Die Coronavirus Epidemie hat mittlerweile auch zu ersten Infektionen in Deutschland geführt. Nachdem zunächst nur Unternehmen mit Lieferanten und Absatzmärkten in China durch das Virus SARS-CoV-2 betroffen waren, führt nun hierzulande das allgemeine Risiko der Infektion von Mitarbeitern in Unternehmen zu einer neuen Bedrohungslage. “Wir befinden uns am Beginn einer Epidemie in Deutschland”, so Gesundheitsminister Jens Spahn am 26.02.2020. Denn die Infektionsketten seien nicht mehr nachzuvollziehen. Worauf sollten Unternehmen jetzt besonders achten und welche Vorsorgemaßnahmen können sie treffen? Welche Versicherungsprodukte stehen für Pandemiefälle zur Verfügung und inwiefern gelten diese in der aktuellen Krisenlage?
Auf diese Fragen gehen die Experten Fabian Konopka von Funk Risk Consulting und Matthias Hämmerle von haemmerle-consulting im nachfolgenden Interview ein.
Die Situation über das Corona Virus ist weiterhin sehr angespannt, wie reagieren Ihre Kunden auf die derzeitige Situation?
Fabian Konopka: Unsere Kunden sind durch die aktuelle Situation herausgefordert und prüfen Möglichkeiten, um negative Auswirkungen auf ihr Unternehmen zu verhindern. Uns erreichen derzeit fast täglich Anfragen zu Präventionskonzepten und der Versicherbarkeit von Liefer- und Produktionsausfällen in der derzeitigen Situation.
Problematisch ist, dass anders als bei einem Ausfall von einzelnen Geschäftspartnern, nun ein ganzes Land betroffen ist. Selbst Naturgefahren wie Wirbelstürme oder Sturmfluten haben normalerweise einen deutlich begrenzteren Wirkungskreis. Häufig sind Alternativmaßnahmen nicht ausreichend geografisch verteilt. Wenn mein Zweitlieferant statt in Wuhan im ebenfalls chinesischen Tianjin produziert, wird eine Ersatzproduktion derzeit wahrscheinlich nicht funktionieren.
Matthias Hämmerle: Mit dem unaufhaltsamen Näherrücken der Infektionen mit dem Coronavirus von Asien nach Europa nimmt auch das Risikobewusstsein der Unternehmen zu, die noch nicht bereits über die internationalen Lieferketten direkt betroffen sind. Es werden die Pandemiepläne von 2009 hervorgeholt und oftmals mit Schrecken festgestellt, dass die darin beschriebenen Maßnahmen unzureichend oder unangemessen sind. Es herrscht zunehmende Besorgnis bei vielen Kunden, aber keine Panik.
Haben Sie das Gefühl, dass Unternehmen in Deutschland gut vorbereitet sind?
Fabian Konopka: Bezüglich der Versicherung von Ertragsausfällen kann man sagen, dass Sonderdeckungen, die im Falle einer Pandemie greifen würden, in der Vergangenheit nicht nachgefragt wurden. Das Risiko wurde vielfach als zu gering und die Prämie als zu teuer empfunden. Durch die akute Gefahr des Schadeneintritts sind derartige Lösungen zum jetzigen Zeitpunkt allerdings am Markt nicht mehr verfügbar.
Viele mittelständische Industrieunternehmen haben aber durchaus praktische Erfahrungen im Bereich des Krisenmanagements. Häufig ist das Know-How jedoch nicht in konkreten Plänen oder Checklisten dokumentiert, sondern existiert nur in den Köpfen von wenigen Schlüsselpersonen. Ob diese zum Zeitpunkt der nächsten Krise noch im Unternehmen sind oder ob die Erfahrungen aus der Vergangenheit auch für zukünftige Ereignisse anwendbar sind, steht auf einem anderen Blatt.
Matthias Hämmerle: Die aktuelle Epidemie zeigt, dass klassische Pandemiepläne zu kurz greifen. Derzeit sind deutlich mehr Menschen in Europa von der aktuellen Grippewelle betroffen als vom Corona-Virus. Die Auswirkungen der Epidemie auf Märkte und Lieferketten erfordern eine deutlich tiefergehende Risikoanalyse und weitgehende Notfallvorsorgemaßnahmen. Alleine die Analyse der Auswirkungen auf die Lieferkette kann sehr komplex werden. Häufig kennen die Unternehmen die hinter den Tier-1 Lieferanten liegenden Lieferabhängigkeiten kaum oder gar nicht. Zumal es bei den Lieferanten auch noch Quer-Beziehungen in den Lieferketten gibt. Der Ausfall eines vielleicht nicht einmal teuren, aber essentiellen Bauteils kann eine gesamte Produktion zum Stillstand bringen. Durch die mehrwöchigen Transportwege aus China werden sich viele Effekte erst in den kommenden Wochen zeigen. Diese Komplexität beherrschen nur wenige Unternehmen und eine Notfallvorsorge hierfür ist teuer und erscheint aus betriebswirtschaftlicher Sicht zunächst ineffizient, da sie Lagerhaltung und / oder Multi-Supplier-Strategien erfordert.
Das heißt: Industrieunternehmen haben noch einen großen Nachholbedarf? Woran liegt das?
Fabian Konopka: Es besteht in vielen Unternehmen noch großes Potenzial, die Reaktionsfähigkeit auf Krisenereignisse, aber auch die Risikoprävention zu verbessern. Ein ganzheitliches Business Continuity Management, welches alle relevanten Facetten zur Erhöhung der Widerstandsfähigkeit der operativen Prozesse umfasst, ist bei einem Großteil der Unternehmen noch nicht umgesetzt.
Der Treiber für die Einführung eines solchen Managementsystems liegt häufig außerhalb der Unternehmen. Entweder sind es Regularien im Bereich der kritischen Infrastrukturen (bspw. Banken und Versicherungen) oder Anforderungen von Kundenseite. Letzteres trifft insbesondere die Automobil- und Medizin Branche, wo seitens der Großabnehmer eine hohe Liefertreue verlangt wird. In anderen Branchen, wo derartige Treiber nicht vorhanden sind, ist der Umsetzungsgrad spürbar geringer.
Matthias Hämmerle: Diese Einschätzung kann ich bestätigen. Regulierte Unternehmen müssen seit Jahren Business Continuity Management betreiben und die Wirksamkeit nachweisen. Nicht regulierte Unternehmen, insbesondere auch mittelständische Unternehmen, haben hier häufig einen großen Nachholbedarf. Gerade bei diesen ist die Abhängigkeit von Zulieferungen aus China oftmals sehr hoch.
Für welche Branchen sehen Sie eine besondere Betroffenheit durch die Coronavirus-Epidemie und aus welchen Gründen?
Fabian Konopka: Aus unserer Sicht sind insbesondere die Automobil- und Medizin Branche sowie die Kleindungs- und Chemieindustrie betroffen. Es handelt sich vielfach um Abhängigkeiten von Zulieferern, welche Basisprodukte wie bspw. Grundchemikalien und Stoffe herstellen, die andernorts weiterverarbeitet werden.
Die Automobilbranche trifft die derzeitige Situation doppelt hart, da China nicht nur der größte Absatzmarkt für deutsche Autohersteller weltweit ist, sondern in den betroffenen Regionen auch viele Zulieferer für die internationale Produktion beheimatet sind.
Sehen Sie Unterschiede in der Prävention zwischen den verschiedenen Branchen?
Matthias Hämmerle: Bei den Branchen zahlt sich der regulatorische Druck langsam aus. Regulierte Unternehmen, insbesondere auch Unternehmen der kritischen Infrastrukturen unterliegen hohen Anforderungen. Dies wird in „Friedenszeiten“ oftmals als eine unangenehme Last und Aufwand betrachtet. In diesen Situationen zahlt sich ein eingeübtes Notfall- und Krisenmanagement aus, wie man es bei den ersten betroffenen Unternehmen in Deutschland sehen konnte.
Wie können sich Unternehmen auf diese Situationen vorbereiten? Sollten Unternehmen jetzt noch schnell einen Pandemieplan erstellen (lassen), um gut vorbereitet zu sein?
Fabian Konopka: Wir empfehlen derzeit unseren Kunden, das Thema zuerst intern zu prüfen. Welche Maßnahmen wurden, vielleicht auch unter anderen Beweggründen, bereits getroffen und in welchen Fragestellungen besteht noch Unterstützungsbedarf.
Grundsätzlich kann kein Unternehmen dauerhaft auf einen Großteil seiner Belegschaft verzichten. Daher sollten Unternehmen nach einer ersten Impactanalyse entsprechende Pläne aufstellen, um auch für zukünftige Ereignisse vorzusorgen. Es sei an dieser Stelle aber unbedingt erwähnt, dass das einmalige Schreiben eines Pandemieplans nicht den gewünschten Nutzen erzielen wird, solange dieser nicht laufend an die Entwicklung des Unternehmens angepasst und in ein entsprechendes Maßnahmenkonzept überführt wird.
Matthias Hämmerle: Unternehmen, die noch über kein Business Continuity und Krisenmanagement verfügen, sollten die aktuelle Epidemie als Anlass nehmen, um sich diesen Themen anzunehmen. Überhastet schnell einen Pandemieplan „zusammenzuzimmern“ ist jedoch keine adäquate Lösung. Mit der nötigen Ruhe und unter Einbeziehung der relevanten Disziplinen sollten Unternehmen prüfen, welche Auswirkungen die aktuelle Epidemie auf das Unternehmen haben kann. Wie wird mit Reisen in die gefährdeten Regionen verfahren? Wie geht das Unternehmen mit einem möglichen Infektionsfall im Unternehmen um? Sind Vorsorgemaßnahmen wie Desinfektionsmittel für die Handhygiene, Videokonferenz- und Remote-Arbeitsplatzlösungen verfügbar? Sind die Mitarbeiter über die Maßnahmen informiert?
Gibt es bereits Nachfragen von Unternehmen nach Versicherungen für Epidemien und Pandemien? Wie ist die aktuelle Lage diesbezüglich auf dem Versicherungsmarkt?
Fabian Konopka: Die meisten Sach-Betriebsunterbrechungs-Policen lösen den Versicherungsschutz für Ertragsausfälle erst dann aus, wenn der Versicherungsnehmer einen direkten physischen Schaden durch eine versicherte Gefahr erlitten hat.
Deshalb bedarf es in aller Regel einer separaten Sonderdeckung um die Gefahr einer Pandemie, bzw. die daraus entstehenden Ertragsverluste, abzusichern. Die Situation in Bezug auf derartige Risiken kann man aktuell jedoch mit einem brennenden Haus vergleichen – niemand würde annehmen, dass dieses noch versicherbar ist. Aufgrund des in China bereits weit vorangeschrittenen Risiko-/ bzw. Schadenverlaufs ist eine Absicherung des Pandemie-Risikos auch für deutsche Unternehmen in China sowie weltweit derzeit nicht mehr möglich.
Wie ist der Stellenwert von Risikoanalysen bzw. Business Continuity Systemen bei Versicherern, wenn es um die Abdeckung geht?
Fabian Konopka: Damit Ertragsausfälle ohne vorangegangenen Sachschaden überhaupt versicherbar sind, ist in der Regel ein qualifizierter Risikodialog erforderlich, welcher darauf abzielt, potenzielle Schadenszenarien zu analysieren und Transparenz zu schaffen. Es geht aber auch darum zu verstehen, wie das Unternehmen der Entstehung eines Schadens entgegen wirkt. Hier sprechen wir von sogenannten Schadenvermeidungs- und Schadenminderungsmaßnahmen, welche im besten Fall in einem qualifizierten Business Continuity Management koordiniert werden. Zusammengefasst wird ein detaillierter Blick auf das zu versichernde Risiko geworfen, weshalb beide genannten Aspekte einen hohen Stellenwert bei der Absicherung besitzen.
Wenn nun einer unser Leser akut handeln muss, weil zum Beispiel bei einem Mitarbeiter der Verdachtsfall einer Infektion besteht. Was würden Sie ihm empfehlen ?
Matthias Hämmerle: Der Mitarbeiter sollte sich sofort in ärztliche Behandlung geben und nicht an den Arbeitsplatz zurückkehren bis sichergestellt ist, dass er nicht (mehr) infiziert ist. Kontaktpersonen sollten identifiziert und informiert werden. Arbeitsplätze und Kontaktflächen sollten mit den geeigneten Reinigungsmitteln desinfiziert werden.
Was muss als Minimum bei dem Aufbau einer Notfallvorsorge berücksichtig werden? Wo sollte der Schwerpunkt liegen? Gibt es Hilfsmittel für die Umsetzung?
Matthias Hämmerle: Die Notfallvorsorge sollte strukturiert aufgebaut werden. Dies beginnt mit einer Business Impact Analyse, in der die für das Unternehmen kritischen Geschäftsprozesse identifiziert werden. Die Business Impact Analyse ist Grundlage für die darauf aufbauende Notfallvorsorge für die kritischen Geschäftsprozesse und deren Ressourcen, etwa Personal, Gebäude, IT, Anlagen, Dienstleister, Dokumente. Notfallpläne sollten als Checklisten in Notfällen schnell und einfach einsetzbar sein. Dies ist bei umfangreichen Notfallhandbüchern nicht der Fall.
Für das Business Continuity Management gibt es eine ganze Reihe von Normen und Standards sowie Good Practices, die als Handlungsleitfaden bei der Umsetzung dienen können. Zu diesen zählen der BSI 100-4 des BSI, die ISO Norm 22301 sowie die Good Practice Guidelines des BCI (Business Continuity Institute).
Das gilt ja nun allgemein beim Aufbau eines Business Continuity Management Systems. Doch was muss ein Pandemieplan konkret beinhalten? Welche Hilfsmittel sind hier vorhanden?
Matthias Hämmerle: Im Business Continuity Management ist bereits die Notfallvorsorge für Personalausfälle abgedeckt. Da die Notfallpläne an den Wirkungen (Ausfall Personal) und nicht an den Ursachen festmachen (Epidemie, Grippe, Streik etc.), eignen sich diese Notfallpläne auch für eine Epidemie oder Pandemie. Zusätzlich zu diesen Notfallplanungen sollten in einem Pandemieplan – oder besser „Plan für Massenerkrankungen“ – Maßnahmen für den vorbeugenden und reaktiven Gesundheitsschutz der Mitarbeiter aufgenommen werden („Safety“). Hierzu gehören auch Kontaktdaten zu Behörden, Gesundheitsamt, Ärzten. Der Betriebsarzt muss zwingend bei der Pandemieplanung eingebunden werden.
Sollten auch bereits vorhandene Pläne außer der Reihe noch einmal überprüft werden?
Matthias Hämmerle: „Kein Plan überlebt die erste Feindberührung“, so lautet das bekannte Zitat des Preußischen Generalfeldmarschall und Chef des Generalstabes Helmuth Graf von Moltke.
Dies gilt insbesondere, wenn ein Plan nur auf dem Papier besteht und noch nie durch Tests und Übungen überprüft wurde. Notfallpläne können nie perfekt sein, da uns die Realität immer wieder mit neuen Szenarien („schwarze Schwäne“) konfrontieren wird. Notfallpläne bilden aber dennoch eine essentielle Grundlage für die Beherrschung von Notfällen. Tests und Übungen der Notfallpläne trainieren die Beteiligten im Umgang mit kritischen Situationen und der Zusammenarbeit zwischen Disziplinen im Unternehmen sowie unternehmensübergreifend mit Lieferanten, Kunden, Blaulichtorganisationen und Behörden. Tests und Übungen bilden daher die „Königsdisziplin“ des Business Continuity Management. Davon kann es nie genug geben.
Welchen Einfluß hat die Coronavirus-Epidemie auf die zukünftige Ausgestaltung eines Business Continuity Managements und von speziellen Versicherungsangeboten? Was unterscheidet die aktuelle Situation von vorhergehenden Epidemien und Pandemien, wie zum Beispiel SARS oder der Vogelgripppe?
Matthias Hämmerle: Noch nie zuvor waren die Lieferketten international so vernetzt wie heute und Unternehmen so abhängig von der Marktentwicklung insbesondere in China. Der alte Spruch „Wen interessiert, wenn in China ein Sack Reis umfällt“, hält der heutigen Realität nicht mehr Stand. Das Business Continuity Management, das bereits heute viele Szenarien abdeckt, erfährt derzeit eine Weiterentwicklung zur Resilienz, der Stärkung der Widerstandskraft von Unternehmen gegen langsame und abrupte Veränderungen von außen. Diese Resilienz ist angesichts der aktuellen und zukünftigen Veränderungen in Politik, Wirtschaft, Umwelt und Märkten für Unternehmen zwingend erforderlich, um auch in turbulenten Zeiten überleben zu können.
_____________________________________________________________________________
Fabian Konopka ist Consultant bei der Funk Risk Consulting GmbH. Seine Themenschwerpunkte sind Analysen im Bereich Betriebs- und Lieferkettenunterbrechung sowie Business Continuity Management.
Matthias Hämmerle MBCI, Geschäftsführer von haemmerle-consulting, ist ein erfahrerener und anerkannter Experte für Business Continuity und Informationssicherheitsmanagement. Seine Erfahrungen sammelte der studierte Wirtschaftswissenschaftler sowohl im Finanzsektor als auch bei Unternehmensberatungen und Wirtschaftsprüfungsgesellschaften. Er ist Lead Auditor ISO 22301, als Dozent für den Themenberiche BCM an der Frankfurt School of Finance & Management tätig und Herausgeber der BCM-News, dem führenden deutschsprachigen Informationsportal für BCM.