Häufig erlebe ich, dass BCM und Krisenmanagement als eine Disziplin angesehen werden. Krisenmanagement wird dann im Rahmen von Business Continuity Management entwickelt und betrieben. Diese Sichtweise vernachlässigt die grundlegenden Unterschiede zwischen den beiden Disziplinen. Das Business Continuity Management ist eine präventive und planerische Tätigkeit. Die Arbeit endet mit der Bereitstellung der Notfallpläne und deren regelmäßige Überprüfung, Validierung und Aktualisierung. Das Krisenmanagement ist eine reaktive Disziplin für außergewöhnliche Lagen, die durch die Linienorganisation, das Störungs- und Notfallmanagement nicht mehr bewältigt werden können und somit eine Sonderorganisation erfordern. BCM-Notfälle können zu Krisen führen. Es gibt jedoch außerhalb der Unterbrechung kritischer Geschäftsprozesse wesentlich mehr Ursachen, die ein Krisenmanagement erforderlich machen. Dies können Produktrückrufe, radikale Marktveränderungen (man denke an den Brexit oder Zölle) oder auch kriminelle Handlungen wie Erpressungen sein. Häufig führen diese Ereignisse auch zu massiven Anforderungen an die externe und interne Krisenkommunikation (man denke hierbei nur an den herbeigeführten Absturz der Germanwings-Maschine). Für das Bewältigen einer Krise sind Entscheidungen unter Unsicherheit erforderlich. Dies erfordert eine hohe Fach- und insbesondere auch Entscheidungskompetenz für zum Teil weitreichende strategische Entscheidungen. Die erforderlichen Kompetenzen führen zu einer anderen Zusammensetzung der handelnden und entscheidenden Personen als in der Linienorganisation oder auch bei der planmäßigen Bewältigung einer Unterbrechung. Das Business Continuity Management ist mit den Notfallplänen und Ressourcen unterstützend für das Krisenmanagement tätig, die Verantwortung für die Krisenbewältigung liegt jedoch im Krisenstab.

Auch die Welt der Standards spiegelt diese Trennung so wieder. Der BCM-Standard ISO 22301 fokussiert sich auf die präventiven Aufgaben des BCM. Die Technische Spezifikation TS 17091:2018 behandelt auf der anderen Seite die Aspekte eines strategischen Krisenmanagements. Der Standard definiert das Krisenmanagement als einen von vielen Bausteinen für ein resilientes Unternehmen, neben anderen Disziplinen wie zum Beispiel BCM, ISMS, Risikomanagement und Sicherheitsmanagement. Eine Krise wird sehr allgemein definiert als “unprecedented or extraordinary event or situation that threatens an organization and requires a strategic, adaptive, and timely response in order to preserve its viability and integrity”. Diese Definition leitet die Anforderungen an ein Krisenmanagement nicht aus spezifischen Ursachen ab, sondern an den erforderlichen reaktiven Maßnahmen, um das Unternehmen zu schützen.

Im ersten Teil des Standards werden Krisen anhand verschiedener Kriterien von Störungen abgegrenzt. Zu den Kennzeichen einer Krise gehören beispielsweise die Unsicherheit und Unberechenbarkeit der Lage, eine hohe Dringlichkeit, schwerwiegende Auswirkungen, ein hohes Medieninteresse und die fehlende Lösbarkeit durch vordefinierte Prozeduren und Pläne.

Für die Implementierung eines Krisenmanagements werden die folgenden Schritte beschrieben:

• Implementierung eines Krisenmanagement Framework (Policy mit Rollen und Verantwortlichkeiten)
• Schaffung der organisatorischen und personellen Voraussetzungen
• Krisenfrüherkennung
• Vorbereitende Maßnahmen (Krisenmanagement-Pläne, Informationsmanagement, Situational Awareness, Krisenstäbe und -teams).

Den Themen Führung in der Krise, strategische Entscheidungsfindung in einer Krise. Krisenkommunikation sowie Training und Weiterentwicklung sind jeweils eigene umfangreiche Kapitel des Standards gewidmet.

Der relativ junge Standard für das Krisenmanagement kann damit gut als Handlungsleitfaden für die Implementierung eines Krisenmanagements im Unternehmen dienen.