Wenn das Unvorhergesehene eintritt

In den vergangenen Monaten mussten sich Firmen auf ständig wechselnde Situationen einstellen. Viele waren darauf nicht vorbereitet. Wie Business-Continuity-Pläne den Weiterbetrieb sicherstellen und was HR damit zu tun hat.

«Nicht nur Banken und Versicherungen, die gesetzlich dazu verpflichtet sind, nutzen Business-Continuity-Pläne, auch Firmen in anderen Branchen, denen dies nicht vorgeschrieben wird», sagt Matthias Peissert, Business-Continuity-Management-Spezialist bei PwC Schweiz. Trotzdem waren viele Firmen kaum auf die Pandemie vorbereitet: «Im Nachgang zur Vogel- und Schweinegrippe erstellten zwar etliche Betriebe Pandemiepläne, haben diese in den letzten Jahren jedoch kaum aktualisiert und an die veränderten WHO-Empfehlungen angepasst.» Der Grund? «Pandemien waren in den letzten zehn Jahren kein Thema.» Hinzu käme, dass diese Pandemiepläne von einem anderen Szenario ausgingen: Sie berücksichtigten zwar die Abwesenheit der Mitarbeitenden während eines längeren Zeitraums, sahen aber keine behördlichen Betriebsschliessungen vor.

Dass manche Firmen zu wenig auf die Gesundheitskrise vorbereitet waren, findet auch Tobias Ackermann, Applications Leader bei Oracle Schweiz. Das sei weniger mangelnder Planung zuzuschreiben, als dass sich Firmen gleichzeitig mit einem Lieferkettenunterbruch und veränderten Kundenwünschen beschäftigen mussten. «Sie merkten erst während der Pandemie, wie sehr sie auf transparente Lieferketten angewiesen sind.» Das treffe allerdings nicht auf alle zu. «Einige nutzten die Krise, um ihre Systeme anzupassen: beispielsweise die Firma Fedex Services, die ihre Finanzdaten in die Cloud verlagerte. Anstatt diese Pläne zu sistieren und sich auf das alte System zu stützen, beschleunigte das Unternehmen seinen Projektzeitplan, um in der Krise erhöhte finanzielle Transparenz zu schaffen. Das hat sich für die Firma bei deren Bewältigung als essenziell erwiesen.»

Krisenfeste Personaler

Um schwerwiegende Ereignisse zu bewältigen, braucht es gemäss Ackermann vor allem mehr Agilität und ein neues HR-Denken: «Personaler müssen ihre Belegschaft auch durch unerwartete Veränderungen führen und dazu mit anderen Abteilungen verbunden sein.» Etwa der Finanzabteilung, dem Marketing sowie allen weiteren Bereichen entlang der Lieferkette. Damit ein so heterogen zusammengesetzter Krisenstab adäquate Entscheide fällen kann, seien einheitliche Unternehmensdaten erforderlich, die auf einer zentralen Plattform für alle Krisenstabsmitglieder zugänglich sind.

Es sei allerdings unmöglich, für alle erdenkbaren Katastrophen einen Business-Continuity-Plan zu erstellen. Doch auf welche Szenerien muss man sich beschränken? «Auf keine», sagt Ackermann. «Stattdessen sollten Firmen ihre Organisation agiler ausrichten, damit Mitarbeitende effektive Strategien für unerwartete Geschehnisse mit Szenarienplanungen antizipieren können.» Das diene dazu, einer Katastrophe vorausgehende Zwischenereignisse zu identifizieren und Mechanismen einzurichten, um die Entwicklung dieser Ereignisse zu verfolgen. Hierfür seien Mitarbeitende, Zulieferer und Kunden einzubeziehen. Ebenso müssten finanzielle, strategische, operative und externe mögliche Geschehnisse berücksichtigt werden. «Ein Business-Continuity-Plan basiert oft auf den schlimmsten und wahrscheinlichsten Ereignissen, die in Wirklichkeit häufig anders auftreten.»

Handlungsfähig bleiben

Peissert sieht das ähnlich: «Bei einem abgebrannten Rechenzentrum ist ein anderes Vorgehen nötig als bei einem überfluteten Bürogebäude.» Für bestimmte Szenarien könnten spezifische Notfallpläne entwickelt und in einem Dokument festgehalten werden. Doch: «Es ist praktisch unmöglich, für jedes erdenkliche Geschehen einen Plan zu erarbeiten.» Zielführender sei es, einen Notfallplan für den Ausfall betriebsnotwendiger Ressourcen zu erstellen. Etwa für Arbeitsplätze, Produktionsstätten, IT-Systeme, kritische Lieferanten oder Mitarbeitende. «Beim Ausfall eines Rechenzentrums sind die Massnahmen ungeachtet der Ursache wie Explosion, Brand oder Überflutung zunächst ähnlich. Erst wenn der Normalbetrieb wieder hergestellt werden soll, kommen andere Massnahmen zum Zug.» Zudem sollten mögliche Auswirkungen bewertet werden. «Wichtig ist, Mitarbeitende, Zulieferer und Kunden zu berücksichtigen.»

Die notwendige Flexibilität solcher Pläne ist für Peissert gewährleistet, wenn sie das zugrundeliegende Szenario möglichst generisch fassen. Beispielsweise, indem man festhält: «Unser Hauptgebäude mit den dort befindlichen Arbeitsplätzen kann für mehrere Wochen nicht benutzt werden.» Daran könne man weitere Unterszenarien wie Hochwasser, Brand oder Anschlag einbinden. Ausserdem müsse ein Business-Continuity-Plan auch Handlungsoptionen beinhalten, die erst im Ernstfall gewählt würden. Beim Szenario «Ausfall Hauptgebäude» wären so folgende Handlungen oder eine Kombination davon möglich:

Alle Mitarbeitenden oder ein Teil arbeiten von zu Hause aus.
Es werden kurzfristig voll ausgestattete Büroarbeitsplätze angemietet.
Mitarbeitenden mit kritischen Aktivitäten werden Arbeitsplätze in anderen Bürogebäuden zugewiesen.

«Im Katastrophenfall braucht ein Krisenstab-Team zusätzliche Kompetenzen, um von bestehenden Plänen abzuweichen, wenn es die Situation erfordert», sagt Peissert. Darüber hinaus plädiert Ackermann für mehr Transparenz: «Firmen sollten mit ihren Anspruchsgruppen offen über die Wirksamkeit ihres Business-Continuity-Plans sprechen oder sie bei einer Kurskorrektur informieren.»

Vom Anfang bis zum Ende

In einem Katastrophenplan sei zudem festzuhalten, wer wofür zuständig und verantwortlich ist, ergänzt Peissert. Zu vermerken sei ausserdem, in welchem Fall der Plan in und ausser Kraft trete, welche Aktivitäten zur Weiterführung der Geschäftstätigkeiten notwendig seien oder wie kritische Geschäftsprozesse wieder hergestellt werden können. Notwendige interne und externe Kontaktdaten seien ebenfalls aufzulisten.

Bevor ein Unternehmen einen Business-Continuity-Plan erstelle, solle es jedoch zunächst abgrenzen, was darin festgehalten und was woanders dokumentiert werde. Etwa die Kommunikationsabläufe in einem Krisenkommunikationsplan.

Business-Continuity-Plan (BCP)

Beschreibt, wie ein Unternehmen bei einer ungeplanten Betriebsunterbrechung die Geschäftstätigkeiten aufrechterhält, und sollte Folgendes abdecken: Vorgehensweisen bei Verlust von Menschen, der Infrastruktur, der Gebäude (Räumlichkeiten), der Lieferkette (Ausfall Lieferant, Ausfall IT-Provider), Imageverlust. Der BCP enthält zudem Kontaktdaten für Notfallsituationen mit den wichtigsten Personen im Unternehmen, wer wann zu kontaktieren ist, Checklisten und Anlagepläne.

SBB

Die SBB hat einen Business-Continuity-Plan (BCP). Was hat das HR dazu beigetragen?
Karin Mahler: Bei der SBB steuern konzernübergreifende Fachführungen das Business-Continuity-Management. Unseren Business-Continuity-Plan entwickelten Spezialisten und Spezialistinnen verschiedener Divisionen und Konzernbereiche wie der Kommunikation, dem Notfall- und Krisenmanagement sowie dem Gesundheitsschutz. Letzterer untersteht meiner Verantwortung und gehört zum HR, weshalb dieses im Business-Continuity-Management eine wichtige Rolle spielte. Bei der Pandemiebewältigung leitete HR beispielsweise die Taskforce «Gesundheitsschutz und Schutzmaterial», die für die verschiedenen Berufsgruppen Schutzkonzepte erstellt und arbeitsrechtliche Grundlagen erarbeitet, um die Fürsorgepflicht der SBB als Arbeitgeberin sicherzustellen. Ebenso umfasste unser Auftrag unter anderem, gegenüber Mitarbeitenden konstant zu kommunizieren.

Hat sich der BCP in der Krise bewährt?
Heidrun Buttler: Der Ausbruch der Pandemie im Januar 2020 kam für die SBB nicht unerwartet. Wir haben die Business-Continuity-Pläne bereits 2006 im Zusammenhang mit der Vogelgrippe erstellt und diese danach regelmässig aktualisiert. Grundsätzlich regeln wir darin, wie wir das betriebsnotwendige Personal sicherstellen, welche Kommunikationskonzepte wir intern und extern nutzen, welche Schutzmassnahmen wir ergreifen und was der Eskalationsprozess beinhaltet. Auch Alternativpläne und What-if-Szenarien gehörten dazu. Deshalb bestanden bereits Strukturen, Netzwerke und Prozesse zum Monitoring einer allfälligen Pandemie. Aus denselben Gründen hatten wir bereits erste Vorbereitungen getroffen und eine Kerngruppe Pandemie gebildet. Als es ernst wurde, aktivierten wir den SBB-Krisenstab. Diese Krisenorganisation hat sich in «üblichen» kurzzeitigen betrieblichen kritischen Situationen mehrfach bewährt. Die Corona-Pandemie erforderte jedoch einen Ausbau, weshalb wir unter anderem eine Covid-Taskforce unter der Leitung von Karin Mahler gründeten.

Wie kann man in einem BCP alle möglichen Szenarien berücksichtigen?
Heidrun Buttler: Wir erstellten als Grundlage einen generischen Plan, den wir jeweils auf die aktuelle Situation anpassen können. Grundsätzlich gingen wir aber von einem Pandemie-Standardszenario des Bundesamts für Bevölkerungsschutz (BABS) aus, auf dem unsere Planung aufbaut. Einzelne SBB-Divisionen wie die Infrastruktur und die Produktion Personenverkehr haben diesen auf das tatsächliche Ereignis angepasst und umgesetzt. Die Herausforderung ist, dass eintretende Ereignisse nie einem Standard entsprechen. Es braucht immer eine gewisse Agilität, um darauf einzugehen. Ein Beispiel: Das Standardszenario sieht zwischen Bekanntwerden der potenziellen Bedrohungslage und den ersten Ansteckungen in der Schweiz einen Zeitraum von drei Monaten vor. Bei Covid19 waren es aber nur sechs Wochen, weshalb die SBB wie viele andere Unternehmen viel schneller reagieren musste.

Wo haben Sie nachgebessert?
Karin Mahler: Bei Ausbruch der Pandemie mussten wir sehr rasch praxistaugliche Corona-Schutzkonzepte erstellen. Das Monitoring und die Controlling-Strukturen haben wir zeitnah angepasst. Daneben haben wir einen externen medizinischen Partner eingebunden. Das war Neuland für uns: Wir haben beispielsweise Hotlines für Mitarbeitende und Führungskräfte eingerichtet und Test- sowie Impfzentren aufgebaut. Daneben musste die SBB infolge der globalen Knappheit von Pandemieartikeln den Bestell- und Distributionsprozess anpassen. Ausserdem nutzten wir zahlreiche Reportings zum Pandemiegeschehen, zum Betrieb, zum verfügbaren Personal, zur finanziellen Lage sowie zur Gebäudenutzung von Mietern und der SBB. Der starke Einbezug der Unternehmensführung, klare Verantwortlichkeiten und die gute konzernübergreifende Zusammenarbeit erlaubten es, uns den aktuellen und sich fortlaufend verändernden Begebenheiten rasch und adäquat anzupassen.

Microsoft

Microsoft hat einen Business-Continuity-Plan (BCP). Welche Bedeutung hat dieser Plan für Ihr Unternehmen?
Tobias Steger: Die Sicherheit unserer Mitarbeitenden, Partner und Kunden und der zuverlässige Betrieb unserer IT-Infrastruktur haben für uns oberste Priorität. Mit dem Business-Continuity-Plan sind wir auf Situationen vorbereitet, die einen negativen Einfluss auf unsere Geschäftstätigkeiten haben könnten.

Was regelt der BCP?
Er beschreibt die Rollen und Verantwortlichkeiten der Krisenstabsmitglieder und die Prozesse, die in einer bestimmten Funktion zu berücksichtigen sind. Weitere Themen sind die Kommunikation und das Risikomanagement. Er beinhaltet eine sechsstufige Eskalation, mit der wir beispielsweise regelten, wann und unter welchen Umständen Mitarbeitende wieder ins Büro kommen können.

Wer ist in Ihrem Krisenstab involviert?
In der Schweiz besteht das vierköpfige Kernteam aus Mitarbeitenden in der Kommunikation, Security und Real Estate sowie HR. Bei Bedarf ergänzen wir es mit weiteren Fachpersonen. Daneben arbeiten wir mit externen Partnern zusammen. Beispielsweise mit der Polizei, falls es zu Demonstrationen vor dem Hauptgebäude kommt. Die globale Verantwortung für die Ausarbeitung von Business-Continuity-Plänen liegt beim Mutterhaus in die USA. Von dort erhalten wir nicht nur Empfehlungen, dorthin gelangen auch Feedbacks der regionalen Krisenstab-Teams. Diese Informationsbündelung hilft bei der Entwicklung des BCP.

Hat sich der BCP in der Krise bewährt?
Durch die klare Rollenverteilung der Verantwortlichkeiten konnten wir sehr schnell reagieren. Mit einem Pandemie-Monitoring haben wir Mitarbeitende, Partnerinnen und Partner sowie Kundinnen und Kunden regelmässig über den aktuellsten Stand sowie die nächsten Schritte informiert. Zudem beschäftigen wir uns aufgrund unserer Service-Level-Agreements regelmässig mit Notfällen. Etwa mit einem Brand in einem Rechenzentrum. Erst kürzlich haben wir diesen Krisenfall geübt, weil wir in den Circle am Flughafen Zürich umziehen und für den Ernstfall vorbereitet sein wollen.

Wie kann man in einem BCP alle möglichen Szenarien berücksichtigen?
Die Auswirkungen einer Bedrohung sind meiner Meinung nach wichtiger. Firmen sollten sich überlegen, wie sie darauf reagieren, und klare Prozesse definieren. Beispielsweise, wer wen in welcher Situation informieren muss, damit die Verantwortlichen die Situation schnellstmöglich analysieren können. Dazu sind Kontaktlisten sehr hilfreich. Unser Vorteil ist, dass wir weltweiten Kontakt zu anderen Niederlassungen haben, die bereits mit Ereignissen wie Unwettern oder Erdbeben konfrontiert waren. Von ihnen können wir viel lernen.

Mussten Sie nachbessern?
Das haben wir konstant getan, was in einer solchen Situation normal ist. Eine geradlinige Entwicklung gibt es nicht. Wer die Situation nicht regelmässig analysiert und Anpassungen vornimmt, bekommt eine Krise nicht in den Griff.