So hilft die ISO 22316, Ihr Unternehmen belastbarer zu machen

Die Fähigkeit, Veränderungen in der Umgebung aufzunehmen und sich an diese anzupassen, wird gemeinhin als Resilienz beschrieben. Ein Unternehmen (oder eine andere Organisation) soll in die Lage versetzt werden, Belastungen zu überstehen, dabei die gesteckten Ziele zu erreichen und sich vorteilhaft zu entwickeln.

Es gibt keine absolute Kennzahl oder ein bestimmtes Ziel für Resilienz. Eine Organisation kann nur relativ gesehen – mehr oder weniger – resilient (belastbar) sein. Organisationen, die stärker belastbar sind, können Bedrohungen und Chancen, die sich aus plötzlichen oder schleichenden Veränderungen ihrer Umgebung entwickeln, vorausahnen und darauf reagieren.

Die eigene Belastbarkeit zu steigern, kann ein strategisches Ziel der Organisation sein und ist das Ergebnis guter und verantwortungsvoller Unternehmensführung sowie eines wirksamen Umgangs mit Risiken.

Es gibt keinen allgemeingültigen Lösungsansatz, um die Belastbarkeit einer Organisation zu erhöhen. Zwar gibt es etablierte Führungsmethoden, die zur Belastbarkeit des Unternehmens beitragen – aber einzeln betrachtet reichen diese Methoden nicht aus, um die Belastbarkeit abzusichern. Die Belastbarkeit einer Organisation ist das Ergebnis des Zusammenspiels von Merkmalen und Maßnahmen sowie Beiträgen verschiedener Führungs-Fachgebiete. Sie werden vor allem durch drei Faktoren beeinflusst: den Umgang mit Unsicherheiten, die Art der Entscheidungsfindung und die Qualität der Zusammenarbeit in der Belegschaft.

Verpflichtet sich eine Organisation auf das Ziel, ihre Belastbarkeit zu erhöhen, erreicht sie dadurch:

• eine verbesserte Fähigkeit, Risiken zu vorherzusehen und mit ihnen umzugehen
• eine verstärkte Koordination und Integration von Steuerungsmaßnahmen, um den logischen Zusammenhang und die Leistung zu verbessern
• ein größeres Verständnis der interessierten Parteien (Stakeholder) für ihre gegenseitigen Abhängigkeiten, mit denen die strategischen Zwecke und Ziele zusammenhängen.

ISO 22316:
der internationale Standard für Resilienz

Die ISO 22316 (Security and Resilience – Organizational Resilience – Principles and Attributes) kann Unternehmen dabei unterstützen, ihre Belastbarkeit zu erhöhen. Die internationale Norm enthält unter anderem:

• Grundsätze für die Steigerung der Belastbarkeit einer Organisation (Abschnitt 4)
• Merkmale, die erfüllt sein müssen, um die Übernahme der Grundsätze zu ermöglichen (Abschnitt 5)
• Flankierende Maßnahmen zur Nutzung, Bewertung und Verbesserung der Merkmale (Abschnitt 6)

Abschnitt 4: Grundsätze

In Abschnitt 4.1 der Norm werden die Grundsätze für einen verbesserten Stand der Belastbarkeit aufgeführt:

In einem koordinierten Ansatz soll die Organisation

• sicherstellen, dass die Führungskräfte der Verbesserung der Unternehmensbelastbarkeit verpflichtet sind
• erforderliche Ressourcen bereitstellen
• sich eine angemessene Struktur der Unternehmensführung geben, um die Aktivitäten zur Steigerung der Belastbarkeit des Unternehmens wirksam zu koordinieren
• sicherstellen, dass die Investitionen in Resilienz-Aktivitäten für das Umfeld der Organisation angemessen sind
• Systeme zur Verfügung stellen, die eine wirksame Implementation von Resilienz-Aktivitäten unterstützen
• Maßnahmen zur Unterstützung der betrieblichen Anforderungen einleiten, mit denen die Belastbarkeit bewertet und gesteigert werden kann
• wirksame Kommunikation ermöglichen, um die Verständigung und Entscheidungsfindung zu verbessern.

Abschnitt 5: Merkmale für die betriebliche Belastbarkeit

Wenn eine Organisation (ein Unternehmen) sich die Grundlagen für die eigene Belastbarkeit angeeignet hat, wird sie in der Regel die Eigenschaften aufweisen, die in der Norm beschrieben sind:

• Gemeinsame Vision und Transparenz des Zwecks
• Verständnis und Beeinflussung des Umfelds
• Wirksame und bevollmächtigte Führung
• eine Kultur, die die betriebliche Belastbarkeit unterstützt
• geteilte Information und Wissen
• Verfügbarkeit von Ressourcen
• Entwicklung und Koordination von Steuerungselementen
• Unterstützung von ständiger Verbesserung
• die Fähigkeit, Veränderungen vorherzusehen und zu steuern

Der Entwicklung und Koordination von Steuerungselementen kommt dabei besondere Bedeutung zu. Ihr Entwurf und ihre Entwicklung und Koordination sowie ihre Ausrichtung an den strategischen Zielen sind grundlegend für die Verstärkung der betrieblichen Belastbarkeit. Die Organisation sollte darstellen, dass sie

• ihre Steuerungselemente koordiniert, sodass diese einzeln und zusammen zum Zweck des Unternehmens beitragen und seinen Wert schützen
• die mit den Steuerungselementen verbundenen Risiken angemessen behandelt.

Abschnitt 6: Bewertung der Faktoren, die zur Belastbarkeit beitragen

Die Bewertung stellt der Unternehmensleitung Einsichten und Informationen zur Verfügung, wie die Strategie und die Ziele der betrieblichen Belastbarkeit noch den Anforderungen der Organisation gerecht werden oder wo Chancen zur Verbesserung bestehen.

Die Unternehmensleitung muss dafür

• angemessene Ziele der betrieblichen Belastbarkeit festlegen
• Bemessungskriterien für die Bewertung der Belastbarkeitsmerkmale entwickeln
• den Status der Belastbarkeitsreife überwachen und auswerten
• identifizieren, was ausgewertet und überwacht werden muss
• Schwellenwerte bestimmen, bei deren Einhaltung die Ergebnisse der Bewertung als akzeptabel eingestuft werden
• entscheiden, wie Bewertungs- und Überwachungsregelungen in bestehende Überwachungsprozesse integriert werden können
• vorgeben, wie die Ergebnisse der Überwachung analysiert, bewertet und berichtet werden sollen.

Die Organisation soll

• eine Beurteilung zur Bestimmung der Belastbarkeit durchführen, bevor ein Überwachungsprozess implementiert wird
• feststellen, ob die Belastbarkeit aus Sicht der obersten Leitung ausreichend ist
• angemessene Strategien prüfen, um sich wesentlichen Lücken, die in der Bewertung aufgefunden werden, zu widmen.

Anhang A: Relevante Steuerungselemente

Im Anhang der Norm werden Steuerungselemente aufgezählt, die die Empfehlungen der Norm im Abschnitt 5.8 unterstützen

• asset management
• business continuity management
• crisis management
• cyber security management
• communications management
• emergency management
• environmental management
• facilities management
• financial control
• fraud control
• governance
• health and safety management
• human resources management
• information security management
• information, communications and technology
• physical security management
• quality management
• risk management
• supply chain management
• strategic planning

Fazit

Resilienz ist in der Definition der ISO-Normen kein unternehmerisches Steuerungselement, sondern das Ergebnis der Anwendung von Steuerungselementen, deren Anforderungen den Managementsystemnormen zu entnehmen sind. Daher reicht es nicht, die ISO 22316 anzuwenden. Sie ist nur eine Hilfsnorm, die den Zusammenhang mit Empfehlungen beschreibt. Die Liste der Steuerungselemente im Anhang A liefert den relevanten Gesamtzusammenhang für die Belastbarkeit einer Organisation.