Nutzung von Szenarioanalysen zur Erhöhung der Resilienz

Die Geschäftsfortführungs- und Wiederherstellungsplanung hat zum Ziel, die zeitkritischen Geschäftsprozesse nach einer Unterbechung durch ein Schadensereignis zunächst in einen geordneten Notbetrieb und anschließend in den Normalbetrieb zu überführen. Bei der Erstellung dieser Notfallplanung stellt sich immer die Frage, wie die Notfallplanung inhaltlich strukturiert und aufgebaut werden soll.

Die Notfallpläne sollen beim Eintritt eines Schadensereignisses eine strukturierte Anleitung mit Prozeduren und Verfahren (“Standard Operating Procedures”) zur Bewältigung des Notfalls geben. Die Herausforderung bei der Notfallplanung besteht allerdings darin, dass es eine nicht überschaubare Menge an Schadensereignissen (Ursachen) geben kann, die zu einem Notfall führen können. Es gibt zum Beispiel viele Ursachen, die zum Ausfall eines Gebäudes führen können, die zusätzlich voneinander abhängig sind. So kann zum Beispiel erst der Löscheinsatz der Feuerwehr nach einem Brand zum Ausfall des Gebäudes auf Grund des Wasserschadens führen. Für jedes mögliche Schadensereignis einen Notfallplan zu erstellen, würde bedeuten, eine sehr große Anzahl an Notfallplänen erstellen und pflegen zu müssen, mit dem Risiko, dass genau für das eingetretene Ereignis dann leider kein Notfallplan vorliegt, da niemals alle Szenarien abgedeckt werden können.

Eine Lösung für diese Herausforderung stellen generische Notfallpläne dar, die auf die Bewältigung der Schadenswirkungen abzielen und nicht auf die vielfältigen Ursachen. Die Notfallplanung beinhaltet zum Beispiel die Verfahren bei Ausfall eines Gebäudes, ungeachtet der Ursache für den Gebäudeausfall. Diese Denkweise folgt dem All-Hazard-Ansatz, der zum Ziel hat, durch generische Notfallplanungen viele Schadensszenarien abzudecken.

Im Rahmen der Notfallplanung werden daher konsequenterweise Notfallplanungen für den Ausfall kritischer Prozessressourcen entwickelt: Notfallpläne für “Ausfall Personal”, “Ausfall Gebäude”, “Ausfall IT”, “Ausfall Dienstleister”. Die Ursachen für die Ausfälle werden in der notfallplanung ausgeblendet. Dieses Vorgehen reduziert die Anzahl der Notfallpläne auf ein überschaubares Maß und erleichtert damit die Erstellung, Pflege und Validierung der Notfallpläne.

Dieser ressourcenorientierte Planungsansatz hat neben den eindeutigen Vorteilen in der Erstellung und Pflege der Plandokumente jedoch auch seine Grenzen. Nicht jedes Szenario lässt sich eindeutig einem Notfallplan zuordnen. Ein gutes Beispiel ist die Covid-19-Pandemie. Die Pandemie hat bei den meisten Unternehmen nicht zu kritischen Personalausfällen geführt, sondern ganz andere und komplexere Schadenswirkungen erzielt. Diese beginnen bei der eingeschränkten Nutzbarkeit von Arbeitsplätzen und Gebäuden durch die Hygienekonzepte, über tiefgreifende und anhaltende Unterbrechungen von Lieferketten, Wegfall von Absatzmärkten bis hin zu Liquiditätsnotfällen.

Die Konsequenz hieraus sollte jetzt allerdings nicht sein, die ressourcenbasierte Notfallplanung zu Gunsten einer szanariobasierten Vorgehensweise aufzugeben, sondern vielmehr die Stärken beider Vorgehensweisen zu kombinieren.

Dies bedeutet, die Top-Risikoszenarien mit einem sehr hohen Schadenspotial für die Organisation zu identifizieren und für die Szenarien jeweils eine Risikoanalyse und eine Notfallplanung zu erstellen. Die szenariobasierte Risikoanalyse deckt hierbei Lücken in der bestehenden Notfallplanung auf, die durch eine assetbezogene Sichtweise entstehen können. In meinem aktuellen Beitrag “Bow-Tie: Risikomanagement mit Hilfe der Fliege” auf 3GRC beschreibe ich eine Methode, mit der mit einfachen Mitteln eine anschauliche Szenarioanalyse durchgeführt werden kann. Die auf Basis der Szenarioanalyse erstellte Notfallplanung kann ein eigener Notfallplan (Bsp. Notfallplan “Stromausfall”) oder eine Kombination bestehender Notfallpläne sein.

Die Top-Risikoszenarien, die in dieser Betrachtung analysiert werden sollten, hängen von der spezifischen Risikosituation der Organisation ab und sollten (nur) die bestandsgefährdenden Risiken beinhalten. Zu diesen zählen zum Beispiel Cyber-Attacken, Unterbrechungen der Lieferketten, Ausfall kritischer Dienstleister, Extremwettereignisse, Produktrückrufe, Liquiditätsengpässe, Tod von Geschäftsführern etc..

Wie stehen Sie zu den unterschoiedlichen Ansätzen in der Notfallplanung? Ich freue mich auf Ihre Kommentare!

Be prepared

Matthias Hämmerle