Auswirkungsanalyse: Ein wesentlicher Bestandteil der Geschäftskontinuitätsplanung

IT-Teams in den meisten Unternehmen sind mit Prozessen zur Notfallwiederherstellung und zur Geschäftskontinuität vertraut. Einige sind sich jedoch möglicherweise nicht bewusst, wie wichtig die Durchführung einer Geschäftsauswirkungsanalyse (BIA) ist. Eine BIA ist eines der wichtigsten Elemente eines Geschäftskontinuitätsplans. Sie hilft Unternehmen dabei, die finanziellen Auswirkungen von Ausfällen oder sonstigen Störungen ihres Geschäftsbetriebs zu ermitteln.

Was ist eine Business-Impact-Analyse und warum ist sie wichtig?

Eine BIA ermittelt die Auswirkungen eines plötzlichen Ausfalls von Geschäftsfunktionen, in der Regel in Form von Kosten für das Unternehmen. Eine BIA ermittelt zudem die kritischsten Geschäftsfunktionen, wodurch Sie einen Geschäftskontinuitätsplan erstellen können, der die Wiederherstellung dieser wesentlichen Funktionen priorisiert. Die Ursache der Betriebsunterbrechung spielt dabei jedoch keine Rolle. Sie kann auf Fahrlässigkeit, eine Naturkatastrophe, einen Cyberangriff oder andere Ursachen zurückzuführen sein. Stattdessen werden die geschäftlichen Auswirkungen der Störung betrachtet, Ressourcen priorisiert und der beste Ansatz für die Wiederherstellung ermittelt.

Eine BIA besteht aus drei wesentlichen Komponenten:

• Auswirkungen auf das Geschäft
• Zeitrahmen
• Abhängigkeiten

Auf jeden dieser Punkte wird im Folgenden näher eingegangen. Als Teil der Grundlage eines Business-Continuity-Plans ist eine BIA für die Wiederherstellung des Geschäftsbetriebs im Katastrophenfall unerlässlich.

Auswirkungen auf das Geschäft

Ermitteln Sie die wichtigsten Geschäftsfunktionen anhand der damit verbundenen Kosten für das Unternehmen.

Eine BIA ermittelt die wichtigsten Funktionen eines Unternehmens, die dessen Fortbestand sichern – also die Gesamtheit seiner Geschäftsprozesse, die zur Ausführung dieser Prozesse erforderlichen Ressourcen und die dafür notwendigen Systeme. Die potenziellen Kosten, die mit einer Betriebsunterbrechung verbunden sind, wie beispielsweise Umsatzverluste, Strafen wegen Nichteinhaltung gesetzlicher Vorschriften, Vertragsstrafen aufgrund der Nichteinhaltung von Service Level Agreements (SLAs), erhöhte Betriebskosten usw., werden für jede Geschäftsfunktion in konkreten Dollarbeträgen berechnet.

Um die finanziellen Auswirkungen zu bewerten, besteht ein Ansatz darin, mithilfe eines Fragebogens Fragen zu stellen, deren Antworten auf einer Skala von 1 bis 5 bewertet werden. Zum Beispiel:

• Wie hoch wäre der potenzielle Umsatzverlust, wenn diese Geschäftsfunktion ausfallen würde?
• Welche Bußgelder und Strafen würden dem Unternehmen auferlegt?
• Um wie viel würden sich die Betriebskosten des Unternehmens erhöhen?

Für das Unternehmen könnten auch Kosten entstehen, die nicht in Dollar beziffert werden können. Dazu gehören Reputationsschäden und der Verlust von Goodwill. Ihr Fragebogen könnte außerdem Fragen wie die folgenden enthalten:

• Welchen potenziellen Schaden würde dies dem Ruf des Unternehmens zufügen?
• Welche Auswirkungen hätte dies auf den Kundenservice?

Potenzielle Gefahren für diese Funktionen ermitteln

Sobald Ihre BIA die kritischen Geschäftsfunktionen ermittelt hat, ermittelt sie die damit verbundenen Risiken sowie die Bedingungen, die zu einem Ausfall eines Geschäftsprozesses führen können, und die Wahrscheinlichkeit des erneuten Auftretens des Risikos.

Zeitrahmen

Es gibt drei Zeiträume, die in Ihrer BIA berücksichtigt werden sollten:

• Recovery Point Objective (RPO) – In der Regel die Zeitspanne zwischen zwei Datensicherungen, die die maximale Zeitspanne darstellt, in der Daten im Falle einer Katastrophe verloren gehen können.
• Recovery Time Objective (RTO) – Die Zeit, die Sie benötigen würden, um die Daten aus dem Backup wiederherzustellen.
• Maximal zulässige Ausfallzeit (MAD) – Die maximal tolerierbare Ausfallzeit, die sich eine bestimmte Geschäftsfunktion leisten kann. Darin sollte die Zeit enthalten sein, die benötigt wird, um die Funktion nach dem Wiederherstellen eines Backups wieder voll funktionsfähig zu machen.

Abhängigkeiten

Eine BIA sollte die Abhängigkeiten zwischen Geschäftsprozessen und Systemen ermitteln. Dies hilft dabei, die Systeme zu priorisieren, deren Wiederherstellung zuerst erfolgen muss. Eine BIA hilft Ihnen dabei, die Reihenfolge zu bestimmen, in der ausgefallene Funktionen oder Prozesse wiederhergestellt werden müssen. Eine Geschäftsfunktion, auf deren Betrieb mehr Geschäftsprozesse angewiesen sind, hat im Wiederherstellungsprozess eine höhere Priorität als andere.

Möglicherweise bestehen auch Abhängigkeiten von bestimmten Anbietern, mit denen Sie zusammenarbeiten müssen, um verschiedene Systeme und Funktionen wiederherzustellen. Dazu können IT-Anbieter und Internetdienstanbieter gehören; diese sollten in Ihrer BIA dokumentiert werden.

Gibt es BIA-Standards?

Es gibt mehrere Normen, die Leitlinien für die Erstellung einer BIA enthalten. Dazu gehören die Norm ISO 22301 der Internationalen Organisation für Normung (ISO), der National Fire Protection Act 1600 sowie der BCP-Standard des Federal Financial Institutions Examination Council (FFIEC) für Finanzinstitute.

Auswirkungsanalyse im Rahmen der Geschäftskontinuitätsplanung

Ein Business-Continuity-Plan (BCP) beschreibt, welche Maßnahmen im Falle eines Ausfalls oder einer Störung zu ergreifen sind, während eine BIA sowohl die Risiken identifiziert, die zu einem Ausfall führen könnten, als auch die kritischen Geschäftsfunktionen, die von einem Ausfall betroffen sein könnten, und diese im Hinblick auf die Wiederherstellung priorisiert. Eine BIA bildet die Grundlage für einen soliden Business-Continuity-Plan und bereitet ein Unternehmen auf den unvermeidlichen Aufwand vor, der für die Wiederherstellung nach einer Betriebsstörung erforderlich ist. BCPs konzentrieren sich nicht nur auf den technischen Betrieb (Hardware-/Softwareprobleme), sondern berücksichtigen auch das Personal und andere Ressourcen, die für die Geschäftskontinuität relevant sind.

Sobald Ihre BIA erstellt ist, empfiehlt es sich, diese regelmäßig zu überprüfen und zu aktualisieren, da sich Ihr Unternehmen im Laufe der Zeit verändert. So können Sie die BIA effektiv nutzen, um neue Risiken und Herausforderungen zu bewältigen. Es wird empfohlen, dies mindestens alle zwei Jahre durchzuführen. In Verbindung mit der Geschäftskontinuitätsplanung ermöglicht eine BIA einem Unternehmen, Ausfallzeiten zu minimieren und die Produktivität der Belegschaft auch im Krisenfall sicherzustellen.

Erfahren Sie mehr über die Planung der Geschäftskontinuität in unserem E-Book „Eine Krise in eine Chance verwandeln“.