Wie wird eine Business Impact Analysis (BIA) durchgeführt?

Eine Business Impact Analysis (BIA) ist ein systematischer Prozess, mit dem Unternehmen ihre wesentlichen Geschäftsprozesse bestimmen und die Folgen eines Ausfalls dieser Prozesse bewerten. Sie zeigt, wie kritisch einzelne Prozesse für den laufenden Betrieb sind. Eine deutsche Bezeichnung ist Geschäftsauswirkungsanalyse. Als Bestandteil des Business Continuity Managements (BCM) hilft die BIA, Prioritäten für die Wiederherstellung und die dafür nötigen Ressourcen festzulegen. Auf ihren Ergebnissen baut die Betriebskontinuitätsplanung auf.

Kritische Prozesse und Ausfallfolgen

Die BIA beginnt in der Regel mit der Identifikation und Bewertung der Geschäftsprozesse. Untersucht wird, welche Prozesse zwingend nötig sind, um die Kernprodukte oder -dienstleistungen zu liefern. Danach werden die finanziellen und operativen Folgen eines Ausfalls jedes dieser Prozesse bewertet. Typische Fragen sind:

• Finanzielle Verluste: Wie hoch können Einnahmeverluste oder zusätzliche Kosten ausfallen?
• Betriebsunterbrechungen: Wie wirkt sich der Ausfall eines Prozesses auf die Leistungsfähigkeit des Unternehmens aus?
• Rechtliche oder regulatorische Folgen: Welche gesetzlichen Strafen oder Vertragsstrafen drohen bei Nichterfüllung?
• Reputationsverlust: Wie stark leiden das Vertrauen der Kunden oder das Image des Unternehmens?

Maximale Ausfallzeit und Wiederanlauf

Ein weiterer Schritt ist die Bestimmung der maximal tolerierbaren Ausfallzeit (Maximum Tolerable Downtime, MTD) für jeden Geschäftsprozess. Sie bezeichnet den längsten Zeitraum, den ein Prozess ausfallen kann, ohne dass das Unternehmen nachhaltig Schaden nimmt.

Zu einer vollständigen BIA gehört außerdem die Ermittlung der Wiederanlaufkriterien und -ressourcen. Festgelegt wird, was nötig ist, um einen unterbrochenen Prozess innerhalb der festgelegten Zeit wieder aufzunehmen, zum Beispiel:

• Personal: Wie viele Beschäftigte mit welchen Qualifikationen werden gebraucht?
• Technik: Welche IT-Systeme und Datenbanken sind zwingend nötig?
• Räumlichkeiten: Welche Standorte oder Arbeitsplätze müssen verfügbar sein?
• Lieferanten und Partner: Auf welche externen Dienstleister muss zurückgegriffen werden?

Beispiel: Finanzdienstleister

Ein Finanzdienstleister untersucht mit einer BIA, welche seiner Dienste bei einem IT-Ausfall am dringendsten aufrechterhalten werden müssen. Dabei kann sich zeigen, dass die Zahlungsverkehrssysteme die höchste Priorität haben, weil ihr Ausfall unmittelbar zu finanziellen Einbußen und aufsichtsrechtlichen Folgen führt. Solche Ergebnisse fließen in die Pläne zur Geschäftsfortführung und Notfallwiederherstellung ein.

Abgrenzung zu Risikoanalyse und Notfallplanung

Die Risikoanalyse befasst sich vor allem mit der Wahrscheinlichkeit und den möglichen Auswirkungen bestimmter bedrohlicher Ereignisse. Die BIA betrachtet dagegen die Folgen einer Störung für die Geschäftsprozesse, unabhängig von deren Ursache. Die Notfallplanung entwickelt auf Grundlage beider Ergebnisse konkrete Pläne für die Reaktion auf Notfälle.

Beteiligte

Eine BIA braucht die Mitarbeit von Beschäftigten aus verschiedenen Abteilungen, weil sie die Abläufe und Anforderungen ihrer Bereiche am besten kennen. Für eine Gesamtsicht werden auch Führungskräfte und Entscheidungsträger einbezogen. Im Mittelpunkt steht weniger das technische Detail als das Verständnis der Geschäftsprozesse und ihrer Vernetzung. Zuständig sind vor allem die Verantwortlichen für Geschäftskontinuität, Risikomanagement sowie Notfall- und Krisenmanagement. Bei der Bewertung von IT-Systemen sind die Vorgaben der DSGVO und des Bundesdatenschutzgesetzes zu beachten, damit personenbezogene Daten auch im Krisenfall geschützt bleiben.

Regelmäßige Aktualisierung

Eine BIA ist keine einmalige Aufgabe. Sie wird regelmäßig überprüft und aktualisiert, damit Daten und Prioritäten stimmen, in der Regel mindestens einmal jährlich und zusätzlich bei größeren Veränderungen wie neuen Produkten, Übernahmen oder Änderungen in der Lieferkette. Veränderungen im Geschäftsumfeld, neue Technologien oder geänderte Geschäftsziele können Auswirkungen und Prioritäten verschieben. Die Ergebnisse bilden die Grundlage für Notfallmaßnahmen und langfristige Strategien zur Risikominderung.

Häufige Fragen zu Business Impact Analysis (BIA)

Was ist eine Business Impact Analysis (BIA) und wer braucht sie?

Ein systematischer Prozess, mit dem Organisationen kritische Geschäftsprozesse bestimmen und die möglichen Folgen eines Ausfalls oder einer Störung analysieren. Besonders wichtig ist sie für Geschäftsführung, Risikomanagement und IT-Leitung, die Notfall- und Wiederherstellungsstrategien entwickeln.

Welche ersten Schritte sind zu beachten?

Die Ziele der BIA werden klar definiert, die relevanten Stakeholder bestimmt und einbezogen und der Geltungsbereich abgesteckt. Dazu gehört die Festlegung, welche Geschäftsprozesse, Ressourcen und Technologien bewertet werden.

Wie werden kritische Geschäftsprozesse identifiziert?

Durch Gespräche mit Abteilungsleitungen und Schlüsselpersonen, die ein umfassendes Bild der Prozesse und ihrer Bedeutung für die Geschäftsfortführung ergeben. Die Bewertung der finanziellen und operativen Folgen eines Ausfalls hilft bei der Priorisierung.

Worin besteht die Bewertung der Auswirkungen?

Sie erfasst die finanziellen und nichtfinanziellen Folgen eines Ausfalls kritischer Prozesse, etwa Umsatzeinbußen, Reputationsverlust und rechtliche Risiken. Auf dieser Grundlage lassen sich wirksame Gegenmaßnahmen planen.

Welche Rolle spielen Wiederherstellungsziele?

Wiederherstellungsziele wie die maximal tolerierbare Ausfallzeit (MTD) und die angestrebte Wiederanlaufzeit (Recovery Time Objective, RTO) legen Prioritäten für die Wiederherstellung von Geschäftsprozessen und IT-Systemen fest. Sie dienen als Vorgabe für Notfallpläne und sorgen dafür, dass wesentliche Funktionen in einem akzeptablen Zeitrahmen wieder verfügbar sind.

Wie werden die Ergebnisse genutzt?

Sie fließen in die Entwicklung oder Aktualisierung von Notfall- und Business-Continuity-Plänen ein. Zudem bilden sie die Grundlage für Entscheidungen über Investitionen in Sicherheitsmaßnahmen, Versicherungen und andere Strategien des Risikomanagements.

Welche Daten nutzt eine BIA?

Dokumentierte Geschäftsprozesse, Finanzberichte, Service Level Agreements (SLAs) und bestehende Notfallpläne. Hinzu kommen Interviews und Umfragen mit Beschäftigten, die an den kritischen Prozessen beteiligt sind.