Continuity Management - Wenn die Organisation versagt

Continuity Management Wenn die Organisation versagt - K-Fall Vorsorge ist mehr als Backup - In vielen Unternehmen wird für die Katastrophenfall-Vorsorge das IT-Recovery-Konzept vorgehalten. Häufig besteht jedoch keine ausreichende Notfallplanung, welche die Verant- wortlichkeiten und Prozesse nach dem K-Fall regelt. Die Büroflächen stehen in Flammen, Produkti- parenz im Unternehmensbereich etc.) jedem Ge- onssysteme sind zerstört und Daten sind nicht schäftsführer und Vorstand die Verantwortung für mehr zugänglich. Wenn dann auch noch die die Vorsorgeplanung und regelmäßige Überprüfung verantwortlichen Führungskräfte nicht erreich- dieser Planung bekannt sein. Die Praxis zeigt jedoch, bar sind, sollten die notwendigen Maßnahmen dass häufig das Risikobewusstsein fehlt und die Un- und Verantwortlichkeiten im Vorfeld geklärt ternehmenslenker - wie auch viele CIOs - sich durch worden sein. Delegation der Aufgabe in die Fachbereiche in trüge- Doch genau dies ist häufig nicht der Fall. In rischer Sicherheit wähnt. Da eine Delegation der vielen Unternehmen bestehen technische Aufgaben jedoch nicht von der Verantwortung be- Backup-Konzepte, jedoch kommt häufig die freit, ist immer wieder Überzeugungsarbeit notwen- organisatorische Vorsorge zu kurz. dig, um das Bewusstsein im Management zu schär- fen. Eine umfassende Vorsorgeplanung enthält neben den technischen und räumlichen Aspek- Ist der erste Schritt erreicht und ein Verständnis für ten insbesondere auch eine Definition der or- die Notwendigkeit einer organisatorischen Notfall- ganisatorischen Maßnahmen. planung besteht, kommt häufig die nächste Hürde. Es gilt nicht selten die Devise „wasch mich, aber mach mich nicht nass“! Notfallkonzepte werden nur halb- Das Management Commitment herzig definiert und implementiert. Die Einbeziehung Sind die klassischen IT-Recovery-Konzepte des Managements hingegen wird häufig völlig Au- (Backup-Strategien) häufig alleine ein Thema ßen vor gelassen. Daher ist es wichtig, dass das Ma- der IT-Abteilung, liegt die Verantwortung für nagement hinter den notwendigen Maßnahmen steht die übergreifende organisatorische Vorsorge- und die eigene Rolle in der Notfallorganisation ak- planung bei der Unternehmensführung. zeptiert und wahrnimmt. Grundlage für eine erfolgreiche Vorsorgepla- nung sind zwei Aspekte: Vorsorge ist nur mit Vorgaben möglich Sämtliche Vorsorgeplanung läuft ins Leere, wenn die a) Das Bewusstsein des Managements für den Zielvorgaben nicht definiert sind. Erst die Festlegung Bedarf einer entsprechenden Planung, muss gewünschter Wiederherstellungszeiträume und Not- vorhanden sein. fall-Verfügbarkeiten ermöglicht eine zielgerichtete Ausrichtung der Vorsorgeplanung. Hierbei stehen b) Das Commitment des Managements für die Fragen im Vordergrund, welchen Ausfall ein Unter- notwendigen Maßnahmen. nehmen „sich leisten kann“, welche Prozesse zu wel- chem Zeitpunkt wieder verfügbar sein müssen und Grundsätzlich sollten auf Basis der bekannten welche/wie viele Notfallarbeitsplätze bis zur Wie- Compliance-Anforderungen (GmbH-Gesetz, derherstellung benötigt werden. Aktiengesetz, Gesetz zur Kontrolle und Trans- Zu berücksichtigen ist dabei, dass Zielvorgaben Aktivitäten bei der K-Fall-Bewältigung erwähnt: ein wesentliches Kriterium für die notwendigen Vorsorgekosten sind und somit zwingend einer • Sicherung und Abwicklung des zerstörten Teilbe- Management-Entscheidung bedürfen. reiches des Unternehmens. Sammlung von Do- kumenten/Ordnern, Datenträgern auf PCs, Ser- Die 5 W-Fragen vern etc. • Kommunikation mit Kunden, Lieferanten und Für die Vorsorgeplanung sind die sogenannten Medien. 5 W-Fragen festzulegen: • Kommunikation, Versorgung und Transport der eigenen Mitarbeiter. 1. Wer kann etwas tun? • Einrichtung von temporären Arbeitsplätzen für 2. Was muss getan werden? die administrativen Tätigkeiten. 3. Wo muss etwas getan werden? • Aufbau der zerstörten Produktionsanlagen bzw. 4. Wie muss etwas getan werden? Wiederherstellung von Systemen und Datenbe- ständen. 5. Wann muss etwas getan werden? Es ist auf Basis von unterschiedlichen K-Fall- Auch wenn diese Fragen einfach klingen und Szenarien für jedes Team sicherzustellen, dass klare man sie vermeintlich sicher beantwortet, ber- Vorgaben definiert sind: gen sie ein hohes Fehlerrisiko und die abgelei- teten Maßnahmen gehen weit über die IT hin- • Welche Teamrollen bestehen? aus. • Von welchem Standort aus agieren die Teams? Bei der Vorsorgeplanung muss davon ausge- • Welche Verantwortlichkeiten haben die Teams? gangen werden, dass die im Produktionsbetrieb • Was sind die notwendigen Maßnahmen/Auf- verantwortlichen Personen nicht verfügbar gaben, die umgesetzt werden müssen und welche sind. Daher ist bei der Festlegung der entspre- Checklisten/Handlungsanweisungen sind erfor- chenden Rollen darauf zu achten, dass Funkti- derlich? onen und Rollen mit entsprechenden Verant- wortlichkeiten definiert werden und keine de- • Welcher Kommunikationsbedarf und welche Zu- dizierte Zuordnung von Personen erfolgt. sammenarbeit mit anderen Teams besteht? • Welche Informationen werden zu welchen Zeit- Hier steckt einiges Diskussionspotenzial. In punkt an Mitarbeiter, Kunden, Lieferanten kom- einer Vorsorgeplanung muss beispielsweise muniziert? festgelegt werden, wer Freigaben für die Initia- lisierung von Notfallplänen durchführen kann. Zusätzlich sind auch Regelungen für die Erstmaß- Hier heißt es, die gewohnten Genehmigungs- nahmen festzulegen. Mögliche Vorgaben sind: prozesse zu verlassen. Ein mancher muss hier über seinen Schatten springen und das Vertrau- en in die Mitarbeiter unter Beweis stellen. • Sammelpunkte für Mitarbeiter. • Informations- und Eskalationskontakte. Auch ist bei der Konzeption zu berücksichti- • Aktivierung Notfall-Prozesse. gen, dass viele Prozesse zur Bewältigung der Katastrophe parallel durchgeführt werden müs- • Beschaffung von notwendigen Hilfs- und Fi- sen. Organisatorisch löst man diese Herausfor- nanzmitteln. derung durch die Festlegung von aufgabenori- entierten Teams, die durch ein zentrales K- Die Maßnahmen werden flankiert von vertraglichen Fall-Management-Team koordiniert und ge- Vereinbarungen mit Dienstleistern für z.B. Notfallar- steuert werden. Die Anzahl und Besetzung beitsplätzen und Stand-by-Rechenzentren. dieser Teams hängt stark von dem jeweiligen Unternehmen ab. Beispielhaft seien folgende Dokumentation … aber richtig! Aus diesem Grund müssen die vorbereiteten Maß- nahmen regelmäßig überprüft werden. Jährliche K- Sind die Vorsorgepläne erstellt und Verant- Fall-Übungen zeigen, ob die Hilfsmittel zur Katast- wortlichkeiten festgelegt, dann ist eine K-Fall- rophenbewältigung praxisgerecht sind und in der sichere Dokumentation erforderlich. Es nützt in geplanten Zeitspanne, der Betrieb wieder aufge- der Regel nichts, wenn die Maßnahmenpläne nommen werden kann. auf den Firmenservern gespeichert werden oder in den Schränken des designierten Krisenma- Veränderungen in der Organisation, den Unterneh- nagers liegen. Sind Büro- und IT-Räume von mensprozessen und der technischen Infrastruktur einem Vorfall betroffen, werden sie häufig erfordern eine regelmäßige Überprüfung der Vorsor- durch die Einsatzkräfte gesperrt – auch dann, geplanung. Nur wenn sich die Vorsorgeplanung der wenn diese nicht in Mitleidenschaft gezogen Unternehmensentwicklung anpasst, bleibt ihr Nutzen wurden. erhalten. Die Etablierung eines kontinuierlichen Ver- besserungsprozesses ist daher ein wesentliches Ele- Daher ist die Dokumentation von kritischen ment zur Sicherstellung einer praxistauglichen Vor- Planungsinformationen sicher zu verwahren. sorgeplanung.