Die Welt ist zunehmend vernetzt, und Unternehmen sind den Risiken und Chancen anderer Unternehmen stärker ausgesetzt als je zuvor. Physische Lieferketten, digitale Kommunikation und integrierte Geschäftssysteme haben die Risikolandschaft grundlegend verändert. Die Pandemie hat uns allen die Komplexität moderner Unternehmen vor Augen geführt und deutlich gemacht, wie wichtig eine enge Abstimmung zwischen Abteilungen und Fachbereichen bei der Bewältigung einer Krise ist.
Operative Resilienz kann nicht mehr nur aus der BC/DR-Funktion (Business Continuity und Disaster Recovery) bestehen, die reaktive Wiederherstellungspläne erstellt, die nur bei seltenen, regional begrenzten oder IT-bedingten Störungen wieder hervorgeholt werden. Ein Plan zur Aufrechterhaltung des Betriebs, der einen lokalisierten Disaster-Recovery-Prozess vorsieht, lässt sich möglicherweise nicht auf eine globale Störung übertragen. Darüber hinaus ist ein IT-Problem nicht nur ein Problem des Computernetzwerks des Unternehmens, wenn Infrastruktur und physische Anlagen stets miteinander verbunden sind.
Die Pandemie hat deutlich gemacht, wie wichtig eine ganzheitliche und vollständig integrierte Sichtweise auf das Risikomanagement ist. Die Folgen unkontrollierter Risiken für jede Organisation sind weitreichend, und da die Risiken weiter zunehmen, engagieren sich Führungskräfte und Vorstandsmitglieder zunehmend in Initiativen zum Risikomanagement. Immer mehr Organisationen haben damit begonnen, das Risikomanagement in ihre täglichen Abläufe zu integrieren.
Risiken verändern sich in so vielen Bereichen so dramatisch, dass isolierte und manuelle Prozesse es erschweren, den Beteiligten schnell vollständige Informationen zur Verfügung zu stellen. Selbst die erfolgreichsten Einzellösungen werden diese Herausforderung nur noch verstärken, da Informationen an unterschiedlichen Orten gespeichert und von jeder Abteilung auf unterschiedliche Weise genutzt werden. Genau aus diesem Grund sehen unsere Kunden einen so großen Mehrwert darin, mehrere Risikodimensionen auf einer einzigen Plattform zu verwalten – tatsächlich verwalten fast 80 % unserer Kunden mehrere Risikobereiche über Archer.
Ein Unternehmen, das integrierte Risikomanagementpraktiken und -prozesse vollständig umgesetzt und etabliert hat, kann dennoch mit Risiken durch Dritte konfrontiert werden, die sich seiner direkten Kontrolle entziehen. Um zu erfahren, wie das Management von externen Anbietern und Lieferanten die operative Widerstandsfähigkeit steigern und sogar das Wachstum vorantreiben kann, laden Sie unseren aktuellen Bericht „The State of Integrated Risk Management“ herunter.
Erhöhtes Risiko von Störungen in der Lieferkette
Die vernetzte Weltwirtschaft hat immer mehr Organisationen Risiken ausgesetzt, die außerhalb ihrer traditionellen Tätigkeitsbereiche liegen. Selbst wenn eine Organisation in der Lage war, einen Business-Continuity-/Disaster-Recovery-Plan für die unzähligen Eventualitäten zu formulieren und ordnungsgemäß zu kategorisieren, die den Betrieb stören können, erfordert das Erkennen neu auftretender Risiken und der rasche Übergang zur Notfallwiederherstellung dennoch eine tiefgreifende Integration des Risikomanagements in die organisatorischen Rahmenbedingungen.
Lokale und globale Störungen haben sich von seltenen Ausnahmen zu einer alltäglichen Realität entwickelt. Da sich die Risikoprofile immer mehrer Organisationen erweitern, wird die Fähigkeit zum kontinuierlichen Risikomanagement auf allen Ebenen des Betriebs immer wichtiger. Dementsprechend hat das Risikomanagement angesichts des Umfangs und der Reichweite der Geschäftstätigkeit eine zentrale Rolle eingenommen.
Wir haben festgestellt, dass für viele Unternehmen das Vorhersehen, Erkennen und Managen von Risiken zu einem entscheidenden Bestandteil auf allen Betriebsebenen geworden ist. Unsere Erfahrungen mit Unternehmen, die Archer einsetzen, geben uns Einblicke darin, wie Unternehmen auf die Herausforderungen des vergangenen Jahres reagiert haben. Über 60 % der Befragten der RSA Digital Risk-Umfrage 2020 gaben an, dass die integrierten Risikomanagementprogramme ihrer Unternehmen „etwas“ oder „ziemlich“ umfangreich seien. Im Vergleich dazu gaben nur 7 % der Befragten an, dass ihre Unternehmen über keinerlei integrierte Risikomanagementprogramme oder -verfahren verfügten – damit wird deutlich, dass Risikomanagement in heutigen Unternehmen eine Priorität darstellt.
Globale Veränderungen und operationelle Risiken
Der Klimawandel hat Ereignisse, die früher nur einmal im Leben vorkamen, zu regelmäßigen Erscheinungen gemacht. In einigen Regionen wird erwartet, dass es fast jedes Jahr zu 100-Jahres-Hochwassern kommt (1). Im Sommer 2021 stiegen die Temperaturen im pazifischen Nordwesten Nordamerikas – einer Region, in der das Klima so mild ist, dass die meisten Menschen keine Klimaanlage haben – auf über 120 Grad Fahrenheit. Zuvor undenkbare Wetterstörungen sind mittlerweile an der Tagesordnung und führen zu unvorhersehbaren Unterbrechungen. Katastrophale Überschwemmungen, die Industriezentren wegspülen, Hitzewellen, die Stromleitungen und Straßen zum Schmelzen bringen, sowie Eisstürme, die Gasleitungen einfrieren lassen – all dies hat das Potenzial, Lieferketten ins Chaos zu stürzen. Selbst ein Unternehmen, das mehrere Lieferanten einsetzt, um die betriebliche Widerstandsfähigkeit zu gewährleisten, hat dennoch Pech, wenn alle Lieferanten gleichzeitig während einer globalen Katastrophe ausfallen.
Ausgeklügelte, staatlich sanktionierte Cyberangriffe haben bei immer mehr Organisationen zu Störungen geführt. Die SolarWinds-Angriffe von 2020 (2), bei denen russische Hacker die Netzwerke von über 18.000 Organisationen kompromittierten, sind nur ein Beispiel dafür. In diesem Fall scheinen die Netzwerke der US-Regierung das Ziel gewesen zu sein, doch da der Angriff das Hacken des Software-Update-Servers für alle Nutzer der SolarWinds-Orion-Plattform beinhaltete, wurden auch viele nichtstaatliche Netzwerke kompromittiert.
Zu Beginn der COVID-19-Pandemie machte ein Mangel an N95-Masken die Risiken eines vernetzten und internationalen Geschäftsumfelds deutlich. Da nur wenige Informationen darüber vorlagen, welche Präventionsmaßnahmen die Ausbreitung des Virus eindämmen könnten, erwiesen sich N95-Masken als wirksam bei der Verringerung der Übertragung. Zu den Hamsterkäufen, die die Lagerbestände an Masken fast vollständig aufbrachten, kam noch die Schließung der internationalen Grenzen hinzu, da die für die Masken verwendete medizinische Zellulose in Kanada hergestellt wurde (3). Jede Organisation, die zur Erreichung ihrer operativen Ziele auf persönliche Interaktionen angewiesen war, sah sich gezwungen, zwischen einer Einstellung des Betriebs, einer Fortführung des Betriebs unter Gefährdung des Personals oder der Zahlung exorbitanter Preise für immer knapper werdende Gesichtsmasken zu wählen. Organisationen ohne ein etabliertes Rahmenwerk, in dem sie schnell Vergleiche anstellen und Entscheidungen über operative, Compliance- und finanzielle Risiken treffen konnten, hatten darunter zu leiden.
Unternehmen müssen sich regelmäßig auf Risiken vorbereiten und diese bewältigen, die frühere Generationen als völlig undenkbar angesehen hätten. Aus diesem Grund empfehlen wir Unternehmen, Risiken durch eine bereichsübergreifende Koordination der Maßnahmen zu bewältigen, beispielsweise in den Bereichen Resilienz, Revision, Compliance, IT und operationelle Risiken. Anstatt davon auszugehen, dass ein bestimmtes Ereignis isoliert auftritt und allein bewältigt werden kann, werden moderne Unternehmen bald erkennen, dass mehrere Störungen gleichzeitig auftreten können.
Die operative Widerstandsfähigkeit ist der wichtigste Antrieb
Wir empfehlen Unternehmen, Risikobereiche ganzheitlich anzugehen, indem sie die im Tagesgeschäft auftretenden Risiken mit den Auswirkungen dieser Ereignisse auf die Unternehmensstrategie verknüpfen. Jeder fünfte Befragte der RSA-Umfrage zu digitalen Risiken aus dem Jahr 2020 gab an, dass er in den nächsten zwei Jahren der Abstimmung von Geschäftsresilienz und Unternehmensrisikomanagement-Ansätzen Priorität einräumen werde. Eine Unternehmenskultur, die sich auf Prozesse und Verfahren stützt, um operative Resilienz zu gewährleisten, reicht nicht aus. Globale Risiken lassen sich nicht unbedingt mit denselben Prozessen bewältigen, die für interne Risiken oder sogar Risiken durch Lieferanten geeignet sind. Erfahren Sie in unserem Bericht „The State of Integrated Risk Management“, wie Sie nicht nur auf globale Risiken außerhalb Ihres Unternehmens reagieren, sondern Risiken sogar zu Ihrem Vorteil nutzen können.
(1) https://www.nature.com/articles/s41467-019-11755-z
(2) https://www.businessinsider.com/solarwinds-hack-explained-government-agencies-cyber-security-2020-12
(3) https://www.theglobeandmail.com/canada/article-vancouver-island-pulp-mill-supplies-materials-for-medical-protective/
