BC-Manager, Notfallkoordinatoren und Krisenmanager übernehmen unterschiedliche Aufgaben. Gerade beim Einstieg ins Business Continuity Management ist oft unklar, wer wofür verantwortlich ist und welche Rollen eine Organisation tatsächlich besetzen muss. Doch wo liegen eigentlich die Unterschiede zwischen den Rollen, und welche davon braucht es wirklich?
Warum die Rollenbezeichnung zweitrangig ist
Eingangs lässt sich schnell klären, dass Rollenbezeichnungen zweitrangig sind. Rollentitel orientieren sich fast immer an existierenden Hierarchien, dem Sprachgebrauch und der Unternehmenskultur. Im Rahmen einer BCM-Implementierung sollte nicht der Anspruch erhoben werden, gänzlich neue Titel innerhalb der Organisation zu erschaffen. Vielmehr sollten sich die Rollentitel des BCM in bestehende Gegebenheiten eingliedern. Entscheidend ist letztlich nicht die Bezeichnung in der E-Mail-Signatur, sondern die Aufgaben, Verantwortlichkeiten und Zuständigkeiten, die dahinterstehen. Daher müssen die Rollenprofile in der Dokumentation definiert werden, sodass klar bestimmt ist, wer für welchen Aspekt des BCM verantwortlich beziehungsweise zuständig ist.
Wer baut das BCM auf und betreibt es?
Nun stellt sich die Frage, welche Rollen es für Aufbau und Betrieb eines BCM überhaupt braucht. Vorbei kommt man dabei nicht an der Institutionsleitung, denn sie trägt die Gesamtverantwortung. Sie initiiert das BCM, gibt dessen Rahmen vor und stellt die erforderlichen Ressourcen in Form von Personal, Zeit und Budget bereit. Zudem beauftragt sie eine zentrale BCM-Funktion, die Aufbau und Betrieb des Managementsystems steuert und der Leitung gegenüber berichtspflichtig ist. In der Praxis wird die Leitung diesen Rahmen selten selbst ausarbeiten. Ziele, Geltungsbereich und grundlegende Vorgehensweise werden üblicherweise durch die BCM-Funktion entwickelt und der Leitung zur Entscheidung vorgelegt. An der Verantwortung ändert das jedoch nichts. Denn unabhängig davon, ob eine Person oder ein ganzes Team mit den Aufgaben betraut wird, bleibt die Gesamtverantwortung bei der Leitung. Delegieren lassen sich Aufgaben, jedoch nicht die Verantwortung.
Übertragen wird vor allem die operative Steuerung des Managementsystems. Sie liegt bei der BCM-Funktion, häufig als BC-Beauftragter, BC-Manager oder BCM-Verantwortlicher bezeichnet. Diese ist die zentrale Ansprechstelle für alle Fragen rund um das BCM innerhalb der Organisation, überwacht die methodisch korrekte Umsetzung, koordiniert sämtliche Aktivitäten im Managementsystem und berichtet der Leitung regelmäßig über Stand, Fortschritt und Handlungsbedarfe. Ob dahinter eine Person oder ein Team steht, ändert an diesem Aufgabenzuschnitt nichts. Die BCM-Funktion ist damit diejenige Stelle, die das BCM zusammenhält, nicht aber diejenige, die es allein umsetzt. Denn die Ressourcen der BCM-Funktion reichen selten aus, um den Betrieb des BCM allein zu stemmen. Zwar kann der Aufbau nach der Beauftragung durch die Institutionsleitung aus einer Hand beginnen, letztlich ist die Funktion aber immer auf die Unterstützung aus den Bereichen angewiesen. Schließlich macht erst das Wissen der Bereiche über ihre Prozesse, deren Abhängigkeiten und Wiederanlaufmöglichkeiten eine Notfallplanung belastbar. Wie diese Unterstützung organisiert wird, ist dabei unterschiedlich. Manche Organisationen definieren dafür eigene Rollen, andere lassen Mitarbeitende die entsprechenden Aufgaben aus der Linie heraus übernehmen. Beide Varianten können funktionieren. Ausschlaggebend ist auch hier nicht der Rollentitel, sondern eine klare und verbindliche Aufgabenverteilung. Alle Beteiligten müssen wissen, welche Verantwortung sie im BCM übernehmen und wie ihre Rolle mit den anderen Funktionen zusammenspielt. Diese Zuordnung sollte eindeutig dokumentiert sein.
Ist die BCM-Funktion auch meine Stabsleitung?
Was die bislang beschriebenen Rollen eint: Sie sind Teil der präventiven Seite des BCM. Sie bauen das Managementsystem auf, betreiben es und entwickeln es weiter. Ein zweiter Teil der BCM-Aufbauorganisation widmet sich dagegen der reaktiven Seite. Hier finden sich Rollentitel wie Notfallmanager oder Krisenstabsleitung. Damit stellt sich eine Frage, die in der Praxis durchaus für Verwirrung sorgen kann: Werden diese Rollen einfach von den präventiven BCM-Rollen mitbesetzt? Übernimmt die BCM-Funktion im Ereignisfall also automatisch die Krisenstabsleitung?
Um das zu beantworten, hilft ein Blick darauf, wie die reaktive Seite überhaupt besetzt wird. Sie stellt eine besondere Aufbauorganisation dar: eine Struktur, die nicht dauerhaft besteht, sondern erst im Ereignisfall aktiviert wird. Ihre Mitglieder werden dafür aus der Linie herausgezogen und übernehmen für die Dauer der Bewältigung eine andere Aufgabe als im Tagesgeschäft. Entscheidend ist dabei vor allem, dass der Stab handlungs- und entscheidungsfähig ist. Im Ereignisfall geht es um Fragen, die weit über das Tagesgeschäft hinausreichen, etwa um die Freigabe erheblicher Mittel, das Aussetzen von Prozessen oder die Kommunikation nach außen. Wer darüber entscheidet, muss es auch dürfen. Deshalb besetzen die meisten Organisationen ihre Stäbe mit Personen, die bereits in der Linie über entsprechende Entscheidungsbefugnisse verfügen.
Genau an diesem Punkt unterscheidet sich die BCM-Funktion: Über solche Entscheidungsbefugnisse verfügt sie qua ihrer Rolle in der Regel nicht. Für die Stabsleitung ist sie damit meist nicht die naheliegende Wahl. Denn Methodenkompetenz im BCM und die Eignung für die Bewältigungsarbeit in Notfällen und Krisen sind zwei verschiedene Dinge. Beide können in einer Person zusammenfallen, müssen es aber nicht zwangsläufig.
Dass die BCM-Funktion im Ereignisfall mitwirkt, ist gleichwohl der Regelfall und durchaus sinnvoll. Kaum jemand kennt die zeitkritischen Geschäftsprozesse, ihre Verfügbarkeitsanforderungen und Abhängigkeiten sowie die vorbereiteten Notfallmaßnahmen so detailliert. Genau dieses Wissen ist in einer Lage Gold wert, in der entschieden werden muss, welcher Prozess zuerst wieder anlaufen soll. Häufig wird die BCM-Funktion daher vom Stab beratend hinzugezogen. Auch die Personen, die das BCM operativ betreiben, können im Ereignisfall Aufgaben übernehmen, etwa auf operativer Ebene in einem Notfallstab.
Auf wie viele Schultern verteilt sich das BCM?
Damit ist die Landkarte grob gezeichnet: eine präventive Seite, die das BCM aufbaut und betreibt, und eine reaktive Seite, die im Ereignisfall aktiviert wird. Beide überlappen personell, sind aber nicht deckungsgleich. Zuletzt stellt sich für die eigene Organisation die zentrale Frage, wie viele personelle Ressourcen ein wirksames BCM braucht.
Eine pauschale Antwort darauf gibt es nicht. Denn die Größe der BCM-Aufbauorganisation hängt von den individuellen Gegebenheiten ab. Einfluss darauf können beispielsweise die Unternehmensgröße, der Scope des BCM, die Anzahl der zeitkritischen Geschäftsprozesse oder die Zahl der Standorte haben. Dabei geht es nicht nur um die Frage, wie viele Rollen definiert werden, sondern vor allem darum, wie viele Personen es braucht, um diese Rollen tatsächlich auszufüllen. So kann in einem Unternehmen mit 300 Mitarbeitenden an einem Standort und wenigen zeitkritischen Prozessen eine Person für das BCM ausreichen. In einem Unternehmen mit nur 100 Mitarbeitenden, dafür verteilt auf mehrere Standorte und mit zahlreichen zeitkritischen Prozessen, kann eine einzelne Person dagegen schnell an ihre Grenzen kommen.
Hinzu kommt, dass es für die BCM-Funktion selten bei den originären Aufgaben bleibt. Häufig kommen weitere Themen hinzu, etwa aufgrund der Schnittstellen zur Informationssicherheit oder zum Risikomanagement. Für das eigentliche BCM steht daher häufig nur ein Teil der Arbeitszeit zur Verfügung. Wer den Personalbedarf realistisch einschätzen will, sollte daher nicht nur die Anzahl der Rollen betrachten, sondern auch die Zeit, die für die Rollen tatsächlich zur Verfügung steht.
Fazit
Wer BCM-Rollen verstehen will, sollte nicht auf ihre Titel schauen, sondern auf die dahinterliegenden Aufgaben und Zuständigkeiten. Entscheidend ist, dass alle Beteiligten wissen, was von ihnen erwartet wird und welche Verantwortlichkeiten und Zuständigkeiten sie innerhalb der Organisation übernehmen.
Mit der Dokumentation allein ist es dabei nicht getan. Ein Rollenprofil, das niemand kennt, wirkt genauso wenig wie ein Titel ohne Inhalt. Erst wenn die Beteiligten geschult sind und ihre Rolle tatsächlich ausfüllen können, wird aus der dokumentierten Struktur ein funktionierendes BCM, ganz unabhängig von der Bezeichnung in der E-Mail-Signatur.