REGULIERUNG 1 |
REGULIERUNG 1 | Verankerung des BCM in der Organisation 44 % 52 % 7 % 9 % 26 % 21 % 6 % 0 % 0 % 0 % 15 % 9 % 7 % 3 % 2016 2014 Stabsbereich des Vorstands Organisation Risikocontrolling IT Facility Management Unternehmenssicherheit Compliance x Abgesehen von aufsichtsrechtlichen Anforderungen hat sich das betriebliche Kontinuitätsmanagement in den Instituten stetig weiterentwickelt. Dennoch zeichnen sich weitere Herausforderungen ab. Ein theoretisches Notfallplanungskonzept, das nicht mit der Praxis abgestimmt und erprobt ist, reicht schon lange nicht mehr aus. Ein „State-of-the-art“-Notfallkonzept muss die Prozessketten eines Instituts erfassen und ihre Resistenz gegen verschiedene Bedrohungsszenarien regelmäßig testen. Ein immer größerer Schwerpunkt wird seitens der Aufsicht auf die Datenhaltung und Datenaufbereitung gelegt, vornehmlich durch BCBS 239 für große Institute oder über die fünfte MaRisk-Novelle. Aus der Perspektive der Bankenaufsicht werden die Anforderungen derzeit als mehrheitlich nicht erfüllt angesehen. Eine Kernfrage ist deshalb, inwieweit sich das BCM über eine bloße Anforderung der Aufsicht hinaus zu einem effizienten Instrument des Risikomanagements entwickelt hat. Eine Antwort darauf liefert der gegenwärtige Umsetzungsstand fortgeschrittener Methoden der Notfallplanung sowie der Grad der Verzahnung des BCM im Gesamtunternehmen. Hierfür wurden 27 Kreditinstitute befragt, darunter zwei Drittel der 20 größten deutschen Banken. Bei der Befragung wurde zunächst nach der aufbauorganisatorischen Verankerung des zentralen Geschäftsfortführungsmanagements im Institut gefragt. Die Beantwortung dieser Frage lässt ggf. Rückschlüsse auf den Stellenwert und die Einflussmöglichkeiten des BCM im Institut zu. 2009 gab es hinsichtlich der Verankerung des BCM noch ein recht differenziertes Bild. Ein großer Teil der Institute siedelte das BCM im Bereich Organisation an ” 1. Daneben gab es aber viele Institute, bei denen das BCM in der Konzernsicherheit oder der IT verankert war. Die Mehrheit der Teilnehmer siedelt das BCM heute weiterhin im Bereich Organisation an, die Bedeutung anderer Unternehmensbereiche nimmt in diesem Zusammenhang seit 2014 jedoch wieder zu. Es lässt sich erkennen, dass das BCM in den Bereich Risikocontrolling verlagert wird. Grund dafür sind die zunehmenden aufsichtsrechtlichen Anforderungen und die damit verbundene gestiegene Bedeutung des Geschäftsfortführungsmanagements. Die enge Verbindung zwischen operationellen Risiken und BCM bzgl. der Risikosteuerung spricht ebenfalls für eine Ansiedlung im Risikocontrolling. Mehr Personaleinsatz erhöht Kosten Die Frage nach der Anzahl der zentral bereitgestellten Kapazitäten für das BCM ergibt ein sehr breites Spektrum. Die Erhebung gibt dabei keine Anhaltspunkte für einen Zusammenhang zwischen der Anzahl der bereitgestellten Mitarbeiterkapazität (MAK) und der Größe des Instituts oder dem Geschäftsmodell. Es ist daher anzunehmen, dass die Bedeutung des Geschäftsfortführungsmanagements noch von weiteren Faktoren abhängt. Im Durchschnitt stellten die Institute rund vier MAK für das BCM bereit, bereinigt man jedoch die Grundgesamtheit um einen Ausreißer nach oben, sinkt die durchschnittliche MAK auf zwei. Bei zwei Drittel der befragten Institute hat sich die Anzahl der Mitarbeiter in den letzten zwölf Monaten nicht verändert. Der Vergleich zu den Ergebnissen aus dem Jahr 2009 zeigt allerdings, dass die Anzahl der zentralen BCM-Mitarbeiter im Durchschnitt um ca. 0,6 MAK gestiegen ist. Was jedoch auch auf die veränderten Studienteilnehmer zurückgeführt werden kann. So lag die bereinigte Anzahl 2011 ebenfalls bei zwei. Schließlich wurde die aufbauorganisatorische Zusammensetzung des Krisenstabs untersucht. Die Zusammensetzung kann einerseits aufzeigen, wie gut das BCM in bestehende Prozesse eingebunden ist, andererseits aber auch indizieren, wie effizient der Krisenstab im Krisenfall arbeiten könnte. Die Analyse belegt, dass Vorstandsmitglieder tendenziell seltener in den Krisenstab eingebunden werden. Während der Vorstand 2009 bei mehr als vier Fünftel der befragten Institute in den Krisenstab eingebunden war, reduziert sich der Anteil 2016 auf unter 60 Prozent. Man kann davon ausgehen, dass ein Krisenstab, der sich aus fachlichen Experten zusammensetzt, einer Krise effektiver begegnen kann, als dies unter Einbindung des Vorstands und unter Beibehaltung bestehender Mechanismen der Fall wäre. 48 01 // 2017
REGULIERUNG Inhaltlicher Aufbau des BCM Das Geschäftsfortführungsmanagement wird grundsätzlich an den vier Kernressourcen eines Kreditinstituts – Personal, IT, Infrastruktur und Dienstleister – ausgerichtet. So hat die überwiegende Mehrheit der Studienteilnehmer den Ausfall dieser vier Ressourcen als relevantes Notfallszenario definiert. Andere Szenarien spielen kaum eine Rolle. Im Mehrjahresvergleich lässt sich eine starke Zunahme der Bedeutung des Szenarios Reputationsverlust konstatieren. Dies könnte u. a. darauf zurückzuführen sein, dass einige Teilnehmer das Erfüllen aufsichtsrechtlicher Anforderungen als wesentliche neue Herausforderung klassifizieren. Ein weiterer Aspekt der Erhebung hat untersucht, inwieweit das BCM in bestehende Prozesse des Unternehmens integriert ist. Dazu wurde zunächst analysiert, wie und mit welchen Bereichen das BCM im Institut zusammenarbeitet ÿ 2. Es zeigt sich, dass der Grad der Verzahnung mit Risikofunktionen, speziell mit dem OpRisk-Management, abgenommen hat. Mit Bereichen wie IT-Security, Facility Management, Unternehmenskommunikation oder der Unternehmenssicherheit hingegen ist die Zusammenarbeit intensiviert worden. Das BCM arbeitet also enger mit Bereichen zusammen, die für eine funktionierende Notfallplanung essenziell sind und stellt sich unabhängiger vom klassischen Risikomanagement auf. Dies weist auf den gestiegenen BCM-KOMPASS 2016 2009 hat die Fintegral Deutschland AG (ehem. Dr. Peter & Company AG) erstmalig eine Untersuchung über den Umsetzungsstand des Business Continuity Management (BCM) in der deutschen Finanzwirtschaft durchgeführt. In der mittlerweile sechsten Auflage liegt jetzt der BCM-Kompass 2016 vor, der auf der Befragung von 27 deutschen Kreditinstituten beruht. Der Vergleich der Ergebnisse zeigt die Herausbildung von Best Practices in der Geschäftsfortführungsplanung sowie die fortschreitende Integration des BCM in bestehende Prozesse der Institute. Reifegrad und die gestiegene Bedeutung des BCM in den Instituten hin. Um eine kontinuierliche Verbesserung des Geschäftsfortführungsmanagements gewährleisten zu können, muss weiterhin an der Verzahnung mit Abteilungen gearbeitet werden, bei denen eine fachliche Schnittmenge besteht (z. B. Unternehmenssicherheit). 01 // 2017 49
