TOP
Business Continuity Management (BCM) zielt darauf ab, Unternehmen nach abrupten Störungen/Notfällen oder Katastrophen die Fähigkeit zu erhalten, Produkte und Dienstleistungen weiterhin in akzeptablen vordefinierten Mengen zu liefern.1
BCM ist damit neben dem Risikomanagement, Security-Management, Emergency-Management und dem Krisenmanagement ein Teilbereich der Resilienz eines Unternehmens, sich in einem sich verändernden Umfeld anpassen und gegen die möglichen Auswirkungen eines Ereignisses wehren zu können.2
Krisen und Katastrophen mit ihren schwerwiegenden Auswirkungen und Folgen zeigen sich insbesondere im Zusammenhang mit Naturkatastrophen, z. B. Erdbeben, Tsunamis, Vulkanausbrüchen, Flutereignissen, Waldbränden. Hierzu gehören aber auch Epidemien und Pandemien wie die zurzeit grassierende COVID-19-Pandemie, die weltumspannend Staaten, Bürger, aber auch Unternehmen massiv beeinträchtigt und zu erheblichen finanziellen und personellen Verlusten führt.
BCM definiert verschiedene Bedrohungsstufen in Bezug auf ihre Ausmaße und die damit verbundenen Auswirkungen. Die Skala reicht von Störungen über Notfälle und Krisen bis hin zu Katastrophen. Diese Begriffe geben an, auf welcher Ebene reagiert werden muss, wenn ein Ereignis eintritt, und wer für die Bewältigung des Ereignisses verantwortlich ist.
Bei einer Störung z. B. funktionieren Prozesse oder Ressourcen einer Institution nicht wie vorgesehen. Die dadurch entstehenden Schäden sind im Verhältnis zum Gesamtjahresergebnis eines Unternehmens als gering einzustufen. Sie werden in der Regel durch eine im allgemeinen Tagesgeschäft integrierte Störungsbehebung beseitigt. Gelingt es aber nicht, zeitnah die betroffenen Prozesse und Ressourcen wiederherzustellen, kann der Geschäftsbetrieb erheblich beeinträchtigt werden und dies zu hohen Schäden führen. Dies erfordert eine gesonderte Notfallbewältigungsorganisation, um alle notwendigen Maßnahmen bis hin zur Wiederherstellung des Normalbetriebs zu koordinieren und zu veranlassen.
Im Rahmen einer Krise oder gar einer Katastrophe können sich die Störungen/Notfälle so ausweiten, das die Existenz des Unternehmens und/oder die Gesundheit seiner Mitarbeiter gefährdet ist. Oft sind derartige Krisen bzw. Katastrophen von einer solchen Dimension, dass die Auswirkungen nur mit sehr hohem Aufwand innerhalb des Unternehmens oder – im Falle einer Katastrophe – nur mithilfe von außen bewältigt werden können. Unter einer Katastrophe versteht man ein Großschadensereignis, das zeitlich und/oder örtlich kaum begrenzbar ist und große Auswirkungen auf Menschen, Sachen und Werte hat oder haben kann. Eine Katastrophe geht häufig einher mit einem anhaltenden Mangel an notwendigen Ressourcen. Sie ist meist nicht durch das betroffene Unternehmen behebbar.
Um auf solche Ereignisse vorbereitet zu sein, ist es notwendig, vor einem derartigen Ereignis im Rahmen einer Gefährdungsanalyse (Threat-Analyse) mögliche Gefährdungen und Gefahren zu ermitteln um dann mithilfe der Business-Impact-Analyse (BIA) deren potenzielle direkten und indirekten Folgeschäden für ein Unternehmen durch den damit verbunden Ausfall eines oder mehrerer Geschäftsprozesse zu ermitteln und zu analysieren. Mit diesem Wissen ist es möglich, einen Business-Continuity-Managementprozess zu etablieren.
Im vorliegenden Artikel sollen die notwendigen Schritte für ein funktionierendes BCM dargestellt werden, um sodann aus Sicht der Sachversicherung mögliche Implikationen zu erörtern. Des Weiteren werden Hinweise für die Beurteilung der Qualität eines BCM in einem Unternehmen sowie für das Sachversicherungs-Underwriting gegeben.
BCM ist ein Konzept, dessen Kernaufgabe darin besteht, Geschäftsfunktionen in einem Notfall, einer Krise oder einer Katastrophe abzusichern und die möglichen Folgeschäden durch die damit einhergehende Betriebsunterbrechung zu minimieren. BCM befasst sich mit der Frage, wie in einem solchen Fall mit verringerten Ressourcen ein für den Unternehmenserfolg kritischer Geschäfts-/Produktionsprozess aufrechterhalten werden kann, sodass es möglichst nicht zu einer existenzbedrohenden Situation für das betroffene Unternehmen kommt.
BCM umfasst die folgenden Komponenten:
BCM erfordert eine proaktive Untersuchung von Ausfällen kritischer Abläufe und Prozesse in einem Unternehmen. Um die möglichen Worst-Case-Szenarien zu ermitteln, müssen sowohl die internen Faktoren wie Organisation, Infrastruktur, Informations- und Entscheidungsprozesse als auch externe Faktoren wie Kunden, Lieferanten, Umwelt, Naturgefahren, Epidemien etc. betrachtet werden. Dabei beseitigt BCM weder die Ursachen für den Schadenfall, noch verhindert es den Eintritt eines Störfalls/einer Krise/einer Katastrophe. BCM soll vielmehr die Voraussetzungen und Maßnahmen schaffen, um eine Beeinträchtigung der Geschäftsfähigkeit zu vermeiden oder zumindest zu reduzieren.
Kostenbetrachtungen stehen beim BCM nicht im Vordergrund. Mit der Aufrechterhaltung des Geschäftsbetriebs sind i. d. Regel erhöhte Kosten verbunden, um das mögliche Schadenausmaß zu reduzieren. Das BCM ist somit integraler Bestandteil des Unternehmensmanagements und erfordert die volle Aufmerksamkeit und Unterstützung der Unternehmensleitung.
Aufgrund seiner Bedeutung sind auch in gesetzlichen Regelungen, wie z. B. Solvency II und KRITIS, eine Reihe von BCM-Grundlagen beschrieben.
Die Aufstellung eines BCM ist komplex und mit erheblichen Aufwendungen verbunden ist. Es muss individuell und ganzheitlich auf die bestehenden Eigenheiten des jeweiligen Unternehmens zugeschnitten sein. Eine Schwierigkeit dabei ist, dass Eintrittswahrscheinlichkeiten für Notfälle, Krisen oder Katastrophen nicht bekannt sind und damit letztlich im Rahmen von BCM-Entscheidungen nur ein qualitativer Ansatz verbleibt, verbunden mit subjektiven und individuellen Entscheidungen.
Um Unternehmen beim Aufbau ihres BCM-Programms zu unterstützen, existieren in verschiedenen Ländern eine Reihe von Normen, aber auch eine Vielzahl von Anleitungen von Unternehmensverbänden und Risikomanagement-Institutionen. Zu nennen sind hier für Deutschland der BCM-Standard BSI 100-4, der einen systematischen Ansatz für den Aufbau eines Notfallmanagements beschreibt, um die Kontinuität des Geschäftsbetriebs sicherzustellen.3 Einen anerkannten internationalen Standard stellt ISO 22301:2019 dar, der die Anforderungen an ein BCM spezifiziert.4
Im Rahmen der Aufstellung eines BCM für ein Unternehmen kommt der bereits oben erwähnten Risikoanalyse (Threat-Analyse), der Business-Impact-Analyse sowie dem Business-Continuity-Plan eine wesentliche Bedeutung zu.
In der Risikoanalyse werden die möglichen Gefährdungen, die zu einer Unterbrechung des Geschäftsprozesses führen können, ermittelt und die damit verbundenen Risiken bewertet. Ziel hierbei ist es, die bestehenden Risiken transparent zu machen, um ggf. geeignete Strategien und Maßnahmen zu entwickeln, diese Risiken im Vorfeld zu reduzieren sowie Szenarien zu identifizieren, um individuelle Notfallpläne zu entwickeln.
Dabei kommen die klassischen Instrumentarien des Risikomanagements wie Risikoidentifizierung, Risikobewertung, Erarbeitung von Schadenszenarien, Identifizierung von Risikostrategieoptionen (Risikotransfer, Risikoübernahme, Risikovermeidung und -reduktion) zur Anwendung. Mögliche Fragestellungen in diesem Zusammenhang sind:
Wesentliche Bewertungsparameter für die Auswirkungen definierter Ausfallszenarien sind:
Größte Herausforderung im Zusammenhang mit einer Threat-Analyse sind:
Ziel der Business-Impact-Analyse (BIA) ist die Sammlung und Identifizierung von Prozessen und Funktionen innerhalb einer Organisation, um die den Prozessen zugrunde liegenden Ressourcen zu erfassen. Sie beschreibt und bewertet, was geschieht, wenn eine bestimmte Geschäftsfunktion oder ein bestimmter Produktionsablauf ausfällt:
Hierbei werden die möglichen Schadenauswirkungen betrachtet und entsprechend ihres Schweregrads bewertet:
Ergebnisse der BIA sind
Im Rahmen des BCP werden die notwendigen Pläne, z. B. der Notfallplan, Krisenmanagementplan, Business-Recovery-Plan usw. beschrieben. Sie enthalten schadenbegrenzende Maßnahmen und Vorkehrungen, die notwendig sind, um kritische Geschäftsprozesse und Mindest-Servicelevels aufrechtzuerhalten und Stillstandszeiten auf ein erträgliches Maß zu reduzieren. In diesem Zusammenhang zu nennen sind:
Im Rahmen des BCP wird zudem behandelt:
Folgende Fragestellungen sind zu betrachten:
Um im Schadenfall schnell und adäquat reagieren zu können, ist es notwendig, dass das bestehende BCM den jeweiligen Gegebenheiten einer Organisation angepasst ist. Hierzu ist es erforderlich, dass
BCM und BU verfolgen das gleiche Ziel: die Reduzierung negativer Auswirkungen von Schadenereignissen, die ein Unternehmen treffen können. Die Unterschiede sind aber:
Es ist anzumerken, dass nicht alle ein Unternehmen treffende Schäden durch eine Versicherung abgedeckt werden. Man sollt sich bspw. die Frage stellen, was eine bestehende Versicherung hilft, wenn man seinen Markt/seine Kunden verloren hat.
Ein bestehendes BCM ist sowohl für den Versicherungsnehmer als auch den Versicherer hilfreich und gibt sowohl für die Auswahl notwendiger Versicherungsprodukte als auch bei der Festlegung des notwendigen Versicherungsrahmens wertvolle Hinweise, wie:
Ein vorhandenes BCM-System führt aber nicht, wie oft angenommen, zu einer Senkung des Betriebsunterbrechungs-PML’s/MFL’s, beeinflusst aber im Schadenfall die Eintrittswahrscheinlichkeit, dass es zu einem PML/MFL-Ereignis kommt. BCM ist untrennbar mit der Betriebsunterbrechungsversicherung verbunden. Da BCM auch die künftige Geschäftsentwicklung eines Unternehmens miteinbezieht, hilft es, die richtige Betriebsunterbrechungsversicherungssumme sowie Haftzeit in der Betriebsunterbrechungsversicherung festzusetzen und damit eine Unterversicherung zu vermeiden. Weiterhin liefert es auch Hinweise, welche möglichen vorbeugenden Maßnahmen getroffen werden können, um ein mögliches Schadensszenario zu vermeiden oder dessen Auswirkungen zumindest abzumindern.
Ein BCM bietet aber genauso wenig wie eine Betriebsunterbrechungsversicherung Gewähr, dass sich nach einem Schadenfall ein Unternehmen wirtschaftlich wieder erholt.
Mögliche Kumulsituationen sind für einen Versicherer ein Bedrohungspotenzial. Daher unternehmen Versicherer sowie Rückversicherer nicht unerhebliche Anstrengungen, durch Analysen und Betrachtungen mögliche Kumulszenarien von Schadenfällen zu ermitteln, die mehrere Versicherungsnehmer/-policen betreffen und somit zu einer Vergrößerung des zu zahlenden Schadenaufwands führen können.
Solche Haftungskumule können sich aus verschiedenen Situationen für einen Versicherer ergeben, sei es, dass sich weitere Haftungsansprüche aus Störungen in der Zuliefererkette oder bei Kunden ergeben oder dass aus regionalen oder sogar weltweiten Schäden eine Vielzahl von Versicherungspolicen gleichzeitig betroffen werden.
Solche Szenarien ergeben sich bspw. aus Naturgefahrenereignissen, in denen ganze Landstriche betroffen sind, oder beim Ausfall von Infrastruktureinrichtungen (z. B. Ausfall der Energie, Wasserversorgung) oder aber aus der Tatsache, dass bei einem Versicherer verschiedene Versicherungspolicen eines Versicherungsnehmers bestehen, die durch ein Schadenereignis gleichzeitig betroffen werden, z. B. neben der Sachpolice die Haftpflicht-, D&O-, Cyber- oder sonstige weitere Versicherungspolicen.
Hier kann das BCM eines Versicherungsnehmers zumindest in Teilbereichen die Kumulhaftungsabschätzung des Versicherers unterstützen.
Ein BCM liefert für einen Underwriter vielfältige Anhaltspunkte für die Abschätzung des Haftungspotenzials bei einer vorliegenden Betriebsunterbrechungsversicherung, denn es werden Gefahrenpotenziale sowie ihre Auswirkungen in vielfältiger Hinsicht betrachtet. Daher ist es für einen Underwriter hilfreich, die Qualität eines BCM in einem zu versichernden Unternehmens zu bewerten und ggf. positiv im Underwriting zu berücksichtigen.
Ein „gutes“ BCM lässt sich anhand der Beantwortung folgender Fragen vermuten:
Zu weiteren ergänzenden Hinweisen zum Underwriting bei einer Betriebsunterbrechungsversicherung siehe die Gen Re Publikationen: Betriebsunterbrechungen richtig versichern5 und Sach-BU-Versicherung: Quo vadis6.
BCM ist ein Konzept zur Absicherung von Geschäftsfunktionen gegen gravierende Krisen und zur Minimierung der Folgeschäden von Betriebsunterbrechungen. Es beantwortet die Frage, wie im Notfall mit verringerten Ressourcen ein für den Unternehmenserfolg kritischer Geschäfts-/Produktionsprozess aufrechterhalten werden kann, sodass es nicht zu einer existenzbedrohenden Situation für das betroffene Unternehmen kommt.
BCM-Pläne sind sehr individuell und müssen sorgfältig an die spezifischen Abläufe und Umgebungsbedingungen eines Unternehmens angepasst werden. Daher ist ein einheitlicher Bewertungsmaßstab für die Aktualität und Wirksamkeit eines BCM-Plans schwer.
Liegt ein BCM vor, wird es das betreffende Unternehmen in einem Schadenfall gut unterstützen, die richtigen Gegenmaßnahmen zu treffen, so schnell wie möglich die Geschäftsprozesse wieder zu etablieren oder aufrechtzuerhalten. Es liefert dabei für das Unternehmen wertvolle Hinweise für die sinnvolle Ausgestaltung seiner Versicherungspolice, z. B. einer Betriebsunterbrechungsversicherung, und unterstützt den Versicherer im Rahmen seines Underwritings.
Die Pandemie COVID-19 hat gezeigt, wie gut viele einzelne Unternehmen auf eine solche Krise vorbereitet waren und inwieweit sie in der Lage waren, ihre Geschäftsprozesse im Notfall aufrechtzuerhalten und damit ihre Kundenbeziehungen und Marktanteile zu sichern.
Die derzeitige Krise bietet aber auch den Unternehmen Gelegenheit zu überprüfen, wie gut ihre BCM-Vorbereitungen waren und mögliche Schwachstellen zu erkennen – und damit die Möglichkeit, ihre Resilienzen für zukünftige Krisen und Schadenfälle durch Nachjustierungen zu stärken.
