safeFM 007 - BCM 01: Business Continuity Management - Was ist das eigentlich?
BCM als wichtiger Ansatz zur Aufrechterhaltung des (Geschäfts-) Betriebs und seine Schnittstellen
04.05.2025 22 min Carsten Janiec
Zusammenfassung & Show Notes
In dieser Folge von Safe FM dreht sich alles um das Thema Business Continuity Management (BCM). Dein Host Carsten erklärt, was BCM eigentlich ist, warum es für Unternehmen so wichtig ist und wie es hilft, kritische Geschäftsprozesse auch in Krisensituationen aufrechtzuerhalten.
Anhand anschaulicher Beispiele werden die wichtigsten Bestandteile des BCM vorgestellt und die Schnittstellen zu Facility Management, Brandschutz und Arbeitsschutz kurz beleuchtet.
Die Folge gibt praktische Tipps zur Umsetzung und zeigt typische Herausforderungen auf. In weiteren Folgen werden einzelne Aspekte des Themas detaillierter betrachtet.
Anhand anschaulicher Beispiele werden die wichtigsten Bestandteile des BCM vorgestellt und die Schnittstellen zu Facility Management, Brandschutz und Arbeitsschutz kurz beleuchtet.
Die Folge gibt praktische Tipps zur Umsetzung und zeigt typische Herausforderungen auf. In weiteren Folgen werden einzelne Aspekte des Themas detaillierter betrachtet.
Transkript
Willkommen zu SAFE-FM, dem deutschsprachigen Podcast zu Facility Management,
Brandschutz, Arbeits- und Gebäudesicherheit.
Moin Leute, ich begrüße euch zur siebten Folge des SAFE-FM Podcast.
Es geht heute darum, was Business Continuity Management ist und wie man damit
umgehen soll und ob es Bezüge zum Beispiel zum Facility Management,
zum vorbeugenden Brandschutz oder aber auch zum Arbeitsschutz gibt.
Schauen wir einfach mal auf ein Praxisbeispiel im weitesten Sinne.
Stellt euch vor, es gibt einen Brand in einem Bürogebäude eines Unternehmens,
dessen Geschäftsprozesse, wie heute fast überall üblich, stark IT-getrieben sind.
Durch bauliche Mängel kommt es zum Ausbreiten von Rauch, ganz erheblicher Rauchausbreitung
über Kabelschächte und so weiter.
Löschwasser, der Sprinkleranlage und der Feuerwehr breiten sich ebenso im Gebäude
aus und davon sind unter anderem Serverräume und die zentrale Elektroverteilung betroffen.
Die Anlagen in beiden Räumen nehmen Schaden und fallen aus.
Dies könnte natürlich dazu führen, dass das Unternehmen seine Leistungen,
seine Geschäftsprozesse einstellen
muss und diese Einschränkungen möglicherweise auch langfristig sind.
Betreibt das Unternehmen aber ein funktionierendes Business Continuity Management,
bekommen vielleicht die Kunden und Partner nur wenig oder auch gar nichts von
diesen Vorkommnissen mit.
Was ist ein BCM-System? Das wollen wir uns heute anschauen und wie ich schon
sagte, wir werden uns weiterhin kurz die Schnittstellen zum Facility Management,
zum vorbeugenden Brandschutz, aber auch zum Beispiel zum Arbeitsschutz ansehen.
Fangen wir mal mit einer Definition an. Das ist ja mal ganz gut so zum Einstieg.
Business Continuity Management, nachfolgend nenne ich es einfach mal BCM,
ist ein ganzheitlicher Ansatz zur Vorbereitung und Aufrechterhaltung von Geschäftsprozessen,
auch dann, wenn unvorhergesehene Ereignisse oder sogar Katastrophen auftreten.
Das Kernziel des BCM ist,
sicherzustellen, dass ein Unternehmen seine wesentlichen Funktionen auch möglicherweise
während und nach einer Katastrophe aufrechterhalten kann oder zumindest mit
möglichst geringer Ausfallzeit wieder in Gang bringt.
Ob es tolerabel ist, dass während dieses Ereignisses die Leistungen ausfallen
oder nicht, muss man im Einzelfall entscheiden.
Bei einem Krankenhaus wird man sicherlich weniger tolerant sein,
dass die krankenhaustypischen Versorgungsleistungen während einer zum Beispiel
Naturkatastrophe ausfallen,
wohingegen man möglicherweise bei einem Dienstleister im Baubereich das ohne
weitere Probleme akzeptieren würde.
Historisch gesehen ist BCM eine militärische Idee.
Da ging es nämlich immer darum, auch unter widrigsten Umständen handlungsfähig zu bleiben.
Bereits vor gut zweieinhalbtausend Jahren hat Zunzu über dieses Thema geschrieben.
Und auch heute setzen sich nicht nur Unternehmen, sondern auch moderne Armeen
genau mit diesem Themenfeld auseinander, so auch die Bundeswehr.
Wir müssen bei dieser Definition nur ein ganz klein bisschen Vorsicht walten lassen.
BCM wird gegenwärtig sehr, sehr stark auf die Unternehmens-IT fokussiert,
möglicherweise sogar limitiert.
Klar, IT ist eine Schlüsselfunktion in Unternehmen, ohne die geht vieles nicht.
Aber auch das in Anführungsstrichen banale Zerstören einer Leitung,
die in das Gebäude führt, durch eine Naturkatastrophe oder einen Bagger,
kann dazu führen, dass zum Beispiel die raumklimatischen Bedingungen nicht mehr
so sind, dass man arbeiten kann,
obwohl die IT-Services bereitstehen.
Deshalb muss man immer im Detail
untersuchen, inwieweit verschiedenste Bereiche betroffen sein können.
Eine reine Fokussierung auf die IT ist sicherlich nicht richtig.
Warum? Das wäre der dritte Punkt. Ist das Ganze so wichtig?
Wir haben verschiedene Themen. Wir haben Vernetzungsthematik.
Ich muss mich vielleicht auch damit auseinandersetzen, wie in meinen gesamten
Prozessen Einflüsse, die von außen kommen,
also sprich, die zum Beispiel von Dienstleistern, die für mich arbeiten,
von Lieferanten, die für mich arbeiten, auf mich übertragen werden,
indem diese zum Beispiel ausfallen relevant sein können.
Wir haben heutzutage eine große Bandbreite von Bedrohungen.
Klassisch Naturkatastrophen, Hochwasser haben wir in den letzten Jahren das
ein oder andere Mal mit großen Auswirkungen auch in Deutschland erlebt.
Es können technische Systeme ausfallen, Strom, Netze brechen zusammen,
so wie wir es gerade unter anderem in Spanien, Portugal und Teilen Frankreichs erlebt haben.
Aber auch Cyberangriffe sind relevant, Pandemien sind möglicherweise relevant,
menschliches Fehlverhalten kann zu Problemen führen oder schlichtweg auch terroristische Angriffe.
Die wirtschaftlichen Folgen können ganz, ganz, ganz, ganz groß sein.
Und durch eine lange Betriebsunterbrechung und den Begriff lang wird man,
wie ich schon oben am Beispiel des Krankenhauses darstellte,
immer sehr individuell festlegen müssen.
Auf jeden Fall wird man durch diese Unterbrechung möglicherweise Imageverluste
erleiden und auch finanzielle Verluste.
Die können sicherlich auch dann dazu führen, dass Unternehmen aufhören zu existieren.
Und so wie wir am Anfang jetzt gerade überlegt haben,
naja, was kann denn in der Lieferkette zu mir passieren und dann meine Prozesse
schädigen, werden das möglicherweise auch andere, denen ich vorgeschaltet, vorgelagert bin,
überlegen und mich nicht beauftragen als Unternehmen, weil sie halt sagen,
das Ganze ist mir zu risikoreich, wenn diese Firma ausfällt.
Kommen wir zum vierten Punkt, die Kernelemente des BCM-Systems.
Wir gucken uns dort wirklich nur Überschriften an mit ein paar Erläuterungen,
denn das Ganze werden wir in weiteren Folgen uns immer noch mal detaillierter ansehen.
Das absolute Kernelement des BCM-Systems ist die sogenannte Business Impact Analyse.
Hier geht es darum, dass man untersucht, welche Geschäftsprozesse sind wirklich
kritisch und wie groß ist der Schaden bei einem Ausfall.
Wir können das an einem ganz einfachen Beispiel, und das ist ein Beispiel wie
möglicherweise eine Schnittstelle zum Facility Management, festmachen.
Ist der Ausfall der Betriebskantine wirklich kritisch?
Für den Caterer, der das als Externer betreibt, sicherlich, denn das Betreib
dieser Kantine ist sein Kernprozess.
Fällt das Ganze aus, hat er ein riesengroßes Problem.
Aber wenn das Unternehmen diese Kantine selber betreibt, ist das Problem wirklich so riesengroß?
Das muss man sich ansehen.
Dann kommen wir zur Risikobewertung als nächsten Punkt. Da geht es darum,
welche konkreten Bedrohungen gibt es für die als kritisch festgestellten Prozesse bzw.
Assets. Also es geht immer darum zu gucken, welche Dinge, Prozesse,
Assets möchte ich betrachten und dann müssen wir alle wirklich relevanten Szenarien
darüber ziehen sozusagen.
Das kann dann losgehen bei Naturkatastrophen und kann eben bei hochkomplexen Cyberangriffen enden.
Wir müssen dann in dem nächsten Schritt auf Basis dieser Business Impact Analyse
überlegen, welche Maßnahmen sind notwendig.
Dazu müssen wir Strategien und Notfallpläne entwickeln, um eben diese kritischen
Prozesse aufrechtzuerhalten, vor allem aufrechtzuerhalten in dem notwendigen Maße.
Es kann ja sein, dass man sie schon einschränken kann, sozusagen einen Notbetrieb
fahren kann für eine gewisse Zeit.
Aber das muss man im Vorhinein festlegen. Das On-the-Fly im Betrieb festlegen
zu wollen, das wird im Regelfall nicht funktionieren.
Und dann geht es natürlich auch darum, wenn wir Prozesse einstellen müssen,
wenn wir zum Beispiel Anlagen abschalten müssen, dann müssen wir uns auch überlegen,
wie wir sie möglichst schnell wieder in Betrieb nehmen.
Auch dafür, rein auf die Technik jetzt einmal bezogen, brauchen wir Inbetriebnahmepläne.
Das Ganze muss dann implementiert werden, trainiert und regelmäßig geübt werden.
Ich denke, da brauche ich in diesem Podcast nicht so viel dazu zu sagen,
aber ganz klar, ein Plan muss sich immer daran messen lassen,
wie er nachher umgesetzt wird und ohne Schulung und realistische Übung wird
das im Regelfall nichts werden.
Wichtig ist, und da sind wir beim abschließenden Punkt für diesen Bereich,
es geht um kontinuierliche Verbesserung.
BCM ist kein einmaliges Projekt, sondern ein wirklich fortlaufender ongoing process.
Der im Grunde genommen regelmäßig auch angepasst werden muss an sich verändernde Rahmenbedingungen.
Und die haben wir heute sicherlich ganz, ganz stark. Man kann sich ganz viele
Praxisbeispiele angucken und wenn man so ein bisschen recherchiert,
wird man einiges finden.
Da gibt es IT-Unternehmen, die zum Beispiel durch die Redundanz der Server in
den verschiedenen Rechenzentren und die redundante Vorhaltung von Daten es hinbekommen haben,
dass Störungen, teilweise auch erheblicher Art, gar nicht aufgefallen sind.
Es gibt Fälle, wo durch ein sogenanntes Incident Management,
also ein Störungsmanagement, sehr frühzeitig Störungen aufgefallen sind und
dadurch der Betrieb aufrechterhalten werden konnte.
Es gab aber und gibt aber andererseits auch Fälle, bei denen zum Beispiel,
man kann es für einige Landkreise in Deutschland sagen, nachdem sie von Hackern angegriffen wurden,
über Monate die Dienstleistung für die Bürger nicht vollumfänglich,
anfangs teilweise gar nicht erbracht werden konnten.
Da war also offensichtlich überhaupt kein BCM wirksam implementiert.
Wenn wir uns jetzt und wir nähern uns schon dem Ende des heutigen Teils so langsam angucken,
welche Bedeutung haben Facility Management,
vorbürgender Brandschutz und Arbeitsschutz, dann wird man sehen,
dass diese drei Bereiche sehr relevant sind für das Fortführen des Geschäftsbetriebes.
Das FM betreibt die physische Infrastruktur des Unternehmens,
stellt die Services bereit, damit die Kernprozesse funktionieren können.
Und deshalb kann man eigentlich gar nicht daran vorbei, das FM in diese BCM-Schematik,
in diesen BCM-Prozess, nenne ich das jetzt mal,
durchgehend von Anfang an und auch mit, in meinen Augen, einem relevanten Stimmrecht einzubinden.
Wirkliche Störungen zu bekämpfen und mit ihnen umzugehen, ist im Grunde genommen
ohne das FM kaum möglich. Warum?
Weil das FM zum Beispiel die Grundversorgung sicherstellt.
Strom, Wasser, Abwasser, möglicherweise auch das Internet, da könnte man jetzt
vielleicht mit einer IT-Abteilung darüber diskutieren. Aber...
Im Grunde genommen, die Leitung liegt tendenziell ja eher in der Obhut des Facility-Managements.
Es geht aber auch zum Beispiel um die Bereithaltung von Ausweichstandorten.
Es geht darum, das klingt für viele ganz banal, aber es ist es eben nicht,
dass man Notfallsysteme, also die gesamte Sicherheitstechnik,
regelmäßig wartet, überprüft und an sich möglicherweise wandelnden Bedürfnisse anpasst.
Was bringt ein Notstromaggregat, in dem, auf Deutsch gesagt,
Diesel in den Leitungen gammelt?
Der wird im Zweifel nicht funktionieren.
Und insgesamt, wie ich schon sagte, ist das FM immer zu integrieren,
aber man muss die Ansatzpunkte, die das FM im konkreten Fall hat, wirklich objekt- bzw.
Unternehmenspezifisch analysieren und dann festlegen. Beim Brandschutz ist es
für viele schon viel einfacher, weil wir ja dort mit sehr ähnlichen Konzepten arbeiten.
Für das FM sind wieder Betriebnahme-Konzepte nicht der Standard.
Im Brandschutz ist aber eben ein konzipiertes, geplantes Vorgehen gar nicht so unüblich.
Man hat ja sowas wie die Brandschutzordnung zum Beispiel.
Und dementsprechend sollte man genau diese Dokumente auch als integralen Bestandteil
mit in dieses BCM-System übernehmen.
Und auch hier gilt planen und trainieren.
Das Ganze gehört also eng zusammen.
Und bei dem Arbeitsschutz, da fällt das vielen schon schwer,
wenn man mit denen spricht und sagt, hier komm, wir müssen auch den Arbeitsschutz
integrieren, kommen ganz häufig solche Aussagen wie, ja, aber warum denn?
Das ist eine Ausnahmesituation, da können wir jetzt nicht noch auf den Arbeitsschutz achten. Doch, warum?
Doch, doch, das müssen wir. Wir müssen gerade auch in diesen Situationen auf
den Arbeitsschutz achten.
Auch wenn wir vielleicht in der Gefährdungsbeurteilung dazu kommen,
dass die Toleranzschwelle für mögliche Beeinträchtigungen der Person etwas höher liegen.
Das muss man dann im Einzelnen wirklich genau analysieren, festlegen und vor
allem auch rechtlich bewerten.
Das ist eine Compliance-Frage im weitesten Sinne. Aber wir können nicht darauf
verzichten, denn wir lassen die Mitarbeiter und Mitarbeiterinnen ja möglicherweise
in einer Ausnahmesituation arbeiten.
Und auch dort ist grundsätzlich die Gesundheit der Mitarbeitenden sicherzustellen.
Hier gibt es Notfallpläne oder muss es Notfallpläne geben?
Zum Brandschutz habe ich schon was gesagt. Es geht aber zum Beispiel auch um
Unfälle, möglicherweise auch um Themen, wenn wir von Naturkatastrophen sprechen,
wie eine Versorgung bei Unfällen möglich ist oder ob sie auch vielleicht nicht möglich ist,
was bei Störfällen zu beachten ist,
neben dem Umweltschutz vielleicht auch die Exposition der Mitarbeitenden und so weiter und so fort.
All das muss in die BCM-Strategie mit integriert werden.
Wenn jetzt Interesse geweckt wurde durch mich bei euch, dann freut mich das.
Dann eine Warnung vorweg, bevor wir abschließend zu so ein paar praktischen Tipps kommen.
Macht euch jetzt nicht wild. Das Thema neigt dazu, dass Leute sich gleich richtig
wild machen und sagen, ich muss das und das und das und morgen und hier einen
Plan machen und da eine Analyse und so weiter.
Startet den Prozess, startet ihn auch mit dem notwendigen Willen,
ihn umzusetzen, aber sich komplett wild zu machen, das hat noch niemandem geholfen.
Also praktische Tipps für den Einstieg. Erstmal klein starten,
das ist so mein erster Tipp.
Also erstmal die wirklich kritischsten Geschäftsprozesse identifizieren und
da ist die Frage, die dem zugrunde liegt,
was würde bei einem Ausfall den größten Schaden verursachen?
Und dadurch wird man sicherlich schon vieles ausschließen, weil nicht jeder
Geschäftsprozess automatisch zu Maximalschaden führen wird.
Dann als nächster Tipp von meiner Seite, vorhandenes Material,
vorhandene Strukturen nutzen.
Es gibt Notfallpläne, wir haben es schon angesprochen, die Brandschutzordnung zum Beispiel.
Und diese Dokumente sammeln, analysieren, überprüfen, ob sie aktuell sind und
auf dieser Basis anfangen, ein Gesamtkonzept zu entwickeln.
Bei der Entwicklung dieses Gesamtkonzepts, das wäre der dritte Tipp,
kann man sich an Standards orientieren. Da gibt es die ISO 22301.
Das ist dann die internationale Norm dafür.
Es gibt für den IT-Bereich vom BSI, also vom Bundesamt für die Sicherheit in
der Informationstechnik, entsprechende Dokumente.
Es gibt branchenbezogene Dokumente, zum Beispiel für den Krankenhaus- und Klinikbereich.
Da gibt es also eine Menge Material. Und warum das Rad neu erfinden?
Es widerspricht sich ja nicht, auf etablierte Standards zurückzugreifen,
die vielleicht auch Best Practice darstellen und diese dann auf das konkrete
eigene Projekt angepasst umzusetzen.
Der vierte Tipp, der muss, glaube ich, kommen an dieser Stelle, testen und üben.
Das habe ich schon ein paar Mal gesagt. Ohne das ganze System nachher zu trainieren,
wird es nicht funktionieren.
Und je nach Größe des betroffenen Unternehmens, der betroffenen Organisation,
wird man mit Krisensteben arbeiten müssen.
Und dementsprechend ist gerade hier diese Stabsarbeit zu üben.
Abgesehen davon ist auch mit jedem Mitarbeiter zu üben, da die ja auch wissen
müssen, wie werden sie informiert, kriegen sie Informationen,
kriegen sie keine Informationen, wo sollen sie sich einfinden und so weiter und so fort.
Und dann würde ich wirklich auf das aus dem Arbeitsschutzbewertungsinstrument
der PCA-Zyklen, also Plan, Do, Check, Act,
also Regelkreis, zurückgreifen, um eben diese kontinuierliche Verbesserung des
BCM-Systems sicherzustellen.
Soweit ein paar Tipps für den Start. Literaturhinweise werde ich in einer der
nächsten Ausgaben auch noch geben.
Ich finde nur so manches, was dort am Markt ist.
An Literatur ist etwas kompliziert und gerade für den Anfang vielleicht sehr schwierig.
Kommen wir zu einer kleinen Zusammenfassung, einem kleinen Ausblick.
In meinen Augen ist ein BCM-System kein Luxus,
sondern in einer Welt, die vernetzt ist, die dem Wandel unterliegt, relevant,
um mit Krisensituationen umgehen zu können und handlungsfähig zu bleiben und
vor allem auch möglichst schnell zur Normalität zurückzukehren.
Risiken nehmen zu. Es gibt mittlerweile ein ganzes Buch aus dem Springer Verlag,
ich werde es in den Shownotes verlinken, was sich nur mit Risiken auseinandersetzt.
Wir brauchen aber ein praxisnahes System.
Es geht nicht darum, hier Kunst für die Kunst zu schaffen, sondern wirklich
etwas, was funktionieren kann,
was wir im besten Fall ähnlich wie eine Versicherung niemals brauchen.
Aber wenn wir es brauchen, sind wir froh, dass wir es haben,
weil es weitergehen kann.
Und ja, wenn ich jetzt mal ganz direkt bin, habt ihr schon mal daran gedacht,
was passiert, wenn euer Smartphone morgen auf dem Wanderausflug in die Talsperre fällt?
Habt ihr ein Backup von den Daten? Das ist BCM wirklich in einem ganz, ganz kleinen Rahmen.
Für ein Unternehmen weitaus komplexer, brauchen wir nicht darüber zu sprechen.
Aber wir werden nicht daran vorbeikommen, uns damit auseinanderzusetzen,
weil wir sonst möglicherweise irgendwann in Anführungsstrichen nackt dastehen
und den Betrieb nicht aufrechterhalten können.
Das war es von meiner Seite für den heutigen Tag, für die heutige Folge.
In den nächsten Folgen sprechen wir über die einzelnen Punkte etwas detaillierter.
Und ja, bis dahin wünsche ich euch erst einmal viel Spaß und Erfolg im Job.
Bleibt immer schön sicher auf der sicheren Seite, sodass ihr auch mit unvorhergesehenen
Dingen klarkommen könnt.
In diesem Sinne, beste Grüße, euer Carsten.
Wenn dir dieser Podcast gefallen hat, empfehle ihn doch weiter,
bewerte ihn positiv und vor allem abonniere ihn.
Dann bekommst du jedes Mal mit, wenn es eine neue Folge gibt.
Feedback geben
Dir gefällt der Podcast und Du möchtest das mal loswerden? Du hast Tipps für neue Themen oder magst über den Inhalt bestimmter Folgen diskutieren? Dann wähle im Formular die jeweilige Episode aus und schreib uns eine Nachricht. Vielen Dank für Dein Feedback!