Business Continuity Management: Employer Branding vor und in Krisen

Mit dem Employer Branding hat die Personalabteilung ihr Aufgabenspektrum erweitert. Ein unbeachteter Nutzen und Bestandteil für Unternehmen innerhalb dieses Aufgabenfeldes ist das Business Continuity Management (BCM). Wir werfen einen exklusiven Blick auf dieses HR-Thema.

Not- und Krisenfälle können jede Organisation treffen. Einen Handwerkerbetrieb genauso wie eine Kammer, einen Verband, eine Behörde oder ein größeres Unternehmen. Einer der klassischen Auslöser ist die plötzliche Nichtverfügbarkeit (ein etwas sperriger Begriff) von zentralen Ressourcen: IT, Dienstleister, Maschinen und Anlagen, Gebäuden und natürlich dem Personal.

Wenn es hier zu plötzlichen Ausfällen kommt, geraten zeitkritische Geschäftsprozesse ins Stocken, was wiederum Kunden und Geschäftspartner verärgert. Und Wettbewerber freut. Für eine solche Situationen müssen Organisationen vorsorgen – auch und insbesondere durch HR-Maßnahmen.

Im Interview gibt Dr. Holger Kaschner, MBA, Experte für Cybersecurity mit Schwerpunkt auf die Vernetzung von Informationssicherheit, Incident Response, Continuity Management sowie Notfall- und Krisenmanagement, Einblick in das Business Continuity Management und den Beitrag durch die HR.

Dr. Kaschner, wie viele Mitarbeiter müssen ausfallen, damit ein Notfall oder gar eine Krise eintritt?

Das müssen gar nicht mal viele sein. Es reicht schon, wenn an einer einzigen entscheidenden Stelle die Leute plötzlich krank werden. Beispielsweise, weil sie zusammen auf der Weihnachtsfeier der Abteilung waren und irgendwas am Essen nicht in Ordnung war. Dann ist vielleicht nur ein Bruchteil der gesamten Belegschaft krank, die Auswirkungen für die Arbeitsabläufe und damit für die externen Stakeholder aber gravierend.

Wie können Unternehmen sich darauf vorbereiten?

Zunächst sollte jede Organisation ihre zeitkritischen Prozesse identifizieren. Diese gilt es zu schützen. Dazu sollten wir schauen, welche Ressourcen wir im Notfall unbedingt brauchen, damit diese Prozesse so schnell wie möglich zumindest auf einem rudimentären Level funktionieren. Als nächstes gilt es Workarounds zu beschreiben, die den Betrieb mit abgespecktem Ressourceneinsatz abbilden und diese zu verproben; das sind die klassischen Notfallpläne.

Parallel muss die sogenannte Wiederherstellung der Ressourcen geplant werden. Das alles ist Gegenstand des Business Continuity Management, kurz BCM. Wenn Menschen beispielsweise bei einem Arbeitsunfall verletzt werden oder gar zu Tode kommen, reicht BCM allein nicht aus. Solche tragischen Situationen sind Krisen und sollten durch einen Krisenstab gemanagt werden. Aber keine Frage: Ein Krisenstab kann auch bei der Bewältigung von Notfällen im BCM-Kontext extrem hilfreich sein.

Und was können Personalabteilungen konkret beitragen?

Eine ganze Menge. Das Schöne dabei: Viele der Maßnahmen nutzen nicht nur im Notfall, sondern haben auch einen echten Mehrwert im Tagesgeschäft. Diese lassen sich wunderbar in Personalentwicklungsprogramme integrieren. Dazu zählen beispielsweise Trainings für Mitglieder der Notfall- und Krisenorganisation.

Unter anderem trainiere ich regelmäßig Krisenstabsmitglieder in der Bewältigung von komplexen Situationen unter Zeitdruck. Die Teilnehmer sind Fach-, aber hauptsächlich Führungskräfte.

Die im Training vermittelten Ansätze helfen Ihnen anschließend auch im Tagesgeschäft, da sie auch dort in immer kürzeren Abständen mit immer komplexeren Herausforderungen konfrontiert werden. Solche Trainingsprogramme kommen bei den Teilnehmern super an und verstärken die die Bindung an den Arbeitgeber.

In verschiedenen Branchen wie zum Beispiel Banken und Versicherungen ist so etwas nicht nur Goodwill. Dort fordert die zuständige Aufsichtsbehörde sogar explizit, dass Organisationen dafür sorgen müssen, dass ihr Personal angemessen qualifiziert wird. Das gilt übrigens auch für branchenunabhängige Standards zum Business Continuity Management.

Gibt es noch weitere Maßnahmen, die sich unter Personalentwicklung verbuchen lassen?

Eine weitere Maßnahme, die sich im Notfall und im Tagesgeschäft gleichermaßen positiv auswirkt, ist die Dopplung von Skills. Damit ist gemeint, dass jede Mitarbeiterin und jeder Mitarbeiter nicht nur das eine Skillset besitzen sollte, das ihn für die aktuelle Stelle qualifiziert.

Sondern er sollte auch die Skills für mindestens eine weitere Tätigkeit haben – insbesondere für solche, die aus der Perspektive der betrieblichen Kontinuität unverzichtbar sind. Gerade in Zeiten der zunehmenden Spezialisierung hilft das auch im Alltag, weil auf diese Weise das an vielen Stellen herrschende Silo-Denken aufgebrochen wird.

Was sind die Voraussetzungen für einen solchen Ansatz?

Hilfreich ist Rollenmodell, über das neben den fachlichen Skills auch die IT-Berechtigungen gesteuert werden können. Der zugrunde liegende Gedanke ist folgender: Die betrieblichen Abläufe werden in einzelne Aufgaben runtergebrochen. Um diese Aufgaben wahrzunehmen, bedarf es bestimmter Skills.

Dieses aufgabenbezogene Skillset ist die Rolle, wobei jede Mitarbeiterin und jeder Mitarbeiter üblicherweise mehrere Rollen wahrnimmt. Aus BCM-Sicht gilt: Je mehr unterschiedliche Rollen eine Person wahrnehmen kann, desto besser – und je weniger Personen eine Rolle ausüben, desto höher das Risiko, dass die betrieblichen Abläufe ins Stocken geraten.

Welche anderen Abteilungen muss HR dabei einbinden?

Personalabteilungen sollten sich unter anderem mit der Frage befassen, wie sie für bestimmte Rollen auch kurzfristig Personalersatz beschaffen können. Der Schlüssel ist oft eine Datenbank, in der die Skillprofile der einzelnen Mitarbeiter hinterlegt sind. Mit einer solchen Datenbank lässt bei Bedarf schnell herausfinden, wie sich ein eventuell auch größerer Personalausfall mit internen Kapazitäten bewältigen lässt. Beim Aufbau der Datenbank ist die IT-Abteilung ein wichtiger Ansprechpartner, ebenso der Datenschutzbeauftragte und die Organisationsabteilung, falls eine solche vorhanden ist.

Für den Fall, dass der Ausfall bestimmter Rollen intern nicht kompensiert werden kann, werden externe Dienstleister, befreundete Unternehmen und gegebenenfalls der eigene Einkauf (falls dieser zentralisiert ist) zu wichtigen Ansprechpartnern. Unter bestimmten Umständen können Fachkräfte auch kurzfristig und zeitlich begrenzt von extern eingekauft werden. Ergänzend sollte HR aber unbedingt mit der Arbeitnehmervertretung klären, in welchem Umfang sich Arbeitszeiten flexibilisieren lassen.

Auch wenn das Arbeitszeitgesetz Mehrarbeit zur Bewältigung von Notfällen ausdrücklich erlaubt: Die Arbeitnehmervertretung muss die entsprechenden Regelungen mittragen.
Zu guter Letzt sind natürlich noch die Fachbereiche und vor allem der BCM-Beauftragte zu nennen. Er kann bei der Definition der Trainingsziele helfen.

Dr. Kaschner, vielen Dank für das informative Gespräch!

Über den Interviewpartner Dr. Holger Kaschner:
Dr. Holger Kaschner besitzt Praxiserfahrung im Umgang mit Risiken seit 1996 aus Beratung und Linie, jeweils in Fach- und Führungspositionen. Seine Branchenerfahrung umfasst (in alphabetischer Reihenfolge) Banken, Behörden, Construction, Energie, Gemeinnützige Organisationen, Gesetzliche Krankenversicherer, Industrie, IT-Dienstleister, Medizintechnologie, Nahrung und Genussmittel, Online-Dienste, Pharmaindustrie, Verlagswesen, Versicherungen und Zahlungsdienstleister. Er ist Autor von Fachpublikationen rund um das Thema Cybersecurity und Cyber Crisis Management sowie Alumnus bzw. Gastdozent unterschiedlicher Institutionen, u.a. der Akademie für Krisenmanagement, Notfallplanung und Zivilschutz sowie der Führungsakademie der Bundeswehr.
Dr. Kaschner ist zertifizierter Lead Auditor ISO 22301 und ISO/IEC 27001 sowie Lead Cybersecurity Manager ISO/IEC 27032.