Vorstellung von zwei internationalen Standards für Organisatorische Resilienz
1. Die Standards für Organisatorische Resilienz
Im März 20017 wurde der neue ISO-Standard ISO 22316:2017 mit dem langen Titel “Security and resilience – Organizational resilience – Principles and attributes” veröffentlicht. Erarbeitet wurde der Standard durch das Technical Committee ISO/TC 292 Security and resilience, das auch die ISO-Standards rund um den ISO 22301 Business Continuity Management verantwortet. Neben diesem ISO-Standard gibt es bereits seit 2014 mit dem BS 65000:2014 “Guidance on organizational resilience” einen Standard zu Resilienz von British Standards (BSI). Wir können demnach aktuell sogar auf zwei Standards zum Thema Resilienz bauen.
Was ist das für ein scheinbar so bedeutendes Thema, dass sich gleich zwei Standards dem Thema widmen? Gibt man in Amazon den Suchbegriff “Resilienz” für deutsche Bücher ein, erhält man bereits über 1.000 Vorschläge zur Befüllung des elektronischen Einkaufwagens. Wer sich fremdsprachig an das Thema “Resilience” heranwagt, hat bereits über 4.000 Bücher als Kauf-Option. Der überwiegende Teil davon sind persönliche Ratgeber zur Stärkung der Widerstandskräfte gegen Stress, Krisen, Burn Out und Depressionen. Es scheint sich auf den ersten Blick um eine wahre Wunderwaffe gegen alle Bedrohungen des Lebens zu handeln.
Was aber bringt nun professionelle Standardisierungs-Organisationen mit Zielrichtung Unternehmen, Behörden und Organisationen dazu, dieses Thema zum Standard zu erheben?
In der Nummerierung steht der ISO-Standard 22316 direkt vor den beiden Guidelines 22317 (Business Impact Analysis) und 22318 (Supply Chain Continuity).
Dies lässt zunächst Resilience einfach als eine Teil-Disziplin des Business Continuity Management erscheinen. Ein Blick auf die Homepage des TC 292 zeigt jedoch schnell, dass der Leser sich von der Nummerierung dieses Standards nicht in die Irre führen lassen sollte. Das Technical Committee gliedert seine Standards in die Bereiche General, Business continuity management, Emergency Management, Supply chain security management, Protective security, Authenticity, integrity and trust for products and documents, Community resilience und Organizational resilience. Community resilience und Organizational resilience sind also “auf Augenhöhe” mit BCM und keine Teil-Disziplin.
2. Konzept der Organisatorischen Resilienz
Aber was steckt nun tatsächlich inhaltlich im Konzept der Resilienz für Organisationen? Was bedeutet dies für das “klassische BCM” und die anderen Safety & Security-Disziplinen? Was zeichnet resiliente Unternehmen aus und wie kommen sie dorthin?
Der englische Begriff “Resilience” leitet sich aus dem lateinischen Begriff “resilire” ab, gleichbedeutend mit “zurückspringen”. Der Duden definiert Resilienz als “psychische Widerstandskraft; Fähigkeit, schwierige Lebenssituationen ohne anhaltende Beeinträchtigung zu überstehen”. ISO 22316:2017 definiert Resilienz auf Organisationen übertragen als “ability of an organization to absorb and adapt in changing environment”. Aus dieser Definition werden bereits wesentliche Unterschiede zum Business Continuity Management sichtbar. Auch wenn im ISO 22301 Business Continuity Management der Begriff Resilience mehrfach Erwähnung findet, zielt BCM laut Definition des Standards auf den Umgang mit abrupten Störungen, Notfällen und Krisen ab: “… to protect against, reduce the likelihood of occurrence, prepare for, respond to, and recover from disruptive incidents when they arise” (ISO 22301:2012 Scope). Resilienz hingegen beinhaltet darüber hinaus die Widerstandsfähigkeit gegenüber kleinen alltäglichen Störungen über akute Schocks bis hin zu inkrementellen Veränderungen (BS 65000:2014 Introduction).
Resiliente Unternehmen können Chancen und Bedrohungen aus plötzlichen und graduellen internen und externen Veränderungen besser erkennen und darauf reagieren, so der Standard. Organisatorische Resilienz ist dabei keine eigenständige Management- Disziplin, sondern entsteht aus der Integration etablierter Disziplinen. Hier lohnt sich ein intensiverer Blick in die Anlage des ISO-Standards in der beispielhaft zwanzig relevante Management-Disziplinen für das Erreichen einer Organisatorischen Resilienz beitragen. Zu den aufgeführten Disziplinen zählen alle GRC-Disziplinen, darüber hinaus aber auch Kommunikations- und Personal-Management sowie Strategische Planung, Qualitätsmanagement und Controlling.
Der Standard betont, dass der Grad von Resilienz nicht messbar ist und es kein endgültiges Ziel für das Erreichen gibt.
Der ISO-Standard gliedert sich in die Beschreibung der Prinzipien sowie der Eigenschaften und der Bewertung der Faktoren für Organisatorische Resilienz.
3. Phasen zur Stärkung der Resilienz
An dieser Stelle möchte ich jedoch zum älteren Konkurrenzprodukt aus dem Hause BSI wechseln. Grundsätzlich unterscheidet sich die Definition und Kernaussagen nicht vom ISO-Standard. Jedoch bildet der BS 65000:2014 im Abschnitt “Building resilience” mit einem schönen Kreislaufmodell alle wichtigen Schritte zur Umsetzung in Richtung eines resilienten Unternehmens ab.
Quelle: BS 65000:2014
Be informed (situational awareness):
Diese Phase beinhaltet die kontinuierliche Früherkennung von internen sowie externen Risiken und Chancen (“horizon scanning”) für die identifizierten Werte des Unternehmens. Hierzu gehört auch die Kenntnis der Wechselwirkungen mit anderen Unternehmen wie Dienstleistern, Lieferanten, Mitbewerbern sowie die Auswertung von Erfolgen, Störungen, Beinahe-Notfällen, Übungen, Audits und Erfahrung anderer Unternehmen.
Set direction:
In dieser Phase ist die oberste Führungsebene des Unternehmens gefragt. Diese muss sicherstellen, dass das Unternehmen eine klare Vision für die Zukunft sowie beschriebene Werte und Prioritäten hat, die den Mitarbeitern und “interested parties” vermittelt sind. Zur Führung gehört auch ein integriertes, transparentes und zukunftsgerichtetes Governance-System sowie klare Rollen und Verantwortlichkeiten für die unterschiedlichen Aspekte zur Erreichung organisatorischer Resilienz.
Bring coherence:
Die oberste Führungsebene muss Prioritäten zur Erreichung der Resilienz festlegen und die operativen Aktivitäten auf diese Prioritäten ausrichten. Die verschiedenen organisatorischen Silos mit den operativen Disziplinen müssen hierzu koordiniert und integriert werden. Der Standard zählt an dieser Stelle, analog ISO 22316:2017, beispielhaft 21 relevante Disziplinen auf, die zu integrieren sind.
Develop adaptive capacity:
Das Unternehmen soll in die Lage versetzt werden, auf veränderte Bedingungen durch vorgeplante und situationsabhängige Maßnahmen zu reagieren. Dies beinhaltet notwendige Anpassungen an Strukturen, Prozessen und Verhalten. Ziel ist eine flexible und agile Organisation, die in der Lage ist, aus eigenen Fehlern und Erfahrungen anderer zu lernen und innovativ mit neuen Methoden und Strukturen auf dieses Anforderungen zu reagieren.
Strengthen the organisation:
Diese Phase weist sehr starke Bezüge zum klassischen Business Continuity Management auf. Das Unternehmen sollte spezifische Maßnahmen zur Stärkung der Resilienz implementieren, um Notfälle, auftauchende Risiken und Veränderungen bewältigen zu können. Betont wird hierbei die Notwendigkeit der Anpassungsfähigkeit, wenn Notfallpläne nicht vorhanden sind oder nicht greifen. Die Resilienz soll “by design” erhöht werden, beispielsweise durch Schaffung von Redundanz sowie angemessener Ressourcen und Kapazitäten. Ein zweiter Schwerpunkt für die Stärkung der Widerstandsfähigkeit eines Unternehmens liegt in den Normen, Werten und Verhaltensweisen. Hierzu gehört insbesondere auch der Umgang mit Lernen aus Störungen, Fehlern, Risiken und Schwachstellen sowie klare Zuordnungen von Rollen und Verantwortlichkeiten.
Validate and review
Mittels Audits, Tests und Übungen soll die vorhandene Ausprägung der Resilienz des Unternehmens überprüft und Maßnahmen zur Verbesserung identifiziert werden.
Worin unterscheiden sich resiliente von weniger widerstandsfähigen Unternehmen?
Laut ISO 22316:2017 haben resiliente Unternehmen die folgenden Eigenschaften:
- gemeinsam geteilte Ziele und Visionen für das Unternehmen,
- Verständnis des Umfelds und Zusammenarbeit mit “interested parties”,
- Effektive starke Führung insbesondere in Zeiten von Unsicherheit und Störungen,
- eine Unternehmenskultur, die Resilienz fördert,
- das Teilen von Informationen und Wissen,
- die Verfügbarkeit von Ressourcen (Personal, Gebäude, Technologie, Finanzen, Informationen) um Schwächen zu beheben,
- Entwicklung und Zusammenarbeit der Management-Disziplinen,
- Unterstützung einer ständigen Verbesserung,
- die Fähigkeit, Veränderungen zu erkennen und das Unternehmen anzupassen.
4. Fazit:
Als vor einigen Jahren der Begriff „Resilienz“ sintflutartig über die BCM-Community hereinbrach und keine Veröffentlichung oder Veranstaltung ohne diesen Begriff auszukommen vermag, war ich sehr skeptisch. Sollte BCM durch einen neuen begrifflichen Anstrich zu mehr Geltung im Management verholfen werden?
Nach Abebben des ersten Hype kann jedoch festgestellt werden, dass das Konzept der Organisatorischen Resilienz nicht nur eine modische neue Begrifflichkeit oder alter Wein in neuen Schläuchen ist. Alleine die übergreifende Integration von mehreren Dutzend Management-Disziplinen aus den organisatorischen Silos zu einem übergreifend verständigten Ziel und einer Vision birgt enormes Potential für Effektivität und Effizienz in Unternehmen. Das Management sollte hier aufhorchen!
Das Erreichen eines höheren Grades an Resilienz steht allerdings oftmals in hartem Widerspruch zu bestehenden Anforderungen an die Reduktion von Kosten, Ressourcen und Kapazitäten. So bedeutet die Schaffung von Redundanz kurzfristig mehr Investitionen und laufende Kosten, während der Nutzen dieser Mehrausgaben vielleicht erst in einem Notfall sichtbar wird – oder niemals. Übergreifendes und ein langfristig denkendes und handelndes Management ist daher eine Grundvoraussetzung für eine Verbesserung der Resilienz. Dies kann nur von der Unternehmensführung ausgehen. Insofern richten sich beide Standards zur Organisatorischen Resilienz direkt an das Management. Die Idee muss sich in Management-Entscheidungen widerspiegeln. Die einzelnen GRC-Disziplinen vermögen dies aus ihren bestehenden Silos heraus nicht zu leisten. Allenfalls Störungen von außen zum Beispiel in Form von Cyber-Attacken, Unterbrechungen der Lieferkette, IT-Ausfällen oder BCM-Notfällen führen häufig zu kurzfristiger Aufmerksamkeit und hastigen Maßnahmen – allerdings leider häufig ohne ein übergreifendes Ziel oder Konzept. Das Stopfen einer erkannten Schwachstelle mit hohen Investitionen führt zu unwesentlich höherer Sicherheit, wenn sich daneben schon die nächste Schwachstelle auftut. Der Rechner wird hochgradig mittels teurer Software vor Angriffen von außen abgesichert, doch der Täter kommt als Techniker getarnt ins Gebäude und nimmt den “sicheren Rechner” einfach unterm Arm mit. Das Konzept der Resilienz kann helfen, mit vorhandenen Ressourcen zielgerichteter und wirtschaftlicher umzugehen, um die Widerstandskraft des Unternehmens zu erhöhen.
Das Konzept der Organisatorischen Resilienz ist wertvoll, insbesondere als gemeinsames Ziel und Vision. Die Umsetzung kann jedoch nur aus vielen kleinen Schritten zum richtigen Ziel erfolgen. Wäre es einfach, gäbe es nicht tausende Ratgeber im Internet zu kaufen.
Matthias Hämmerle, Geschäftsführer von haemmerle-consulting, ist ein erfahrerener und anerkannter Experte für Business Continuity und Informationssicherheitsmanagement. Seine Erfahrungen sammelte der studierte Wirtschafts-wissenschaftler sowohl im Finanzsektor als auch bei Unternehmensberatungen und Wirtschafts-prüfungsgesellschaften. Er ist Lead Auditor ISO 22301, als Dozent für den Themenberiche BCM an der Frankfurt School of Finance & Management tätig und Herausgeber der BCM-News, dem führenden deutschsprachigen Informationsportal für BCM.