Business-Impact-Analyse

Eine Business-Impact-Analyse (BIA) ist im Business Continuity Management (BCM) eine Methode zur Sammlung und Identifizierung von Prozessen und Funktionen innerhalb einer Organisation, um die den Prozessen zugrundeliegenden Ressourcen zu erfassen. Des Weiteren können durch eine BIA wechselseitige Abhängigkeiten zwischen Prozessen und/oder Unternehmensbereichen aufgezeigt, die Auswirkungen bei Ausfällen von Prozessen, die Kritikalität jedes Prozesses für den Gesamtkonzern und die benötigte Wiederanlaufzeit aufgedeckt werden. Zusammen mit einer Risikoanalyse bildet die BIA die Grundlage für eine Sicherheitsstrategie, die wiederum das Unternehmen in Notfällen und Krisen unterstützen kann.

Die BIA stellt dabei einen wesentlichen Bestandteil des BSI-Standards 100–4 dar, der sich mit dem Notfallmanagement befasst.

Business-Impact-Analyse Vorgehensweise

Der genaue Inhalt und das Format einer BIA differieren von Unternehmen zu Unternehmen. Die Schritte, die bei der Umsetzung durchlaufen werden, sind allerdings fast immer die folgenden:

1. Zunächst erfolgt eine Sammlung der Informationen.
2. Daraufhin werden die gesammelten Informationen evaluiert.
3. Anschließend werden die Ergebnisse zusammengefasst.
4. Und schließlich dem Management präsentiert.

Ein BIA-Report kann intern erstellt werden oder mithilfe externer Ressourcen. Dabei ist eine enge Zusammenarbeit mit den internen Mitarbeitenden einer Firma jedoch unabdingbar, da diese über wertvolles Wissen verfügen, das für den ersten Schritt von großer Relevanz ist. Hier werden die wichtigsten Informationen mithilfe von automatisierten Umfragen oder persönlichen Interviews gesammelt. Das heißt, es werden die bestehenden Geschäftsprozesse und die Zusammenhänge der einzelnen Bereiche und Funktionen identifiziert. Dadurch können die Geschäftsfunktionen nach ihrer Wichtigkeit eingeordnet werden, wodurch finanzielle und nichtfinanzielle Auswirkungen bei Ausfällen einschätzt werden können.

In diesem Zusammenhang sollten folgende Fragen geklärt werden:

• Inwieweit sind die jeweiligen Abteilungen von bestimmten Geschäftsprozessen und Systemen abhängig?
• Welche Risiken bergen die identifizierten Schwachstellen?
• Wer hat die Federführung für das Service Level Agreement?
• Wie viele und welche Mitarbeitenden werden an einem Recovery Standort gebraucht?
• Welche Art von Ausrüstung bzw. Ressourcen werden bei einem Ausfall erforderlich?
• Wie sollte mit Liquidität und Bargeld-Management in der Recovery-Phase umgegangen werden?

Mithilfe dieser Fragen kann schneller erkannt werden, welche Art von Daten für die Business-Impact-Analyse benötigt werden. In der Regel richtet sich die Konzentration nun auf folgende Informationen:

• Name des Prozesses sowie eine genaue Beschreibung
• Die zuständige Abteilung und den Ort
• Die technischen und menschlichen Ressourcen, die in diesem Prozess involviert sind
• Eine Liste aller Out- und Inputs des Prozesses
• Eine Liste der Abteilungen, die jeweils durch die Outputs beeinflusst werden

• Eine potentielle maximale Ausfallzeit, ohne sichtliche Auswirkungen
• Die finanziellen sowie betrieblichen Auswirkungen bei Ausfall
• Die rechtlichen/externen Auswirkungen bei Ausfall (z. B. Behörden, Kunden etc.)
• Eine Darstellung früherer Ausfälle sowie die dort entstandenen Folgen
• Eine Ausführung von Arbeitsverlagerungen oder Recovery-Prozeduren

Im nächsten Schritt werden die gesammelten Informationen in Zusammenarbeit mit Wirtschaftsprüfern zunächst validiert, um sie anschließend zu analysieren. Die Analyse kann manuell oder computergestützt erfolgen. Hierbei werden Funktionen, Mitarbeiter, Ressourcen und Systeme herausgestellt, die für einen kontinuierlichen Verlauf des Geschäfts notwendig sind. Ebenso wird dadurch ersichtlich, in welchem Zeitrahmen jene Funktionen – die ausgefallen waren – wiederhergestellt werden müssen, mit dem Ziel, Auswirkungen wie z. B. Imageschäden, Kundenunzufriedenheit, Strafgelder oder verspätete Lohnzahlungen weitestgehend zu vermeiden.

Die folgenden Schritte zielen darauf ab, die Ergebnisse des BIA-Reports zusammenfassend vor der Geschäftsleitung zu präsentieren. In dem Bericht können Diagramme und Charts der Visualisierung möglicher Verluste und Recovery-Empfehlungen nutzen. Zusätzlich sollten die detaillierten Umfrageergebnisse sowie genaue Informationen zum Vorgang im Anhang hinzugefügt werden.

Weblinks

• Vermeidung von operationellen Prozessausfällen mit Hilfe der Business Impact-Methodik (deutsch) (PDF; 493 kB)
• Exemplarische Vorgehensweise für die Durchführung einer Business Impact Analyse (deutsch) (PDF; 439 kB)