Neue Norm zur Organisation der Resilienz: ISO 22316
Die Wirtschaftskrise in 2009 und die anschließende Schuldenkrise in weiten Teilen Europas im Jahr 2011 haben gezeigt, dass die Widerstandsfähigkeit eines Unternehmens gegenüber Krisen als ein elementarerer Bestandteil der Überlebensfähigkeit von Organisationen angesehen werden muss.
Nicht wenige Unternehmen sind in dieser Zeit den schwierigen wirtschaftlichen Rahmenbedingungen aufgrund fehlender Resilienz und Krisenfestigkeit zum Opfer gefallen. Auch neuerliche Entwicklungen wie beispielsweise die fortschreitende Digitalisierung (Stichworte Industrie 4.0 sowie IoT) oder auch die zunehmende Globalisierung stellen Unternehmen vor große Herausforderungen.
Viele der daraus entstehenden Gefahren und Risiken können derzeit kaum vorausgesehen werden. Daraus folgt, dass sich ein Unternehmen nicht gezielt auf sämtliche Veränderungen und Risiken vorbereiten kann. Ein anpassungsfähiges und widerstandsfähiges Unternehmen hat in solchen Lagen den großen Vorteil, dass es flexibel, schnell und agil auf Änderungen und Krisen reagieren kann, unabhängig von deren Auslöser.
Derartige Unternehmen setzen dabei nicht nur auf Strukturen und Prozesse sondern auch auf die Fähigkeit der Mitarbeiter mit Belastungen und unerwarteten Ereignissen umzugehen.
Um die ganzheitliche organisatorische Widerstandsfähigkeit von Unternehmen, insbesondere gegenüber externen und nicht beeinflussbaren Faktoren zu stärken und somit die Belastbarkeit sowie Überlebensfähigkeit eines Unternehmens bei sich ändernden Marktbedingungen insgesamt zu verbessern, wurde im März 2017 von der Internationalen Organisation für Normung (ISO) eine Norm zur organisationalen Resilienz veröffentlicht.
Diese neue Norm gibt Unternehmen aller Branchen Richtlinien zur Entwicklung einer resilienten Organisation an die Hand. Im Einzelnen zeigt die neue Norm, auf welchen Prinzipien ein widerstandsfähiges Management aufgebaut sein sollte, welche Elemente eine konsistente und resistente Organisation haben muss und gibt Hinweise für die Entwicklung dieser Attribute.
Die neue Norm stellt dabei eine sinnvolle Ergänzung der bewährten ISO-Norm 27001 (Informationssicherheit) sowie der ISO-Norm 22301 (Business Continuity Management) dar. Die ISO-Norm 22316 baut auf den beiden genannten Standards auf, ersetzt sie jedoch nicht. Vielmehr macht eine Implementierung der neuen ISO 22316 für ein Unternehmen erst dann Sinn, wenn das Unternehmen die beiden anderen ISO Standards bereits vollumfänglich umgesetzt hat.
Viele der Handlungsempfehlungen beziehen sich daher direkt auf die in Unternehmen vorher zu implementierenden Normen 27001 und 22301. Anhand der neuen Norm können Unternehmen sodann eine sehr fokussierte Überprüfung der Ist-Situation der unternehmerischen Widerstandsfähigkeit vornehmen und ggf. die noch erforderlichen Schritte zur Umsetzung der neuen Norm durchführen um die Krisenfestigkeit sukzessive weiter zu verbessern. Neben den Kernpunkten Informationssicherheit und Business Continuity Management werden in der ISO 22316 zudem auch Bereiche wie die Finanzkontrolle, die strategische Planung und das Personalmanagement in Unternehmen behandelt.
Ein resilientes Unternehmen entsteht durch ein Bündel von Maßnahmen welche von allen Teilen des Unternehmens umgesetzt werden. Ein solcher Prozess ist nicht zeitlich begrenzt, es ist vielmehr ein kontinuierlicher Prozess der von gelebten Erfahrungen stetig verfeinert wird.
Die neue ISO-Norm 22316 ist dafür geeignet, dass Bewusstsein für Resilienz zu schärfen, ein Unternehmen bei der Umsetzung wichtiger Prozesse hin zu einem krisenfesteren Unternehmen zu unterstützen und aufkommende Risiken besser steuern zu können.
Disclaimer: Beurteilungen von Sicherheitslagen beruhen auf den zum angegebenen Zeitpunkt verfügbaren und als vertrauenswürdig eingeschätzten Informationen der German Business Protection (GBP). Obwohl bei der Zusammenstellung der Informationen größte Sorgfalt angewandt wurde, kann GBP für die Aktualität, Richtigkeit oder Vollständigkeit keine Gewähr übernehmen. In keinem Fall kann GBP für etwaige Schäden irgendwelcher Art verantwortlich gemacht werden, die durch die Verwendung der hier bereitgestellten Informationen entstehen, seien es direkte oder indirekte Schäden bzw. Folgeschäden einschließlich entgangenen Gewinns. Gefahrenlagen sind oft unübersichtlich und können sich rasch ändern.