Business Continuity Policy

Die Erarbeitung und Einführung einer BCM-Policy steht zu Beginn des BCM-Lebenszyklus. Die Zielsetzung einer BCM Policy ist, den Rahmen für das Business Continuity Management abzustecken, die nötigen Funktionen, Aufgaben und Verantwortlichkeiten zu definieren (“Governance”). Dies tönt einfach. Doch wie bei allen neuartigen Vorhaben liegen die grössten Herausforderungen meistens zu Beginn eines Projektes. Diese Erfahrung gilt selbstverständlich auch für die Business Continuity Management Umsetzung im Unternehmen. Es ist erfahrungsgemäss nicht damit getan, eine Best-Practice BCM Policy zu kopieren und genehmigen zu lassen. Die Herausforderungen liegen darin, eine breite BCM Awareness für das Thema Business Continuity Management zu schaffen, um die Management-Ebene für das BCM gewinnen zu können. Das Empfinden und die Wahrnehmung der Sicherheit  bei den Managern ist erfahrungsgemäss sehr unterschiedlich, was die chancen- und risikobasierende Abstimmung und den Einsatz von Investitionen erschwert. Das Management muss überzeugt sein und hat die notwendigen finanziellen Mittel für das Projekt zu genehmigen sowie die erforderlichen Mitarbeitenden für das Projekt freizustellen. Das Projekt kann danach durchstarten und die BCM Policy ist dann wesentlich schneller erstellt.

Um das Ziel, gute und nachhaltige Business Continuity Pläne zu erreichen, sind folgende BCM Policy Anforderungen zu beschreiben:

• Die Business Continuity Management Führungsstruktur soll das Business-Continuity-Programm fortlaufend entwickeln und optimieren. Diese Struktur soll einen Business Continuity Sponsor aus dem Senior Management, einen Business Continuity Manager und ein Krisenmanagement-Team enthalten, das aus Mitgliedern der Geschäftsleitung besteht.
• Business-Impact-Analysen (BIAs) sollen in allen Geschäftsbereichen durchgeführt werden. Diese Analysen bestimmen das Niveau der Kontinuitätsplanung (Definition der Risikoakzeptanzniveaus), die von jeder Einheit benötigt wird, sowie den Zeitraum, nach dem Ausfälle von Geschäftsprozessen inakzeptabel werden. Die BIA wird die Kosten / Auswirkung rechtfertigen, die notwendig sind, um die Implementierung der verschiedenen Geschäftskontinuitätsstrategien zu unterstützen.
• Potenzielle Risikobereiche sollen als Bestandteil des Kontinuitätsprogramms identifiziert werden. Mögliche Risikopositionen sind entweder auf Schadensbegrenzung oder auf Akzeptanz zu prüfen. Die Übernahme von Risikopositionen erfolgt auf der Ebene des Senior Managements. Die Minderung oder Eliminierung potenzieller Risikobereiche wird durch die möglichen Auswirkungen des Ausfalls der jeweiligen Risikoposition gerechtfertigt.
• Business-Continuity-Strategien sollen entwickelt werden, die den Anforderungen der BIA entsprechen. Die Strategien werden fortlaufend überprüft, um sicherzustellen, dass sie auch unter Berücksichtigung veränderter Geschäftsanforderungen weiterhin wirksam bleiben.
• Business Continuity Pläne sollen entwickelt, dokumentiert und gepflegt werden, um sicherzustellen, dass Business Continuity Strategien schnell umgesetzt werden können. Die Pläne sollen die Wiederaufnahme kritischer Geschäftsprozesse an alternativen Standorten innerhalb der im BIA-Prozess festgelegten Zeiträume ermöglichen.
• Alle Mitarbeiter müssen über Aus- und Fortbildung zur Bewältigung eines Katastrophenfalls informiert werden. Die Ausbildung muss regelmässig durchgeführt werden, damit alle Mitarbeitenden daran erinnert werden, was in einer Katastrophen- oder Krisensituation passieren wird und was von ihnen erwartet wird. Alle neuen Mitarbeiter sollten im Rahmen ihres Einarbeitungsprogramms in die Ausbildung einbezogen werden.
• Laufende Tests im Hinblick auf die Resilienz und die Kontinuitätsfähigkeit werden durchgeführt, um ihre allgemeine Eignung für den durch den BIA-Prozess definierten Zweck nachzuweisen sowie Fehler und Probleme mit bestehenden Plänen, Dokumentationen und Verfahren zu identifizieren.
• Die Wiederherstellungsfähigkeit muss in einem konstanten Bereitschaftszustand aufrechterhalten werden, um die bestmöglichen Mittel zur Wiederherstellung nach einem katastrophalen Vorfall bereitzustellen, der irgendeinen der Geschäftsstandorte betrifft.