaltung gesetzlicher, regulatorischer, vertrag- nehmen. Zu unterscheiden sind die Business Recovery Planung im Vorfeld und das Krisenmanagement Business Continuity Management ist sinn- licher und interner Vorschriften auch im Anwendungsfall. gemäss vergleichbar mit Sicherheitsstrategie mit Leistungsauftrag für die Business Units und Prozess Owners im Krisenfall bestmöglich sicherstellen. Es leistet damit einen wesentlichen Beitrag zur Existenzsicherung im Krisenfall. In der Business Continuity Strategie definiert ein Unternehmen seine grundsätzliche Vorgehensweise im Falle eines Ausfalls kriti- einer Krankenkasse. Man hofft diese möglichst wenig oder nie benutzen zu müs- Qualitativ hochwärtige Methodik zu Risikoidentifizierung und -beschreibung Für Business-kritische Ausfallrisiken ist ein Business Continuity Plan (Plan B) notwendig Der Krisenstab soll mindestens alle 18 Monate seinen Fitnessgrad im Umgang mit existenzbedrohenden Risiken im Rahmen von Krisenstabsübungen trainieren. Business Continuity Management Definition und Umfang Unter Business Continuity Management (BCM) ist ein unternehmsweiter Ansatz zu verstehen, mit dem sichergestellt werden soll, dass die kritischen Geschäftsfunktionen im Fall interner oder externer Ereignisse aufrechterhalten oder zeitgerecht wiederhergestellt werden können. BCM zielt damit u.a. auf eine Minimierung der finanziellen, rechtlichen und reputationsmässigen scher Ressourcen. Dabei werden im Rahmen einer Business Impact Analyse geschäftskritische Ressourcen und Prozesse identifiziert, inkl. einer Festlegung adäquater Wiederanlaufzeiten und Verfügbarkeiten. Die Business Continuity Strategie bildet die Basis für die Business Continuity Pläne. Diese definieren (im Sinne von vorbereiteten Massnahmenplänen, Check-listen und Arbeitshilfen) das Vor-gehen für eine zeitgerechte und geordnete Wiederaufnahme der Geschäfts- sen. Bei einer plötzlichen, schweren Krankheit ist man jedoch froh, rechtzeitig vorgesorgt zu haben. Der Aufbau und Betrieb eines

3 Der Aufbau und Betrieb eines Business Continuity Management umfassen folgende Bereiche und Aufgaben. Business Continuity Managements umfassen folgende Bereiche Definition und Festlegung des Umfangs des BCM Verankerung des BCM in der Unternehmensorganisation auf der Basis eines BCM Leistungsauftrags mit verbindlichen Aufträgen für den Head of BCM und die Business Prozess Owners. Schaffung einer der Unternehmensorganisation angepassten Governance-Struktur Definition der BCM Rollen und Verantwortlichkeiten Definition von Krisenszenarien und deren Auswirkungen auf die Ressourcen (Personal, IT, Facility Management) des Unternehmens (Planungsgrundlage) Identifikation der geschäftskritischen Ressourcen und Prozesse sowie Analyse der Auswirkung von Ausfällen im Rahmen der Business Impact Analyse (BIA) Definition der Business Continuity Strategie zum grundsätzlichen Umgang mit dem Ausfall der einzelnen Ressourcen der Geschäftsarchitektur Erstellung der Business Continuity Pläne, die eine Wiederherstellung der geschäftskritischen Prozesse und Ressourcen in einer Krisensituation ermöglichen sollen Durchführung von Business Continuity Reviews und Business Continuity Tests der Business Continuity Pläne und der Krisenmanagementorganisation Berichterstattung, Kommunikation und Schulung Die BCM-Komponenten Eine Krisensituation ist gekennzeichnet durch den vollständigen oder teilweisen Ausfall von Ressourcen bzw. durch die Unterbrechung einzelner oder mehrerer Business-kritischer Prozesse. Dabei ist grundsätzlich das Vorhandensein folgender Ressourcen Voraussetzung zur Durchführung von Prozessen: Mitarbeitende Gebäude und Infrastruktur Informations- und Kommunikationstechnologie Daten externe Zulieferer. Dementsprechend wird empfohlen, im Rahmen der Business Recovery Planung in erster Linie Ausfälle dieser Ressourcen zu berücksichtigen. BCM sollte insbesondere folgende Komponenten umfassen: 1) BCM Leistungsauftrag (Weisung) Von Verwaltungsrat bzw. der Geschäftsleitung unterzeichneter und genehmigter BCM Leistungsauftrag mit klar definierten Aufträgen für den Head of BCM sowie die Business Prozess Owners. 2) Business Impact Analyse Identifikation der geschäftskritischen Prozesse sowie der zugrundeliegenden kritischen Ressourcen, Identifikation und Beschreibung der Auswirkungen eines Ausfalls einer oder mehrerer kritischer Ressourcen (Schadenausmasse). 3) Business Continuity Strategie Definition der grundsätzlichen Vorgehensweise bei einem Ausfall von kritischen Ressourcen, Grundsatzentscheide über die Bereitstellung von Ersatzressourcen und Ausweichstrategien/ -lösungen. 4) Business Continuity Plan (BCP) Umfassende Massnahmenpläne zur Sicherstellung einer kontinuierlichen Geschäftstätigkeit bzw. zur zeitgerechten Wiederaufnahme Business-kritischer Prozesse. Detaillierte Planung der Vorgehensweise und Verantwortlichkeiten bei Ausfall Businesskritischer Ressourcen. 5) Krisenmanagement und Krisenstab Die Organisation des Krisenmanagements hat zum Ziel, ein Krisenmanagement bereitzustellen, mit dem das Unternehmen Krisensituationen wirksam bewältigen kann. 6) BCM Testing / Krisenstabsübung Überprüfung der Business Continuity Pläne auf Aktualität, Umsetzung und Wirksamkeit in regelmässigen Intervallen. Beübung der Mitglieder im Krisenstab im Rahmen ihrer Führungsverantwortung in ausserordentlichen Situationen. 7) BCM-Reporting Berichterstattung über BCM Aktivitäten und den Stand der Vorbereitungen zur Krisenbewältigung des Unternehmens (an Verwaltungsrat und Geschäftsleitung).

4 Der Plan B ist in Notsituationen entscheidend. 8) BCM Training Fachliche BCM Ausbildung der Mitarbeitenden, die Aufgaben im Bereich BCM übernommen haben. 9) BCM Krisen Kommunikation Massnahmen der internen und externen Kommunikation im Krisenfall. Die Business Impact Analyse (BIA) Jeder Geschäftsbereich sollte seine kritischen Ressourcen und Prozesse bestimmen. Im Rahmen einer Auswirkungsanalyse werden für die geschäftskritischen Prozesse die jeweiligen Auswirkungen eines kompletten oder teilweisen Ausfalls der entsprechenden Ressourcen beurteilt. Diese Beurteilung schliesst auch gegenseitige Abhängigkeiten zwischen den Geschäftsbereichen (vor-/nachgelagerte Prozesse) und Abhängigkeiten von externen Anbietern (Outsourcing) mit ein. Diese Analyse soll zum Ergebnis haben: den gewünschten Wiederherstellungsgrad der geschäftskritischen Prozesse eine maximale Zeitspanne bis zur Wiederherstellung der geschäftskritischen Prozesse den Mindestumfang der (Ersatz-)Ressourcen (Gebäude, Mitarbeitende, IT/Daten, externe Anbieter), die im Krisenfall verfügbar sein müssen, um den gewünschten Wiederherstellungsgrad zu erreichen. Die Häufigkeit der Aktualisierung der Business Impact Analyse richtet sich insbesondere nach der Risikosituation des jeweiligen Unternehmens Die Business Continuity Strategie Die Business Continuity Strategie legt das grundlegende Vorgehen fest, mit dem das Unternehmen seine in der Business Impact Analyse festgelegten Recovery-Ziele für die zugrunde gelegten Szenarien und deren Auswirkungen auf die Ressourcen erreichen will. Diese Strategie soll in schriftlicher Form vorliegen. Die Business Continuity Pläne (BCP) Business Continuity Pläne beschreiben die für die Wiederherstellung bzw. die Fortsetzung der geschäftskritischen Prozesse (inkl. Einhaltung gesetzlicher, regulatorischer, vertraglicher und interner Vorschriften) notwendigen Vorgehensweisen, Ersatzlösungen und die dafür mindestens benötigten Ersatzressourcen. Entsprechende Pläne sollten mindestens enthalten: Beschreibung des Anwendungsfalls (auslösendes Szenario), Vorgehensweise bzw. Massnahmenkatalog mit Prioritäten, notwendige Ersatzressourcen sowie Krisenorganisation mit Zuständigkeiten und Kompetenzen. Es sollten regelmässige Zeiträume vorgegeben werden, innerhalb derer die Business Continuity Pläne zu aktualisieren sind. Wesentliche Änderungen im Geschäftsbetrieb können ebenfalls eine Überarbeitung der Pläne erforderlich machen. Die Business Continuity Reviews Business Continuity Reviews beinhalten eine Bestandsaufnahme der von den einzelnen Geschäftsbereichen erstellten BCM Dokumentation und eine Bewertung, ob die Dokumente den definierten Prüfkriterien entsprechen. Es wird empfohlen, konsistente Prüfkriterien sowie einen klaren Prozess zur Überwachung und Behebung offener Punkte zu definieren. Business Continuity Tests und Krisenstabsübung Mit Business Continuity Tests wird die Umsetzung von Business Continuity Plänen und die Fähigkeit der Krisenmanagement-Organisation ausgetestet bzw. überprüft. Schwerpunkte sowie Kadenz der einzelnen Tests sind in Abhängigkeit der Risikobeurteilung (vgl. Business Impact Analyse) vorzunehmen. Durch Aggregation der Testergebnisse einzelner Organisationseinheiten kann die Fähigkeit des Instituts zur Bewältigung von Krisensituationen beurteilt werden. Es wird empfohlen, die einzelnen Testaktivitäten in Form einer systematischen Testplanung zu koordinieren, die Berichterstattung einheitlich zu regeln

5 Wenn man die ordentlichen Business-Prozesse dokumentiert, sollte man auch die wichtigsten ausserordentlichen Prozesse (Plan B) und Strategien für die Geschäftsfortführung definieren. Fazit: Implementiert ein sowie einen Prozess für die Überwachung und Behebung von Schwachstellen festzulegen. Krisenmanagement - Krisenstab Ziel ist es, ein Krisenmanagement bereitzustellen, mit dem das Unternehmen Krisensituationen wirksam und zeitgerecht bewältigen kann. In Krisensituationen, die kritische Entscheidungen verlangen und welche mit ordentlichen Massnahmen und Entscheidungskompetenzen nicht bewältigt werden können, wird der Krisenstab (bzw. werden die Krisenstäbe) einberufen. Dieser übernimmt das Management der Krisenbewältigung bis zur Wiederherstellung eines ordnungsgemässen Zustands. Es wird empfohlen, Auslösung, Zuständigkeiten und Kompetenzen des Krisenstabs vorgängig klar zu regeln und die Krisenorganisation auf Geschäftstätigkeit und geographische Struktur des Instituts auszurichten. Besonderer Wert ist auf die bestmögliche Sicherstellung der Erreichbarkeit der Verantwortungsträger auch in Krisensituationen zu legen. Krisenmanagement Kommunikation Krisen-Kommunikation spielt in der Krisenbewältigung eine bedeutende Rolle. Der systematischen und sorgfältigen Vorbereitung von Kommunikationskonzepten und -plänen (interne und externe Kommunikation) im Krisenfall ist deshalb besondere Beachtung zu schenken. Dabei geht es im Speziellen um die Wahrung eines hohen Grades an Professionalität und um die Aufrechterhaltung von Glaubwürdigkeit und Vertrauen der Dialogpartner. Kommunikationspläne müssen Erreichbarkeiten im Krisenfall beinhalten (Liste mit Namen und Telefonnummern von Aufsichtsbehörden, Mitarbeitenden, Medien, Kunden, Gegenparteien, Dienstleistern etc.). Einer allfälligen internationalen Dimension ist mit speziellen Kommunikationsmassnahmen Rechnung zu tragen. Unternehmen ein Business Continuity Management mit der Definition von BCM Strategien und ausserordentlichen Prozessen sowie benötigen Ressourcen richtig in die Prozesslandschaft und als Führungsaufgabe des Managements, verfügen die Geschäftsleitung und der Verwaltungsrat über zwei wertvolle Führungsinstrumente zur Existenzsicherung im Krisenfall. Wertorientierte Unternehmensführung bedeutet Chancen und Risiken richtig und umfassend abzuwägen und sich rechtzeitig auf ausserodentliche Ereignisse fit zu machen. Darauf basiert letztendlich der unternehmerische Erfolg.

6 EYE ON RISK Current Risk Trends Leider werden Risiken in den Unternehmen und Verwaltungen immernoch zu sehr unter Berücksichtigung der Eintrittswahrscheinlichkeit beurteilt. Eintrittswahrscheinlichkeitsdaten basieren auf Vergangenheitswerten Security & Risk Lösungen für KMUs und berücksichtigen die Zukunfts- Umfassende Lösungsmodule mit angepasst und umfasst sämtliche Continuity Managements durch ein- Die Frage «Sind wir auf solche zahlreichen, Aspekte eines Business Continuity fache Implementierung von metho- Ereignisse überhaupt vorbereitet Managements. disch aufgebauten Vorlagen. und wie gehen wir vor?» ist deshalb praxisbewährten Inhalten und Vorlagen. OptiRisk BCM wird individuell auf Ihre Branche und Firmengrösse Der umfassende Lösungsansatz ist mit zahlreichen, praxisbewährten Wissenspaketen (Content) ausgestattet, welche Ihnen erlauben die Projektdurchlaufzeit und damit auch die Kosten und Bindung Ihrer eigenen Ressourcen auf ein Minimum zu reduzieren. Die BCM Lösung ist ohne speziellen Schulungsaufwand für KMU LÖSUNGEN OptiRisk Module und Templates verursachen keine zusätzlichen «Management by Hoffnung» ist und war noch nie eine Lösung! sind deshalb gerade bei KMUs sehr beliebt. Für weitere Informationen über unsere Services und Produkte besuchen Sie bitte unsere Website: DEMO VIDEOS Sie ist bedienungsfreundlich Demo-Videos zu unseren Produkten und sorgt für die konsistente finden Sie auf unserer Website: Umsetzung Business entscheidend. Software und Schulungskosten. Sie den Benutzer sofort einsetzbar. eines entwicklungen zu wenig. 6 Fragen an das Management / VR - Impulse und Tips UNSERE SERVICES Projektmanagement Fachliche und methodische Beratung Erarbeitung der BCM Fachdokumente Anpassung der BCM Menustrukturen Coaching & Support vor Ort Sechs Fragen an den Verwaltungsrat und tatsächlichen Risiken neu beurteilt und, falls notwen- Schulung des Krisenmanagements die Geschäftsleitung dig, entsprechend angepasst? Vorbereitung und Durchführung von F4: Sind für die Business-kritischen Prozesse Krisenstabsübungen. F1: Erfolgt eine regelmässige und systematische Neubeurteilung der wesentlichen Geschäftsausfallrisiken, verbunden mit einer Business Continuity Pläne vorhanden? F5: Ist der Krisenstab ausreichend trainiert und vorbereitet auf ausserordentliche stufengerechten Information über die eingelei- Ereignisse? teten Massnahmen? F6: Sie sollten alle 18 Monate den F2: Wird die Wirksamkeit der internen Krisenstab im rahmen einer Übung tes- Kontrolle von der Geschäftsleitung periodisch mit dem Verwaltungsrat bzw. dem Audit Committee erörtert? ten. Wann erfolgte die letzte Übung?. F3: Werden die bestehenden Prozesse und Kontrollen regelmässig unter Berücksichtigung der

7 Professional Consulting & Development Den Risiken die richtigen und wirksamen Massnahmen gegenüberzustellen bzw. bestehende Massnahmen zu optimieren, erfordert Weitsicht, viel Erfahrung im Umgang mit Risiken und Praxisnähe. Eigenschaften, auf welche unsere Kunden seit 1988 CONSULTING COACHING TRAINING AWARENESS SUPPORT PROJECT SOLUTIONS Neutrale, unabhängige Sicherheits-planung und Bauherrenberatung Security Engineering Betriebliche Sicherheitskonzepte Integrierte Sicherheitssysteme Brandschutzkonzepte Zutrittskonzepte Videoüberwachungskonzepte Einbruchschutzkonzepte Tür-Engineering für Sicherheitstüren und -schleusen Neutrale Sicherheitsexpertisen und -gutachen zählen. Risk Times Publikation 01 Monat 05 Jahr 2011 AWARENESS & SCHULUNG Individuelle SIBE Schulungen Mitarbeiter-Sensibilisierung im sicheren Umgang mit Geschäftsinformationen E-Learning Workshops Referate zur Förderung der Security & Risk Awareness RM Risk Management AG Security & Risk Consultants Hertistrasse Wallisellen / Zürich Schweiz Tel. +41 (0) Fax +41 (0) rm@rmrisk.ch BUSINESS SOLUTIONS Enterprise Risk Management Internes Kontrollsystem Risk Assessment Workshops Sicherheitsmanagement System und Organisation Information Security Management Business Continuity Management Krisenmanagement Notfallplan und Evakuierung Alarmmanagement mit virtuellen Alarmportalen