Business Continuity Management bei Pandemien

Fachhochschule Wiesbaden
Fachbereich Wirtschaft
(Diplomarbeit in überarbeiteter Fassung 2007 als Fachbuch)

Business Continuity Management bei Pandemien

Jan-Hendrik Boerse

Inhaltsverzeichnis

II. ABKÜRZUNGSVERZEICHNIS ...III
III. ABBILDUNGSVERZEICHNIS ...VI

1 EINLEITUNG ...8
1.1 Diseconomies of risk und zeitgemäße Antworten ...8
1.2 Übersicht zu den einzelnen Kapiteln ...11

2 BUSINESS CONTINUITY MANAGEMENT ...12
2.1 Antriebskräfte zur Implementierung ...12
2.2 Integration des BCM in andere Managementprozesse ...14
2.3 Phasen eines idealtypischen BCM-Planungsprozesses ...20
2.3.1 Initiierungsphase ...20
2.3.2 Analysephase ...21
2.3.3 Designphase ...25
2.3.4 Implementierungsphase ...31
2.4 Laufendes BCM vor dem Notfall ...31

3 PANDEMIEN ...36
3.1 Zur Entstehung von Pandemien ...36
3.2 Annahmen eines möglichen Pandemieszenarios ...38

4 BCM IN DEN VERSCHIEDENEN STADIEN EINER PANDEMIE ...42
4.1 Temporale Betrachtung ...42
4.2 Präpandemische Phase ...45
4.2.1 Analyse ...45
4.2.1.1 Identifikation von kritischen Prozessen, Modulen und Bedrohungen ...45
4.2.1.2 Demand Impact Analysis ...53
4.2.2 Design ...58
4.2.2.1 Maßnahmen zur Sicherung der Module ...59
4.2.2.2 Krisenbedingte Initiativen ...73
4.2.3 Implementierung ...79
4.3 Pandemiephase ...84
4.3.1 Phase 5 – Aktivierung ...84
4.3.2 Phase 6 – Akute Krisensituation ...86
4.4 Postpandemische Phase ...88

5 FAZIT ...90
5.1 Kritische Würdigung ...90
5.2 Die Krise als Chance ...91

IV. LITERATURVERZEICHNIS ...VIII
A. Verzeichnis der nicht-elektronischen Quellen ...VIII
B. Verzeichnis der elektronischen Quellen ...IX

1 Einleitung

1.1 Diseconomies of risk und zeitgemäße Antworten

Die Managementtheorien des letzten Jahrzehnts verfolgen nahezu alle die Steigerung der Erträge durch eine gezielte Erhöhung der Effizienz. Ansätze wie „Just- In-Time“, „Global Sourcing”, “Vendor-managed-inventory” und “Outsourcing” sowie der zunehmende Einfluss der Informationstechnologie auf die Geschäftsprozesse erhöhten die Ertragspotentiale der Unternehmen weltweit. Gleichzeitig steigerte diese Entwicklung jedoch auch deren Verwundbarkeit und Größtrisikopotentiale überproportional, was als „diseconomies of risk“ bezeichnet wurde.¹ Dies bewegte Gesetzgeber und Unternehmenslenker zunehmend, den alten und neuen Risiken der unternehmerischen Tätigkeit in Form eines Risikomanagements (RM) entgegenzutreten, welches „den Fortbestand eines Unternehmens durch Absicherung der Unternehmensziele gegen störende Ereignisse sichern“ soll.²

Der erwartete Schaden eines identifizierten Risikos soll dabei durch den klassischen Mix aus Risikomeidung, -minderung und -transfer auf ein akzeptables Niveau reduziert werden, das als verbleibendes Netto- oder Restrisiko selbst getragen werden kann.

Dieses Vorgehen stößt jedoch bei Bedingungsrisiken mit hohem Schadenpotential und einer geringen Eintrittswahrscheinlichkeit (High-Impact-Low-Frequency, H.I.L.F.-Risiken), wie Terrorismus oder nuklearen Zwischenfällen, an Grenzen. Da Bedingungsrisiken aus nicht gestaltbaren Rahmenbedingungen des Unternehmens resultieren, ist eine Einflussnahme auf die Eintrittswahrscheinlichkeit sowie die bewusste Meidung des Risikos auszuschließen. Somit reduzieren sich die Möglichkeiten auf wirkungsbezogene Maßnahmen zur Risikominderung sowie den Risikotransfer. Letzterer erfordert jedoch eine exakte Bewertung des erwarteten Schadens, was aufgrund des Mangels an Erfahrungswerten (Low Frequency) schwierig ist. Folglich lassen sich kaum Zessionare finden, die diese Risiken zu einem angemessenen Preis übernehmen würden. Ohnehin nicht transferierbar sind dabei qualitative Risiken, die den Verlust menschlichen Lebens, der Reputation des Unternehmens oder eine drohende Schließung des Geschäftsbetriebes beinhalten.

Daher wird es im Ernstfall unabwendbar, das gesamte qualitative und quantitative Schadenpotential allein mit den wirkungsbezogenen Maßnahmen der Risikominderung zu bewältigen.

Business Continuity Management (BCM) ist ein ganzheitlicher Managementprozess, welcher durch Planung präventiver Maßnahmen, gezielte Vorbereitung eines Notfall- und Krisenmanagements sowie unverzüglicher Wiederherstellung unterbrochener Prozesse die Stabilität einer Organisation in Notlagen gewährleisten und eine Unterbrechung des Geschäftsbetriebs trotz widriger Umstände vermeiden soll.³ Dieser Ansatz wurde in unternehmerischem Kontext Mitte der 1980er Jahre in den USA zum ersten Mal unter dem Namen „Disaster Recovery“ bekannt und sollte dem Risiko eines Ausfalls der Informationstechnologie, das mit zunehmender Abhängigkeit der unternehmerischen Prozesse zu einem schwer beherrschbaren Potential herangewachsen war, begegnen. Erst Mitte der 1990er Jahre führte eine Reihe von Katastrophen dazu, diese Notfallplanung auf weitere Risiken auszuweiten. Als am 11. September 2001 zwei Flugzeuge in die Zwillingstürme des World Trade Centers stürzten hatte keines der dort ansässigen Unternehmen einen Notfallplan für ein solches Szenario entwickelt. Dass dennoch einige Unternehmen wie Morgan Stanley, Cantor Fitzgerald oder American Express innerhalb weniger Stunden wieder den Geschäftsbetrieb fortsetzen konnten, verdanken sie der Vorbereitung auf verschiedene Zwischenfälle, die neben einem Ausfall der IT beispielsweise auch den Verlust von Betriebsgebäuden berücksichtigten.⁴

Die veränderte Risikowahrnehmung nach dem 11. September 2001 verstärkte in den folgenden Jahren weltweit die Bemühungen zur Entwicklung diverser Ansätze und Richtlinien, in welcher Form BCM gestaltet werden müsse, um vergleichbaren Risiken adäquat begegnen zu können.⁵ In Ermangelung eines einheitlichen Standards weisen diese jedoch zum Teil grundlegende Unterschiede im Bezug auf Vollständigkeit und Detaillierungsgrad auf, was den Erfolg stark vom zugrunde gelegten Ansatz abhängig macht.

Mit der seit 2003 verstärkten Diskussion um Pandemien, der weltweiten Ausbreitung einer Infektionskrankheit, rückt nun ein weiteres Risiko in den Fokus der unternehmerischen Planung, das neue Anforderungen an die bestehenden Ansätze stellt. Diese konzentrieren sich bisher immer auf eine häufig unvorhersehbare, zu einem bestimmten Zeitpunkt eintretende Zerstörung meist lokaler Infrastrukturen und deren daraufhin notwendige Wiederherstellung innerhalb einer vorgegebenen Zeit. Die pandemische Bedrohung ist jedoch durch einen sich langsam anbahnenden und lang anhaltenden Notfallzeitraum gekennzeichnet, welcher vorrangig Ressourcen zerstört bzw. in ihrer Verfügbarkeit einschränkt und sich nicht auf das Unternehmen beschränkt, sondern nahezu alle Bereiche der Erde umfasst.

Aufgrund seiner Komplexität, seines Schadenpotentials und der für bisherige Überlegungen neuartigen Notfallstruktur könnte das Risiko einer Pandemie zu einer Feuerprobe für das Business Continuity Management und die bisherigen Ansätze zu dessen Praktizierung werden.

[...]

1 Vgl. Haller, M., Wehowsky, S. (2001), S. 3, Haller, M. (2006)
2 Romeike, F. / Müller-Reichart, M. (2005), S. 397
3 Vgl. Monahan, S., Laudicina, P., Attis, D. (2003), S. 11, HKMA (2002), S. 8, Basel Committee on Banking Supervision (2006), S. 1, BCI (2005), S. 5
4 Vgl. Stohr, E.A. / Rohmeyer, P. (2004), S. 1
5 Vgl. Bank of Japan (2003), S. 2, HKMA (2002), S. 3, 1.2.1