Dieser relativ neue Begriff, „operative Resilienz“, wirft bei vielen die Frage auf: „Ist das dasselbe wie Geschäftskontinuität?“ oder „Worin besteht der Unterschied?“ Zwar gibt es Gemeinsamkeiten, doch möchte ich die Unterschiede erläutern. Es gibt zwar Gemeinsamkeiten, aber ich werde versuchen aufzuzeigen, worin sie sich unterscheiden.
Operative Resilienz ist eine Weiterentwicklung der traditionellen Geschäftswiederherstellung (auch als „Business Continuity“ oder „IT-Disaster-Recovery“ bezeichnet): Anstatt sich ausschließlich darauf zu konzentrieren, den Geschäftsbetrieb nach einer Störung wiederherzustellen, zielt sie darauf ab, das Unternehmen widerstandsfähig zu machen, sodass die Auswirkungen von Störungen minimiert werden und die Organisation auch bei auftretenden Störungen weiterarbeiten kann. Angesichts der Tatsache, dass ein durchschnittliches Unternehmen durch eine Störung bis zu 10 % seines Wertes verlieren kann, konzentriert sich die operative Resilienz auf vorbeugende Maßnahmen zur Verringerung dieser potenziellen Auswirkungen.
Traditionelle Geschäftskontinuität
Seit Jahrzehnten verfügen Unternehmen weltweit über Business-Continuity-Funktionen, um nach einer Störung den Geschäftsbetrieb wiederherzustellen. Dazu gehört die Dokumentation und Erprobung von Wiederherstellungsplänen, die sich auf die internen Geschäftsprozesse, Einrichtungen, Mitarbeiter und IT-Systeme konzentrieren. Anhand von Business-Impact-Analysen (BIAs) wird ermittelt, welche internen Geschäftsprozesse oder IT-Systeme für das Unternehmen am wichtigsten sind. Ich möchte betonen, dass dieser Ansatz reaktiv (Wiederherstellung) und nach innen gerichtet ist (interne Geschäftsprozesse, IT-Systeme usw.).
Operative Widerstandsfähigkeit
Dieses Konzept stammt ursprünglich von den Aufsichtsbehörden der Finanzdienstleistungsbranche, vor allem im Vereinigten Königreich. In jüngster Zeit wurden Vorschriften erlassen, die weltweit Nachahmer finden, da andere globale Aufsichtsbehörden diesem Beispiel folgen. Im Gegensatz zur Geschäftskontinuität ist die operative Widerstandsfähigkeit ein wirksameres Mittel, um Organisationen auf Störungen vorzubereiten, die durch Pandemien, Engpässe in der Lieferkette, geopolitische Turbulenzen und Cyberangriffe verursacht werden.
Die Hauptkomponenten der operativen Resilienz sind bereits im Begriff selbst enthalten. Operativ (die Art und Weise, wie das Unternehmen arbeitet) Resilienz (Maßnahmen zur Minderung der Auswirkungen von Störungen). Es geht um proaktives Handeln im Gegensatz zu reaktivem Handeln.
Ein weiterer Unterschied liegt im Fokus. Operative Resilienz beginnt mit der Ermittlung der wichtigsten Produkte und Dienstleistungen, die das Unternehmen seinen Kunden anbietet. Dieser Ansatz ist nach außen gerichtet. Aufgrund dieses Fokus können die Prioritäten und Kennzahlen sehr unterschiedlich ausfallen. Die wichtigste Kennzahl ist die „Auswirkungstoleranz“, also das Ausmaß, in dem ein Kunde oder das Unternehmen selbst beeinträchtigt werden kann, bevor die Störung als unerträglich gilt. Wenn beispielsweise unser Online-Banking-Portal ausfällt und Kunden nicht auf ihr Geld zugreifen können, wie lange ist dies für einen Kunden noch tolerierbar? Oder wenn dem Unternehmen durch den Ausfall des Online-Bankings Einnahmen entgehen, wie viel Umsatz kann sich das Unternehmen leisten zu verlieren? Die Kennzahlen beziehen sich auf die tatsächlichen Auswirkungen – in diesem Beispiel auf Dollar und Cent. Diese Analyse führt zu einem anderen Ansatz als nur die Erstellung von Wiederherstellungsplänen für den Fall eines Ausfalls des Online-Bankings. Das Unternehmen wird bei seinen Maßnahmen wesentlich proaktiver vorgehen, um sicherzustellen, dass das Online-Banking gar nicht erst ausfällt.
Ich habe bereits einige Beispiele für den Unterschied zwischen Business Recovery und operativer Resilienz genannt. In der folgenden Tabelle sind einige dieser Unterschiede zusammengefasst.
| | Geschäfts- und IT-Wiederherstellung | Operative Widerstandsfähigkeit |
|---|---|---|
| Ziele | Der Schwerpunkt liegt auf der Wiederherstellung dessen, was gestört wurde | Der Schwerpunkt liegt auf dem Aufbau von Resilienz im gesamten Unternehmen |
| Analyse der Auswirkungen auf das Geschäft | Schwerpunkt auf der Ermittlung der Kritikalität interner Geschäftsprozesse | Der Schwerpunkt liegt auf der Ermittlung wichtiger Produkte und Dienstleistungen, die den Kunden angeboten werden |
| Kennzahlen | Recovery Time Objective und Recovery Point Objective | Auswirkungstoleranzen, wie zum Beispiel: Was können Kunden tolerieren, wenn es zu Störungen bei unseren Produkten und Dienstleistungen kommt? Wie viel Umsatz können wir uns leisten zu verlieren, wenn es zu Störungen bei unseren Produkten und Dienstleistungen kommt? |
| Risikomanagement | Das BCM-Team führt eine oberflächliche Risikoanalyse durch | Die Abstimmung mit der Risikomanagementfunktion ist von entscheidender Bedeutung, damit unternehmensweit ein einheitlicher Risikomanagementansatz verfolgt wird. Dies wird häufig als „integriertes Risikomanagement“ bezeichnet. |
| Testen | In der Regel umfasst dies die Durchsicht von Wiederherstellungsplänen, um zu prüfen, ob diese sinnvoll sind | Umfassende Szenariotests dazu, was schiefgehen könnte und wie wir darauf reagieren. Welche operativen Maßnahmen haben wir bereits getroffen bzw. müssen wir noch ergreifen? |
| Abhängigkeiten | Konzentrieren Sie sich auf einen Geschäftsprozess, ein IT-System oder eine Einrichtung. Berücksichtigen Sie dabei manchmal die gegenseitigen Abhängigkeiten. | Beginnen Sie mit dem Produkt bzw. der Dienstleistung, die dem Kunden angeboten wird, und ermitteln Sie die Geschäftsprozesse, Systeme, Mitarbeiter, Daten, Einrichtungen und Dritten, die an der Bereitstellung dieses Produkts bzw. dieser Dienstleistung beteiligt sind – und bauen Sie dann Resilienz in diese gesamte „Wertschöpfungskette“ ein. |
| Dritte | Stellen Sie sicher, dass sie über eigene Notfallpläne verfügen | Die Ausfalltoleranzen der Drittanbieter müssen mit unseren übereinstimmen. Sie sind Teil der oben genannten Wertschöpfungskette, und wir müssen sicherstellen, dass sie ebenso widerstandsfähig sind wie unser Unternehmen. |
Manche mögen sagen, dass es keinen großen Unterschied gibt, aber nachdem ich die letzten 30 Jahre meiner beruflichen Laufbahn in diesem Bereich verbracht habe, kann ich mit Sicherheit sagen, dass es sich hierbei um eine Weiterentwicklung handelt. Auch wenn es sich derzeit um ein Thema handelt, das aus regulatorischen Vorgaben hervorgeht, ist es doch eine bewährte Vorgehensweise, die von jeder Organisation übernommen werden sollte.
Weitere Informationen finden Sie in den auf Archer Operational Resilience veröffentlichten Ressourcen. Kontaktieren Sie uns, um mit einem Archer-Experten zu sprechen.
