Business Impact Analyse (BIA)

Diese Seite ist derzeit noch ein Entwurf.

Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite.

Die folgende Muster Struktur einer Business Impact Analyse (BIA) soll bei der Bewertung der Auswirkungen eines Unterbrechungsereignisses auf die Geschäftsprozesse einer Organisation helfen. Die folgende Vorlage bietet einen umfassenden Rahmen für die Durchführung einer Business Impact Analyse, die sicherstellt, dass alle relevanten Aspekte berücksichtigt werden und damit die Resilienz der Organisation effektiv gestärkt wird.

Einleitung

Eine Business Impact Analyse (BIA) ist ein systematischer Prozess, um die wesentlichen Auswirkungen zu identifizieren, die der Ausfall von Geschäftsprozessen auf die Organisation haben kann. Ziel ist es, die kritischen Geschäftsfunktionen zu erkennen und Prioritäten für deren Wiederherstellung festzulegen. Dies schließt die Bewertung von finanziellen, rechtlichen, und reputationsbezogenen Schäden mit ein, sollte ein Geschäftsprozess länger als die maximal tolerierbare Ausfallzeit (Maximum Tolerable Downtime, MTD) unterbrochen sein.

Die BIA unterstützt die Organisation dabei, effektive Notfall- und Wiederherstellungsstrategien zu entwickeln, um die Betriebskontinuität in Krisenzeiten zu sichern und den langfristigen fortbestand der Organisation zu gewährleisten. Sie bietet eine grundlegende Einsicht, welche Geschäftsprozesse unbedingt aufrechterhalten werden müssen. Durch die BIA werden nicht nur Risiken quantifizierbar, sondern es wird auch ermöglicht, proaktiv Maßnahmen zur Risikominimierung zu planen und umzusetzen.

Abgrenzung zur Risikoanalyse

Die Business Impact Analyse konzentriert sich auf die Folgen, die der Ausfall bestimmter Geschäftsprozesse für die Organisation haben würde, ohne die Ursachen dieses Ausfalls zu betrachten. Sie bewertet nur die direkten Auswirkungen für die Organisation.

Die Risikobewertung dagegen identifiziert und analysiert potenzielle Gefahrenquellen wie Naturkatastrophen oder IT-Störungen. Sie schätzt die Eintrittswahrscheinlichkeit dieser Ereignisse und deren potenzielle Schäden, um präventive Maßnahmen zu empfehlen.

Zusammen bilden sie eine vollständige Analyse: Die BIA definiert die kritischen Punkte und ihre Auswirkungen, während die Risikoanalyse die zugrundeliegenden Risiken und deren vorbeugende Behandlung adressiert.

Geltungsbereich

Die Business Impact Analyse (BIA) der Organisation umfasst alle relevanten Kern- und Unterstützungsprozesse der Organisation und ist somit für die gesamte Organisation gültig.

Diese BIA Mustervorlage fokussiert auf die Geschäftsprozesse, grundsätzlich sind aber auch andere Geltungsbereiche denkbar z.B.:

Technologische Systeme IT-Infrastruktur und Softwareanwendungen,einschließlich Datenbanken, Netzwerke, Serversysteme und kritische Software, die für die Aufrechterhaltung der Geschäftsprozesse notwendig sind.
Organisatorische Einheiten wie Abteilungen und Standorte. Abhängigkeiten von geografischen Standorte und organisatorischen Einheiten, besonders in multinationalen Organisationen.
Ressourcen Menschliche Ressourcen, physische und finanzielle Ressourcen. Bewertung der Verfügbarkeit und der Kritikalität von Personal, physischem Inventar, Lieferanten und Budgets.
Lieferketten Analyse der Abhängigkeiten von internen oder externen Lieferanten und Lieferketten, die für kritische Geschäftsprozesse wesentlich sind.

Zielsetzung

Die wesentlichen Ziele einer Business Impact Analyse (BIA) umfassen die

Identifikation kritischer Geschäftsprozesse und ihrer Abhängigkeiten zur Sicherstellung der Betriebskontinuität.
Bewertung der Ausfallfolgen und die Abschätzung finanzieller, rechtlicher und reputationsbezogener Risiken bei Ausfall dieser Prozesse.
Unterstützung der Risikomanagement-Strategie und die Entwicklung von Strategien zur Risikominderung und Bereitstellung von Daten für die Geschäftskontinuitätsplanung (Business Continuity Planning).
Förderung der organisatorischen Resilienz durch Erhöhung der Adaptions- und Reaktionsfähigkeit der Organisation auf Krisen durch proaktive Risikoplanung.

Verantwortliche

Die Durchführung einer Business Impact Analyse (BIA) erfordert die Beteiligung vieler verschiedener Rollen innerhalb der Organisation, um eine umfassende und effektive Analyse sicherzustellen.

Organisationsleitung

Die Organisationsleitung hat die Gesamtverantwortungfür den Prozess, insbesondere für die Genehmigung der BIA-Initiative, die Bereitstellung der notwendigen Ressourcen und die Nutzung der Ergebnisse zur strategischen Planung.

Fachabteilungsleiter

Die jeweiligen fachliche Leitungen sind Kenner der täglichen Abläufe und kritischen Prozesse ihrer spezifischen Bereiche. Sie liefern detaillierte Einblicke in die Funktionsweise und die Bedeutung einzelner Geschäftsprozesse.

IT-Abteilung

Wichtig für die Bewertung der technologischen Abhängigkeiten und Risiken. Sie tragen zur BIA bei, indem sie Informationen über IT-Systeme, Datenzugriff und -sicherheit sowie über Ausfallrisiken und Wiederherstellungszeiten liefern.

Risiko- und Notfallmanagement

Koordinieren die BIA im Kontext des gesamten Risikomanagementprogramms der Organisation. Sie helfen, die Ergebnisse in breitere Risikomanagement- und Notfallplanungsaktivitäten zu integrieren.

Business Continuity Manager

Sofern vorhanden führen BC-Manager die BIA durch und sind für die Entwicklung und Implementierung von Betriebskontinuitätsplänen verantwortlich, die auf den Ergebnissen der BIA basieren.

Finanzabteilung

Bieten Einsichten in die finanziellen Auswirkungen von Geschäftsunterbrechungen und sind essenziell für die Bewertung der monetären Konsequenzen im Falle eines Ausfalls.

Personalabteilung

Ist entscheidend für die Bewertung der Auswirkungen auf das Personal und die Planung von Personalressourcen während und nach einer Unterbrechung. Insbesondere auch für Regelungen zu Rufbereitschaft, Überstunden und Mehrarbeit.

Externe Berater und Spezialisten

Externe können hinzugezogen werden, um spezialisiertes Wissen und objektive Perspektiven zu bieten, insbesondere in komplexen Umgebungen oder bei Mangel an internen Ressourcen.

Durchführung

Vorbereitung

Festlegung des Rahmens

Schadenkategorien

Schadenskategorie	Auswirkungen
1 vernachlässigbar (gering)	Es entsteht kein nennenswerter Schaden. Prozesse, Dienste oder Verfahren werden nicht beeinträchtigt. Es hat keine finanziellen Auswirkungen.
2 begrenzt (mittel)	Der Schaden ist im Rahmen der betrieblichen Prozesse zu beheben. Prozesse, Dienste oder Verfahren werden nicht nennenswert bzw. nur kurzzeitig beeinträchtigt. Verträge und Servicelevel können noch eingehalten werden. Es hat nur geringe finanzielle Auswirkungen innerhalb des vorhandenen Budgets.
3 beträchtlich (hoch)	Der Schaden kann nur durch Managementbeteiligung behoben werden. Prozesse und Verfahren können nicht mehr aufrechterhalten werden. Verträge, Servicelevel oder Gesetze (z.B. Ordnungswidrigkeiten) werden verletzt. Das Ansehen der Organisation leidet. Die finanziellen Auswirkungen sind erheblich und erfordern Budgetänderungen.
4 existenzbedrohend (sehr hoch)	Der Schaden ist existenzbedrohend. Verträge oder Gesetze werden massiv verletzt (z.B. Straftaten). Das Ansehen der gesamten Organisation wird erheblich und dauerhaft geschädigt. Die finanziellen Auswirkungen können existenzbedrohend sein.

Max. tolerierbare Ausfallzeit (MTPD)

Die maximal tolerierbare Ausfallzeit beschreibt die maximale Zeitspanne, die ein Geschäftsprozess oder ein Verfahren nach einem Ausfall oder einer Unterbrechung tolerieren kann, bevor erhebliche Schäden oder unannehmbare Konsequenzen für die Organisation entstehen. Bis zum Ende der MTPD muss zumindest ein Notbetrieb gewährleistet sein.

MTPD	Beschreibung
< 4 Stunden	Der Geschäftsprozess darf maximal wenige Stunden Ausfallen und muss innerhalb eine halben Tage wieder zur Verfügung stehen, da rechtliche oder vetragliche Vorgaben erfordern, dass Aufgaben innerhalb diese Geschäftsprozess innerhalb eines Wertags abgeschlossen werden müssen.
< 1 Tag	Der Geschäftsprozess muss bis zum nächsten Werktag wiederhergestellt werden, um die Einhaltung täglicher Betriebs- und Geschäftsroutinen zu gewährleisten, welche die Basis für die tägliche Aufrechterhaltung von Kundenbeziehungen und Servicequalität sind.
< 3 Tage	Der Geschäftsprozess muss innerhalb von drei Tagen wiederhergestellt werden, da längere Ausfälle die Erfüllung wöchentlicher Ziele und Verpflichtungen behindern könnten, was zu operationellen Störungen und Kundenunzufriedenheit führt.
< 1 Woche	Der Geschäftsprozess muss innerhalb einer Woche wiederhergestellt werden, um die Abwicklung von wöchentlichen Zyklen und die Einhaltung von Lieferterminen sicherzustellen, deren Verzögerung zu Vertragsstrafen oder Glaubwürdigkeitsverlust führen könnte.
< 3 Wochen	Der Geschäftsprozess muss innerhalb von drei Wochen wiederhergestellt werden, da sonst mittelfristige Planungen und Projekte gefährdet sind, was die strategische Position und langfristige Partnerschaften beeinträchtigen könnte.
> 3 Wochen	Der Geschäftsprozess kann eine Ausfallzeit von mehr als drei Wochen tolerieren, da er nicht direkt zeitkritisch ist und Verzögerungen keine unmittelbaren schwerwiegenden Auswirkungen auf das Kerngeschäft haben.

Diese Ausfallzeiten und Beschreibungen müssen den organisations- und branchentypischen Anforderungen angepasst werden, um die Auswirkungen im jeweiligen Geschäftskontext zu verdeutlichen und die Auswirkungen auf typische Geschäftsabläufe der Organisation zu betonen.

Zieldefinition

Klärung, was mit der BIA erreicht werden soll.

Geltungsbereich bestimmen

Festlegung, welche Geschäftsprozesse und Ressourcen einbezogen werden.

Beteiligte definieren

Identifikation der Stakeholder

Festlegung, wer in den BIA-Prozess involviert wird (z.B. Geschäftsleitung, IT-Leitung, Fachbereichsleiter).

Bildung eines BIA-Teams

Zusammenstellung des Teams, das die BIA durchführt.

Durchführung der Analyse

Datenerhebung

Interviews und Workshops

Durchführung mit Schlüsselpersonal zur Erhebung von Details zu Geschäftsprozessen und deren Abhängigkeiten.

Kerngeschäftsprozesse der <*Organsiation*>
Prozess		Beschreibung	Verantwortlicher
P1	Produktion oder Fertigung	Herstellung von Produkten oder die Bereitstellung von Dienstleistungen. Hier werden Ressourcen, Materialien und Arbeitskräfte genutzt, um das Endprodukt oder die Dienstleistung gemäß den betrieblichen Standards und Anforderungen herzustellen.	N.N. (Produktionsleiter)
P2	Vertrieb und Marketing	Die Vermarktung und den Verkauf von Produkten oder Dienstleistungen. Dies beinhaltet die Entwicklung von Marketingstrategien, die Identifizierung potenzieller Kunden, die Werbung, den Verkauf und die Pflege von Vertriebskanälen, um Produkte oder Dienstleistungen erfolgreich auf dem Markt zu positionieren.	N.N. (Vertriebsleiterin)
P3	Kundenbetreuung und Service	Bestehende Kunden zufriedenzustellen und zu unterstützen. Der Prozess umfasst die Bearbeitung von Kundenanfragen, Beschwerden oder Problemen, um sicherzustellen, dass die Kunden einen qualitativ hochwertigen Service und Support erhalten.	N.N. (Leitung Kundebetreuung)
P4	Forschung und Entwicklung	Die Erforschung neuer Ideen, Technologien oder Produkte sowie auf die kontinuierliche Verbesserung bestehender Angebote. Ziel ist es, Innovationen zu fördern und die Wettbewerbsfähigkeit des Unternehmens zu steigern. Dies beinhaltet die Planung, Umsetzung und Evaluierung von Forschungs- und Entwicklungsprojekten.	N.N. (Entwicklungsleitung)

Dokumentenanalyse

Sichtung vorhandener Dokumentation zu Prozessen, IT-Systemen und anderen Ressourcen.

Bewertung der Geschäftsprozesse

Kritikalitätsanalyse

Bestimmung der Wichtigkeit jedes Geschäftsprozesses für das Unternehmen.

Analyse der Auswirkungen

Einschätzung der Folgen eines Ausfalls oder einer Beeinträchtigung der Prozesse auf Finanzen, Reputation und Compliance.

Ermittlung der maximal tolerierbaren Ausfallzeiten (MTD)

MTD-Bestimmung

Festlegung der maximal tolerierbaren Dauer eines Prozessausfalls.

Auswertung und Maßnahmenplanung

Risikobewertung

Identifikation und Bewertung von Risiken

Bestimmung der Risiken, die zu einem Ausfall führen können, und deren Wahrscheinlichkeit.

Entwicklung von Strategien zur Risikominderung

Planung von Gegenmaßnahmen

Entwicklung von Strategien, um die identifizierten Risiken zu minimieren oder zu managen.

Priorisierung von Maßnahmen

Festlegung der Reihenfolge der Umsetzung basierend auf Kritikalität und Ressourcenverfügbarkeit.

Dokumentation und Reporting

Erstellung des BIA-Berichts

Zusammenfassung der Ergebnisse und empfohlenen Maßnahmen.

Präsentation an die Organsationssleitung

Sicherstellung der Unterstützung und Ressourcenzuweisung für die Umsetzung der Maßnahmen.

Schlussbemerkung

Revision

Diese Analyse wird regelmäßig, jedoch mindestens einmal pro Jahr, durch den Regelungsverantwortlichen auf Aktualität und Konformität geprüft und bei Bedarf angepasst.